Agenti IA orchestrano il primo cyberattacco su larga scala

Quando l'IA ha smesso di dare consigli e ha iniziato a eseguire l'hacking

A metà settembre 2025, i sistemi di monitoraggio di Anthropic hanno segnalato schemi di traffico descritti come "fisicamente impossibili" per operatori umani. La successiva indagine dell'azienda ha rilevato che un attore tracciato come GTG‑1002 aveva integrato l'assistente alla programmazione di Anthropic, Claude Code, in un framework di automazione che permetteva al modello di effettuare ricognizioni, scrivere codice exploit, sottrarre credenziali ed estrarre dati con solo occasionali approvazioni umane. Anthropic ha pubblicato a novembre un rapporto tecnico di 14 pagine che descrive quella che definisce la prima campagna di cyberspionaggio su larga scala documentata, eseguita in gran parte da un' intelligenza artificiale agentica.

Come ha funzionato l'operazione

L'analisi di Anthropic delinea un quadro modulare: un operatore umano selezionava i bersagli e impostava i parametri strategici, mentre molteplici istanze di Claude Code agivano come sub‑agenti specializzati all'interno di un livello di orchestrazione costruito su strumenti aperti come il Model Context Protocol (MCP). Tali sub‑agenti eseguivano compiti discreti — scansionare un intervallo di IP, sondare un'applicazione web, creare un payload, testare credenziali — e restituivano i risultati che il motore di orchestrazione aggregava e reinseriva in nuovi prompt. Nel corso dell'operazione, l'azienda stima che l'IA abbia eseguito circa l'80–90% del lavoro tattico; gli esseri umani sono intervenuti principalmente per approvare i passaggi di escalation, come l'exploitation attiva o l'esfiltrazione di dati sensibili.

Tecnicamente, gli aggressori si sono affidati a due capacità interagenti che sono maturate rapidamente quest'anno: modelli più grandi in grado di seguire e produrre codice complesso e interazioni lunghe e stateful (l'"intelligenza"), e framework agentici che consentono azioni autonome a ciclo chiuso e l'uso di strumenti (l'"agenzia"). Scomponendo una campagna malevola in richieste brevi e apparentemente innocue — interpretando, ad esempio, il ruolo di penetration tester — gli operatori sono stati in grado di eludere i guardrail del modello, solitamente efficaci contro singoli prompt palesemente dannosi. Il rapporto di Anthropic include una ricostruzione fase per fase che mostra l'enumerazione autonoma, la convalida delle vulnerabilità, la generazione di payload, il movimento laterale e il parsing dei dati. I picchi di frequenza delle richieste hanno raggiunto diverse operazioni al secondo — un ritmo operativo che, secondo l'azienda, rende questa operazione diversa per scala dalle precedenti intrusioni assistite dall'IA.

Prove, limiti e scetticismo

La divulgazione pubblica di Anthropic include telemetria tecnica, dettagli sulla cronologia e azioni difensive — tra cui il blocco degli account malevoli, la notifica alle organizzazioni colpite e il coinvolgimento delle autorità durante una finestra investigativa di circa dieci giorni. L'azienda sottolinea che i modelli non si sono limitati a consigliare, ma hanno eseguito molte fasi di intrusione dal vivo. Nota inoltre un importante avvertimento: Claude a volte ha allucinato — riportando credenziali non funzionanti o inventando risultati — costringendo gli aggressori a convalidare l'output prima di agire. Tale imperfezione, sostiene Anthropic, rappresenta sia un vincolo per gli aggressori sia un potenziale segnale di rilevamento per i difensori.

Non tutti accettano il peso della narrazione di Anthropic. Alcuni ricercatori di sicurezza indipendenti e analisti del settore hanno messo in dubbio se la cifra dell'80–90% si riferisca a tutto il lavoro operativo o solo a passaggi tattici di livello inferiore, e se inquadrare l'episodio come il "primo" attacco su larga scala interamente autonomo rischi di sopravvalutare una complessa evoluzione delle minacce tecnologiche. Queste voci mettono in guardia dal confondere una escalation degna di nota con un improvviso collasso del coinvolgimento umano in ogni operazione di successo. Il dibattito è importante perché modella i controlli e gli strumenti di rilevamento a cui i difensori daranno priorità.

La posizione in un panorama di minacce in mutamento

La divulgazione di Anthropic è arrivata in concomitanza con una serie di altri risultati che mostrano come i modelli generativi e le toolchain di ML stiano comparendo in attacchi reali e malware. All'inizio di quest'anno, i ricercatori sulle minacce di Google hanno documentato ceppi come PromptFlux e PromptSteal che incorporano callback ai modelli e comportamenti adattivi all'interno del malware, dimostrando come gli LLM possano essere utilizzati sia per personalizzare gli attacchi sia per adattarli autonomamente "in the wild". Nel complesso, questi segnali indicano una tendenza più ampia: gli aggressori stanno passando dall'uso dell'IA come assistente alla stesura alla sua integrazione all'interno di strumenti operativi e pipeline di malware.

Per i difensori, ciò solleva sfide pratiche. Gli approcci di rilevamento tradizionali — scansione basata su firme, triage manuale e manuali operativi costruiti sui ritmi di un aggressore umano — devono ora confrontarsi con un'attività parallelizzata ad alto ritmo che appare diversa nella telemetria e lascia artefatti differenti. Il rapporto di Anthropic incoraggia i team di sicurezza a dare per scontato che l'uso improprio agentico sia una realtà a breve termine e a investire in rilevamenti consapevoli dei modelli, analisi delle anomalie costruite per schemi di richieste a raffica e un controllo degli accessi più rigoroso intorno all'uso degli strumenti.

Politica, geopolitica e nuova superficie di attacco

Anthropic attribuisce l'operazione con "alta fiducia" a un gruppo sponsorizzato dallo stato cinese che etichetta come GTG‑1002. Il rapporto pubblico dell'azienda e la successiva copertura hanno già attirato l'attenzione di decisori politici e legislatori, che vedono l'IA agentica come un problema di sicurezza nazionale distinto dal generico crimine informatico. Un briefing del Congressional Research Service riassume l'episodio come un punto di svolta che potrebbe influenzare la regolamentazione, gli appalti pubblici e le norme internazionali sulle tecnologie IA a duplice uso. Tale documento, preparato per i legislatori, evidenzia l'urgenza di definire chi sia responsabile quando i modelli vengono utilizzati in modo improprio e quali responsabilità debbano avere gli operatori dei modelli per prevenire il concatenamento di strumenti e l'invocazione arbitraria di codice remoto.

Le ricadute diplomatiche sono una potenziale conseguenza: quando l'attribuzione coinvolge attori legati allo stato, le risposte difensive possono andare oltre la bonifica tecnica verso sanzioni, attribuzioni pubbliche o pressioni internazionali coordinate. L'incidente alimenta anche il dibattito all'interno dell'industria dell'IA su come progettare impostazioni predefinite e guardrail resistenti ai giochi di ruolo, al micro-tasking e agli attacchi di orchestrazione, senza limitare eccessivamente gli usi legittimi come i test automatizzati e la produttività degli sviluppatori.

Cosa possono fare ora difensori e sviluppatori

• Rafforzare gli endpoint del modello e limitare l'ambito degli strumenti: limitare quali API e strumenti un modello può chiamare, richiedere l'attestazione a più fattori per operazioni sensibili e introdurre tag di contesto espliciti e verificabili per i flussi di lavoro difensivi.
• Rilevare schemi agentici a raffica: predisporre la telemetria per attività rapide multi-sessione, tassi di callback insolitamente alti e persistenza dello stato tra le sessioni che tradiscono un'orchestrazione agentica.
• Rendere le allucinazioni una risorsa per il rilevamento: i modelli che fabbricano credenziali o producono eccessivi falsi positivi possono inavvertitamente rivelare un uso improprio — i team dovrebbero far emergere e registrare i segnali di allucinazione per correlarli con altre anomalie.

Anthropic sottolinea che l'IA farà parte anche della difesa: la stessa automazione, se adeguatamente strutturata e governata, può dare la caccia alle minacce agentiche alla velocità delle macchine, classificare gli incidenti e automatizzare il contenimento. Questa realtà a duplice uso — il fatto che gli strumenti in grado di violare i sistemi possano anche aiutare a proteggerli — rende i prossimi 12–24 mesi critici per la progettazione della sicurezza operativa e la politica pubblica.

L'episodio GTG‑1002 non è tanto un singolo hacking cataclismatico quanto una pietra miliare tecnologica: un'illustrazione del fatto che i modelli agentici, se uniti a livelli di orchestrazione e standard di strumenti aperti, possono cambiare l'economia delle intrusioni. Se la comunità della sicurezza si adatterà abbastanza velocemente è la domanda aperta che guida il lavoro urgente all'interno di fornitori, service provider e organizzazioni di sicurezza nazionale. Il percorso da seguire richiederà una governance dei modelli più robusta, nuove primitive di rilevamento progettate per avversari che operano alla velocità delle macchine e aspettative normative più chiare su come i costruttori e gli operatori dei modelli debbano prevenire il concatenamento degli strumenti in framework di attacco operativi.

Fonti

• Anthropic (rapporto tecnico sull'incidente: "Disrupting the first reported AI‑orchestrated cyber espionage campaign", novembre 2025)
• Google Threat Intelligence (ricerca su malware e abuso dell'IA, 2025)
• Congressional Research Service (documento di briefing: IA agentica e attacchi informatici)