Agenti IA autonomi hanno sottratto migliaia di credenziali in meno di sei ore

Il Google Threat Intelligence Group ha documentato un’operazione motivata da finalità finanziarie nella quale agenti IA autonomi hanno sottratto migliaia di credenziali di terze parti da un’infrastruttura cloud compromessa in meno di sei ore.

Gli aggressori hanno combinato un chatbot di coding basato sull’IA con un prompt di controllo, ruoli specializzati per gli agenti e file Markdown di istruzioni riutilizzabili. Insieme, questi componenti hanno formato un framework operativo in grado di analizzare i sistemi, raccogliere credenziali, risolvere i problemi di esecuzione e cambiare gli indirizzi IP con una supervisione umana limitata.

L’organizzazione colpita non è stata identificata e la data dell’intrusione non è nota. GTIG non ha inoltre reso noto il metodo di accesso iniziale, il numero esatto di credenziali, il cloud provider né gli indicatori tecnici associati all’incidente.

Nonostante queste lacune, l’operazione segna un cambiamento concreto nel modo in cui l’IA può sostenere la criminalità informatica. Il sistema non si è limitato a scrivere messaggi di phishing o a produrre frammenti di codice isolati: ha coordinato più fasi di un’intrusione attiva.

Una pipeline multi-agente ha sostituito la gestione manuale dell’attacco

Il framework utilizzava istruzioni preconfigurate come playbook d’attacco. A ciascun agente poteva essere assegnata una funzione operativa, mentre il sistema più ampio collegava tali funzioni in una pipeline automatizzata.

Tra le capacità segnalate figuravano:

• Scansione delle vulnerabilità e dei servizi esposti.
• Individuazione e raccolta delle credenziali.
• Risoluzione dei problemi quando le attività non andavano a buon fine.
• Rotazione degli IP per mantenere l’attività o complicare il rilevamento.
• Gestione del flusso di scansione al variare delle condizioni.

Questa architettura ha ridotto la necessità che un operatore supervisionasse manualmente ogni comando. GTIG ha valutato che il framework fosse in grado di adattarsi durante l’esecuzione e di risolvere i problemi in tempo reale, consentendo all’aggressore di mantenere lo slancio attraverso più fasi.

Il risultato è stato la velocità. Migliaia di credenziali appartenenti a terze parti sono state compromesse prima che i difensori avessero molte possibilità di indagare, contenere l’intrusione nel cloud e revocare i segreti esposti.

Non è noto se il sistema selezionasse autonomamente le vulnerabilità, eseguisse gli exploit o convalidasse ciascuna credenziale sottratta. Non sono stati divulgati identificativi CVE né versioni dei software interessati. L’incidente, quindi, non deve essere considerato un tradizionale avviso di vulnerabilità né una prova della compromissione di uno specifico prodotto IA.

Dimostra invece come gli agenti possano collegare ricognizione, raccolta, risoluzione dei problemi ed elusione in un flusso di lavoro continuo. Gli operatori umani continuano a stabilire gli obiettivi e a fornire le istruzioni, ma non devono più controllare direttamente ogni singola azione.

TeamPCP prende di mira la software supply chain e i segreti CI/CD

GTIG ha inoltre collegato a TeamPCP, un gruppo motivato da finalità finanziarie noto anche come Altered Spider e UNC6780, una serie più ampia di compromissioni della software supply chain. Tra i suoi obiettivi figurano gli ecosistemi PyPI, npm e Docker Hub.

La compromissione di pacchetti destinati agli sviluppatori, immagini container o account associati può fornire accesso ad ambienti in cui sono normalmente presenti segreti di elevato valore. I sistemi di build possono contenere token cloud, credenziali per la pubblicazione dei pacchetti, chiavi di accesso al codice sorgente, materiale per la firma, configurazioni di assistenti IA e autorizzazioni di deployment.

Dopo aver ottenuto l’accesso, TeamPCP ha distribuito due famiglie di malware per il furto di credenziali: SANDCLOCK e DUSTMAKER.

SANDCLOCK è stato utilizzato a marzo e aprile 2026 ed è stato associato pubblicamente all’attività denominata CanisterWorm. Scritto principalmente in Python e rivolto ai sistemi Linux, può interagire con Kubernetes, sottrarre credenziali cloud e degli sviluppatori, prendere di mira i portafogli di criptovalute e tentare di evadere dai container.

DUSTMAKER è stato utilizzato ad aprile 2026 e successivamente. Questo payload JavaScript multipiattaforma è ottimizzato per gli ambienti di continuous integration e continuous delivery. Non dispone della capacità di evasione dai container di SANDCLOCK, ma si concentra sul furto di credenziali che possono favorire attività di estorsione. Alcune varianti prendono di mira anche i portafogli di criptovalute.

DUSTMAKER aggiunge un livello specificamente orientato all’IA. Può avvelenare gli spazi di lavoro degli assistenti IA e utilizzare la prompt injection per eludere i controlli difensivi. Le varianti precedenti di SANDCLOCK descritte da GTIG non presentavano queste tecniche.

L’avvelenamento dello spazio di lavoro è particolarmente pericoloso quando gli sviluppatori consentono agli agenti di coding di leggere la documentazione dei repository, i file Markdown, gli artefatti di configurazione o le istruzioni a livello di progetto. Un’istruzione dannosa inserita in contenuti dello spazio di lavoro apparentemente affidabili può influenzare il comportamento dell’assistente, sopprimere gli avvisi, esporre segreti o indurlo a eseguire azioni non sicure.

TeamPCP monetizza gli accessi sottratti attraverso vendite dirette e rapporti con gruppi ransomware e gruppi che praticano l’estorsione tramite furto di dati. Una compromissione della supply chain può quindi diventare il punto di ingresso per diversi aggressori a valle.

Modelli IA, prompt e ricerca sono ora obiettivi di furto

Gli aggressori non utilizzano l’IA soltanto come strumento offensivo. Prendono di mira anche l’infrastruttura e la proprietà intellettuale alla base dei sistemi IA aziendali.

GTIG ha osservato operazioni contro organizzazioni sanitarie, governative e del settore dei media che comprendevano tentativi di sottrarre modelli proprietari, prompt, competenze IA, codice sorgente, attività di ricerca e credenziali API. Gli attori delle minacce hanno inoltre cercato di accedere ai sistemi di sviluppo IA e hanno riutilizzato ambienti cloud compromessi per eseguire carichi di lavoro non autorizzati.

Le possibili conseguenze vanno oltre una violazione dei dati tradizionale. Le chiavi API sottratte possono consentire agli aggressori di utilizzare servizi a pagamento a nome della vittima. Gli account cloud compromessi possono ospitare costosi carichi di inferenza, mentre modelli e ricerche sottratti possono favorire attività di spionaggio, estorsione, replica della concorrenza o rivendita.

Google ha inoltre osservato attacchi di distillazione rivolti alla comprensione visiva e audio, alla generazione di immagini e alla generazione di video. In questo tipo di attività, un aggressore invia ripetutamente query a un modello protetto e utilizza i suoi output per addestrare o migliorare un altro sistema, tentando di replicarne le capacità senza acquisire direttamente il modello originale.

Gli infostealer disponibili sul mercato contribuiscono al mercato degli accessi. Lumma Stealer, Vidar e ACR Stealer sono stati identificati come probabili fonti di credenziali per servizi IA e ambienti di sviluppo. I loro obiettivi di raccolta si sono ampliati fino a includere file di configurazione degli sviluppatori IA, token e altri artefatti associati agli assistenti di coding e alle API LLM.

Una volta sottratto, questo materiale può esporre molto più di un account di chatbot. Può fornire accesso a repository del codice sorgente, deployment cloud, cronologie dei progetti, prompt proprietari, strumenti collegati e automazioni con privilegi elevati.

I modelli locali riducono la visibilità dei provider

Si sospetta che un attore legato alla Cina, tracciato come UNC6508, abbia compromesso ambienti cloud e installato un’infrastruttura LLM locale. Anziché affidarsi all’API di un modello commerciale di frontiera, l’attore ha utilizzato un modello open-weight all’interno dell’ambiente della vittima.

Questa scelta elimina un importante livello di monitoraggio. I provider API possono analizzare i modelli di utilizzo, applicare controlli contro gli abusi, sospendere gli account e indagare sui prompt dannosi. Un modello gestito localmente non genera una telemetria esterna equivalente.

L’aggressore può inoltre utilizzare le risorse di calcolo della vittima per mantenere attivi i carichi di inferenza. Un uso inatteso delle GPU, nuovi file di modello, deployment di container, servizi in ascolto e variazioni repentine nel consumo cloud possono quindi indicare sia un furto di risorse sia un’attività IA dannosa.

GTIG ha evidenziato come ulteriore motivo di preoccupazione la disponibilità di varianti di modelli «abliterated» o comunque privi di censura. Questi modelli possono essere utilizzati senza un controllo centralizzato della sicurezza per la ricognizione, il phishing, lo scripting dannoso o l’orchestrazione degli strumenti.

Il problema non riguarda semplicemente l’accessibilità dei modelli open. I difensori devono considerare anche i carichi di lavoro IA eseguiti interamente all’interno di infrastrutture compromesse.

Stati e gruppi criminali ampliano l’uso dell’IA

Il fenomeno si estende allo spionaggio, alle frodi, alle operazioni d’influenza e all’estorsione.

Basin Castle, noto anche come Mustang Panda, ha utilizzato Claude, Gemini e Codex per script di exploit, spear phishing, ricerca sugli obiettivi e risoluzione dei problemi durante le intrusioni. Ravine Castle, tracciato anche come APT24, COULEE e Pitty Tiger, ha utilizzato Gemini per la raccolta di informazioni, lo sviluppo di capacità e le attività d’influenza.

Sandworm, noto anche come APT44 e Sandworm Relic, ha utilizzato Gemini in operazioni contro l’Ucraina per la raccolta di informazioni, l’ingegneria sociale e l’automazione dei flussi di lavoro. Calanque Ion, legato all’Iran e noto anche come APT42, ha applicato l’IA generativa alla ricognizione e all’ingegneria sociale mirata.

Attori legati alla Corea del Nord hanno utilizzato l’IA per frodi legate a lavoratori IT, registrazioni su vasta scala di account per API LLM attraverso identità sottratte, manipolazione della supply chain, ingegneria sociale e sviluppo automatizzato di backdoor. UNC6240, noto anche come ShinyHunters, ha utilizzato Claude Code per eludere i controlli di Cloudflare e analizzare directory sottratte a fini di estorsione.

Un gruppo di spionaggio allineato con la Cina ha inoltre utilizzato Gemini durante lo sviluppo di un framework automatizzato di penetration testing progettato per osservare gli obiettivi, valutare le possibili azioni, eseguire la scansione delle porte, analizzare i servizi e operare in ambienti mutevoli.

Questi esempi mostrano che l’IA agentica sta diventando un livello operativo. Può aiutare gli aggressori a prendere decisioni e coordinare gli strumenti, non soltanto a generare contenuti.

I difensori devono considerare le istruzioni degli agenti un rischio eseguibile

Le organizzazioni dovrebbero innanzitutto ruotare e revocare tutte le credenziali cloud, degli sviluppatori, CI/CD, delle API LLM e dei portafogli di criptovalute esposte. Dovrebbero quindi cercare utilizzi anomali dei token, accessi massivi alle credenziali, registrazioni API inattese, rapidi cambi di IP, scansioni automatizzate e consumi cloud o GPU non spiegati.

Tra le principali azioni difensive rientrano:

• Isolare i runner di build e limitarne l’accesso ai segreti di produzione.
• Applicare controlli sull’integrità dei pacchetti, bloccare le dipendenze su versioni specifiche, verificare la provenienza e controllare la pubblicazione.
• Esaminare i file Markdown e gli altri file di istruzioni utilizzati dagli agenti di coding.
• Monitorare repository e spazi di lavoro alla ricerca di contenuti di prompt injection.
• Registrare centralmente le azioni degli assistenti IA, le chiamate API, l’esecuzione degli strumenti e le modifiche amministrative.
• Rilevare file di modello, server di inferenza, container e servizi IA locali non autorizzati.
• Segmentare gli ambienti di sviluppo, il cloud di produzione e la sperimentazione IA.
• Limitare gli strumenti IA non approvati senza fare affidamento sulle restrizioni come unico controllo.
• Proteggere modelli, prompt, attività di ricerca e codice sorgente considerandoli proprietà intellettuale di elevato valore.

Non sono stati forniti indicatori di compromissione pubblici per l’operazione di sottrazione delle credenziali durata sei ore. I difensori devono quindi concentrarsi sulle evidenze comportamentali anziché su un elenco fisso di firme.

Il rischio principale è già concreto: gli agenti IA possono comprimere i tempi di un’intrusione coordinando attività che in precedenza richiedevano l’attenzione continua di un operatore. Quando credenziali, sistemi di build e risorse cloud sono interconnessi, sei ore possono bastare per trasformare un singolo ambiente compromesso in un accesso a molti altri.