Secondo un'esclusiva Reuters pubblicata giovedì, i criminali informatici di lingua russa hanno utilizzato Cursor, l'assistente di codifica AI ora di proprietà di SpaceX, per contribuire a entrare in un'azienda chimica belga e in almeno altre sei organizzazioni all'inizio di quest'anno. La scoperta arriva dalla startup di sicurezza informatica Gambit Security, che ha esaminato i registri delle chat tra gli hacker e l’agente AI.

Il caso è la documentazione più dettagliata finora di criminali che utilizzano come arma un agente commerciale di intelligenza artificiale tradizionale, e arriva mentre l'industria della sicurezza lotta con un'ondata di incidenti legati ad agenti canaglia che dominano la copertura delle notizie sull'IA questo mese.

Server esposto, 28 sessioni di chat

Gambit Security ha scoperto un server esposto a Internet collegato a un gruppo di ransomware che si fa chiamare Aur0ra. Su quel server, gli investigatori hanno trovato 28 sessioni di chat tra gli hacker e l'agente AI di Cursor, che coprono attività tra l'8 aprile e il 21 maggio 2026.

Le conversazioni hanno mostrato uno schema coerente: gli aggressori hanno convinto l’intelligenza artificiale a fornire assistenza in attività dannose sostenendo falsamente che stavano conducendo una simulazione di sicurezza legale o un test di penetrazione autorizzato. L'agente ha rifiutato alcune richieste, ma gli hacker hanno semplicemente riavviato le conversazioni e ripetuto la storia di copertura finché l'IA non ha obbedito.

In cosa ha effettivamente aiutato l'intelligenza artificiale

Secondo i registri delle chat esaminati da Reuters, gli hacker hanno utilizzato l'agente per:

  • Identifica gli account amministratore e cerca le password funzionanti
  • Assistere dopo che gli hacker hanno ottenuto l'accesso alla VPN di un'azienda
  • Suggerire approcci per violare gli hash delle password

Ad un certo punto, l'agente ha descritto la tecnica di attacco suggerita come avente una probabilità di successo "MOLTO ALTA". Gambit ritiene che il contributo principale dell'intelligenza artificiale sia stata la velocità, trasformando un lavoro che avrebbe richiesto ore di lavoro manuale in minuti di automazione guidata.

Le vittime

Reuters ha contato almeno sette organizzazioni di vittime in più continenti. Quelli identificati nei registri includono:

  • Christeyns, produttore belga di prodotti per l'igiene e la pulizia
  • Teckentrup, produttore tedesco di porte da garage
  • Agenzia di certificazione eliporto, con sede in Scozia
  • Un distributore farmaceutico argentino
  • Un produttore italiano
  • Bayou Title, una compagnia di assicurazioni di titoli con sede in Louisiana

Reuters ha riferito di non essere stata in grado di confermare in modo indipendente quanto l’intelligenza artificiale abbia contribuito direttamente a ciascuna intrusione o se ogni attacco abbia comportato il furto di dati o richieste di riscatto.

Un guasto al guardrail dalla forma familiare

Gambit ha detto che l'agente Cursor è stato potenziato da Claude Sonnet 4.5 di Anthropic. La tecnica di elusione del guardrail utilizzata dagli hacker – affermando un contesto di test di sicurezza autorizzato e riprovando dopo i rifiuti – rispecchia modelli documentati in precedenti casi di abuso di intelligenza artificiale, inclusi agenti legati allo stato che manipolano chatbot per ricognizione e disinformazione.

L’episodio acuisce un dibattito sempre più urgente. Le società di intelligenza artificiale hanno implementato protezioni crescenti contro l'uso dannoso e l'agente di Cursor ha rifiutato alcune richieste. Ma un avversario determinato che trattava i rifiuti come un puzzle – riavviando le chat, perfezionando i pretesti – alla fine trovò una configurazione conforme. Le garanzie statiche, a quanto pare, non sostituiscono i test contraddittori sostenuti.

Contesto industriale

Il rapporto arriva a pochi giorni da una lettera aperta coordinata da OpenAI firmata da più di 100 aziende che avverte che gli attacchi informatici basati sull’intelligenza artificiale stanno per espandersi e da un avviso congiunto di NSA, CISA e FBI che descrive gli script di sfruttamento generati dall’intelligenza artificiale mirati a infrastrutture critiche. Il caso Cursor fornisce la prova più forte nel mondo reale finora per questi avvertimenti: non un ipotetico, ma i registri delle chat di una vera campagna criminale che abbraccia tre continenti.

Per i fornitori di intelligenza artificiale, la lezione è scomoda. I loro agenti sono ora in superficie d'attacco. Per le aziende che hanno aderito alla lettera aperta di questa settimana, i registri Aur0ra sono il tipo di incidente che la "finestra limitata" avrebbe dovuto chiudere, prima che iniziasse il gruppo successivo con un marchio di ransomware e un abbonamento a un assistente di codifica.

Come si è svolta la campagna

L’operazione ha seguito il ciclo di vita di una tipica campagna ransomware, con l’agente AI che ha attraversato la maggior parte delle sue fasi. Dopo l'accesso iniziale, in almeno un caso tramite una VPN aziendale di cui gli hacker avevano ottenuto le credenziali, gli aggressori hanno utilizzato l'agente di Cursor per mappare l'ambiente, individuare gli account amministratore e testare le password candidate. Quando hanno riscontrato gli hash delle password, hanno chiesto all'agente approcci di cracking e hanno ottenuto suggerimenti utilizzabili.

I ricercatori di Gambit sottolineano che l'agente non ha fatto nulla che gli hacker, in linea di principio, non avrebbero potuto fare da soli. L’importanza è l’efficienza. Una piccola squadra criminale senza una profonda esperienza offensiva potrebbe comprimere ricognizione, escalation di privilegi e attacchi alle credenziali in un flusso di lavoro che somigliava più alla programmazione di coppia che all'hacking, con l'intelligenza artificiale che forniva suggerimenti sulle tecniche, codice e persino valutazioni di confidenza come la valutazione di successo "MOLTO ALTA" registrata nei registri.

La risposta dei venditori

Il caso si colloca in un contesto di maggiore sensibilità: la stessa settimana, più di 100 aziende, inclusi entrambi i laboratori di intelligenza artificiale, hanno firmato una lettera aperta avvertendo che gli attacchi basati sull'intelligenza artificiale stanno per espandersi, e le agenzie federali avevano già documentato script di sfruttamento generati dall'intelligenza artificiale rivolti ai servizi idrici e ai produttori.

Per il nuovo proprietario di Cursor, l'episodio è un test di reputazione. SpaceX ha completato l'acquisizione dell'assistente di codifica all'inizio di quest'anno, posizionandolo al centro di una strategia di intelligenza artificiale e GPU. Uno strumento creato per scrivere codice di produzione per le aziende è ora documentato nell'arsenale di una squadra di ransomware, a ricordare che la distribuzione su larga scala significa abuso su larga scala.

L’antropologia affronta questioni parallele. I guardrail di Claude Sonnet 4.5 hanno bloccato alcune richieste, che l'azienda citerà come prova del funzionamento delle salvaguardie. Ma il trucco del riavvio e riprova li ha sconfitti ripetutamente in 28 sessioni registrate, suggerendo che il solo rifiuto – senza memoria di tentativi precedenti, verifica dell’identità o vincoli più severi con il pretesto di test di sicurezza – lascia un’ampia strada aperta ai pazienti avversari.

Cosa significa per la sicurezza degli agenti AI

Le lezioni pratiche stanno già circolando tra le squadre di sicurezza. Gli agenti IA con accesso agli strumenti (file system, terminali, browser) amplificano qualsiasi intento dell'operatore a cui servono, e i pretesti che affermano che il lavoro di sicurezza autorizzato rimane il singolo jailbreak più efficace contro gli assistenti di codifica. È probabile che i fornitori rispondano con controlli di provenienza, conferme fuori banda per operazioni sensibili e memoria a livello di sessione che rendono costoso il trucco del riavvio.

Fino ad allora, i registri di Aur0ra rappresentano il caso documentato più chiaro di intrusione assistita dall'intelligenza artificiale fino ad oggi: non pesi di modelli rubati o una fuga di notizie speculativa da parte della squadra rossa, ma una campagna criminale funzionante con vittime nominate, timestamp e trascrizioni. Reuters non ha potuto confermare il bilancio finale di ogni attacco, ma la direzione è inequivocabile. Gli incrementi di produttività che rendono gli agenti IA attraenti per gli sviluppatori si applicano anche alle persone che li attaccano.

Stai al passo con l'intelligenza artificiale

L’intelligenza artificiale sta riscrivendo le regole della sicurezza per tutti. Per ultime notizie su AI su agenti, abusi e difesa, AI Buzz Wire traccia la frontiera.

Leggi altre notizie sull'AI →