I ricercatori di sicurezza informatica affermano di aver documentato quello che potrebbe essere il primo attacco ransomware eseguito end-to-end da un agente di intelligenza artificiale senza un essere umano nel circuito, una scoperta che gli esperti di sicurezza avvertono potrebbe ridurre drasticamente i costi e le competenze necessarie per lanciare attacchi informatici dannosi.
La ricerca, pubblicata dal Sysdig Threat Research Team e riportata da The Hacker News, descrive un'operazione in cui un ampio modello linguistico ha gestito ogni fase di un'intrusione: irruzione, raccolta di credenziali, spostamento laterale attraverso la rete e infine crittografia e cancellazione del database di produzione di un'azienda. Sysdig ha assegnato all'operatore il nome di tracciamento JADEPUFFER. Per ulteriori informazioni su questa storia, consulta le nostre tendenze AI in corso.
Storicamente il ransomware ha richiesto l'intervento di una persona esperta in qualche fase del processo, in grado di condurre l'attacco manualmente o di scrivere gli script seguiti dal malware. Se un singolo modello di intelligenza artificiale può concatenare questi passaggi insieme in modo autonomo, l’esperienza necessaria per eseguire un attacco si riduce a qualsiasi costo per assumere un agente di intelligenza artificiale.
Come è entrato l'agente
Il punto di ingresso era una vulnerabilità nota e già corretta. Secondo Sysdig, JADEPUFFER ha sfruttato CVE-2025-3248, un difetto di autenticazione mancante in Langflow, uno strumento open source per la creazione di applicazioni AI e flussi di lavoro degli agenti. Il difetto consente a chiunque possa raggiungere il server di eseguire codice Python arbitrario senza effettuare l'accesso. Le installazioni di Langflow sono obiettivi interessanti perché spesso sono esposte su Internet e detengono chiavi API e credenziali cloud per i servizi a cui si connettono.
Il difetto è stato corretto in Langflow 1.3.0 e aggiunto al catalogo delle vulnerabilità sfruttate note della Cybersecurity and Infrastructure Security Agency degli Stati Uniti nel maggio 2025, ma molti server non sono mai stati aggiornati. Una volta dentro, l'agente si è mosso velocemente e ha ripulito tutto.
Raccolta delle credenziali e movimento laterale
Dopo aver ottenuto l'accesso, l'agente ha mappato la macchina compromessa e l'ha setacciata alla ricerca di segreti. Sysdig afferma di aver raccolto chiavi API per i principali servizi di intelligenza artificiale tra cui OpenAI, Anthropic, DeepSeek e Gemini, insieme a credenziali cloud per fornitori cinesi come Alibaba e Tencent, nonché AWS, Google e Azure. Ha anche rubato le chiavi del portafoglio crittografico e gli accessi al database.
L'agente ha quindi fatto irruzione in un server di archiviazione MinIO utilizzando il login predefinito di fabbrica, che non era mai stato modificato, e ha stabilito la persistenza aggiungendo un'attività pianificata che contattava il server dell'aggressore ogni 30 minuti. Da lì si è concentrato sul suo obiettivo primario: un server separato connesso a Internet che esegue un database MySQL e Nacos di Alibaba, una directory di configurazione e di servizi ampiamente utilizzata nelle architetture di microservizi.
Dopo aver effettuato l'accesso al database come root, l'agente ha preso il controllo di Nacos utilizzando un bypass di autenticazione 2021 tracciato come CVE-2021-29441 e una chiave di firma predefinita che Nacos ha fornito invariata dal 2020. Ha quindi impiantato il proprio account amministratore.
Una richiesta di riscatto senza chiave
L'agente ha crittografato tutte le 1.342 impostazioni di configurazione di Nacos, ha eliminato le tabelle del database originale e ha lasciato una richiesta di riscatto chiedendo Bitcoin con un indirizzo di contatto Proton Mail. C'era però un problema critico: l'agente generava una chiave di crittografia casuale, la visualizzava una volta e non la salvava né la trasmetteva mai da nessuna parte. Secondo Sysdig non esiste alcuna chiave da consegnare, il che significa che la vittima non potrebbe recuperare i propri dati anche se avesse pagato.
La richiesta di riscatto rivendicava la crittografia AES-256, anche se Sysdig ha osservato che lo strumento utilizzato dall'agente utilizza per impostazione predefinita il più debole AES-128. Il risultato finale è stato lo stesso. L'agente è andato ancora oltre, cancellando interi database e lasciando un commento nel proprio codice affermando di aver già copiato i dati altrove. Sysdig ha notato che questa era l'affermazione dell'agente e il team non ha trovato prove che i dati siano stati effettivamente esfiltrati.
Come i ricercatori sapevano che un'intelligenza artificiale stava guidando
L’indicatore più chiaro che al volante c’era un modello e non un essere umano era il codice stesso. I payload dell'attacco erano pieni di note in inglese semplice che spiegavano il ragionamento dietro ogni passaggio, commenti che un aggressore umano raramente si prenderebbe la briga di scrivere ma che un modello linguistico produce per impostazione predefinita. L'agente ha inoltre corretto i propri errori alla velocità della macchina. In un caso, è passato da un accesso non riuscito a una correzione corretta in più passaggi in circa 31 secondi, diagnosticando la causa esatta anziché riprovare alla cieca.
Sysdig ha contato più di 600 carichi utili distinti e mirati durante l'operazione. Un dettaglio rimane sconcertante: l'indirizzo Bitcoin nella richiesta di riscatto è l'indirizzo di esempio che appare nella documentazione degli sviluppatori di Bitcoin e appare frequentemente nel testo su cui vengono addestrati questi modelli. È anche un portafoglio reale e attivo con una lunga cronologia delle transazioni. I ricercatori non sono riusciti a determinare se il modello abbia semplicemente incollato un indirizzo dall’aspetto familiare dalla memoria o se l’operatore abbia scelto deliberatamente un vero portafoglio.
Implicazioni sulla sicurezza
I risultati aggiungono urgenza al dibattito sulla rapidità con cui stanno maturando gli agenti di intelligenza artificiale autonomi e su quali barriere dovrebbero limitarli. I professionisti della sicurezza avvertono da tempo che agenti capaci potrebbero eventualmente automatizzare operazioni offensive che oggi richiedono competenze specializzate. Il rapporto Sysdig suggerisce che la soglia potrebbe essere già stata superata per attacchi che concatenano vulnerabilità note.
Per le organizzazioni, il risultato è duplice. Innanzitutto, il software senza patch rimane il vettore di ingresso dominante e strumenti come Langflow che gestiscono le credenziali e l’esposizione a Internet richiedono un aggiornamento tempestivo. In secondo luogo, le credenziali predefinite sui sistemi di storage e sulle directory dei servizi rimangono una responsabilità persistente che gli aggressori automatizzati possono sfruttare alla velocità della macchina.
Il rapporto solleva anche domande più ampie per i fornitori di intelligenza artificiale su se i modelli debbano essere autorizzati a eseguire operazioni offensive in più fasi e su come l’uso improprio delle chiavi API, quando rubate o abusate, possa essere rilevato e contenuto prima che i danni si diffondano. Man mano che gli agenti diventano più capaci, il confine tra strumento di ricerca e arma offensiva si sta restringendo più velocemente di quanto molti si aspettassero.
---
Stai al passo con l'intelligenza artificialeRicevi le ultime notizie, analisi e scoperte sull'intelligenza artificiale, tutto in un unico posto.
Leggi altre notizie sull'AI →
