Attacchi informatici autonomi, alle aziende restano sei mesi per accelerare le difese

Un modello ha completato da solo un’intera compromissione

Gli attacchi informatici condotti da agenti di intelligenza artificiale non sono più limitati all’esecuzione di singoli compiti, come scrivere codice malevolo o analizzare una vulnerabilità. Almeno un modello di frontiera ha dimostrato di poter gestire autonomamente l’intera compromissione di una rete aziendale realistica, dalla ricerca dei punti deboli fino all’esecuzione dell’attacco.

Il 2 settembre Booz Allen ha confermato che Mythos 5 di Anthropic ha operato come un hacker autonomo in un ambiente enterprise di livello produttivo. La società ha presentato contestualmente il Cyber Weapon Index, o CWI, una metrica pensata per valutare insieme due capacità: individuare e sfruttare vulnerabilità, quindi proseguire l’operazione contro un obiettivo.

Mythos 5 ha ottenuto 80 punti. Il concorrente più vicino, Grok-4.5 di SpaceXAI, si è fermato a 49.

Il risultato non significa che i sistemi autonomi siano già affidabili in ogni scenario. Dimostra però che la catena offensiva completa è tecnicamente raggiungibile senza richiedere istruzioni umane per ciascun passaggio. È questo il salto rilevante.

Brad Medairy, presidente della divisione National Cyber di Booz Allen, stima che entro circa sei mesi potrebbe emergere una sostanziale parità tra i modelli di frontiera e quelli cinesi. Non si tratta di una scadenza certa, ma di una finestra di preparazione: quando capacità simili saranno disponibili su più piattaforme, costo e scala potrebbero diventare più importanti del primato in classifica.

I test mostrano autonomia reale, ma non ancora affidabilità costante

I risultati del CWI sono coerenti con le valutazioni condotte dall’AI Security Institute, struttura del Department for Science, Innovation, and Technology del governo britannico.

A giugno, l’istituto ha riferito che Mythos era riuscito a completare una catena d’attacco end-to-end durante prove di tipo capture-the-flag. Nello stesso contesto, GPT-5.5 di OpenAI ha completato una sequenza composta da 32 passaggi.

Le percentuali di successo restano contenute. Mythos ha concluso l’attacco in tre tentativi su dieci, mentre GPT-5.5 è riuscito in due su dieci. Entrambi sono quindi rimasti sotto il 50%.

Il dato va letto con cautela, ma non minimizzato. Un tasso di riuscita del 20% o del 30% può apparire basso se si valuta un singolo tentativo; diventa più serio quando l’attaccante può eseguire numerose prove in parallelo, senza stanchezza e con costi marginali progressivamente inferiori.

L’automazione cambia anche il tipo di rischio. Un sistema capace di mantenere lo stato tra le fasi può ricostruire la superficie esposta, scegliere un exploit, verificare l’accesso ottenuto e cercare nuove destinazioni. Non automatizza soltanto un comando: orchestra un percorso.

La graduatoria attuale, perciò, è meno importante della velocità con cui i modelli meno avanzati possono recuperare terreno. Se un sistema più economico raggiunge prestazioni sufficienti, l’attacco autonomo può diventare conveniente anche senza essere impeccabile.

L’attacco ai server taiwanesi mostra la compressione dei tempi

Le prove di laboratorio non sono l’unico segnale. A luglio, un gruppo di minacce informatiche di lingua cinese ha attaccato server governativi taiwanesi attraverso un’operazione sviluppata nell’arco di quattro giorni.

Secondo l’analisi di Tenable, gli agenti impiegati nell’attività hanno deciso autonomamente quali sistemi mappare, quali tecniche recuperare da risorse pubbliche e quando estendere l’operazione verso altri settori. Non avrebbero ricevuto indicazioni umane dettagliate per ogni singola azione.

Tenable ha collegato il caso a circa mezza dozzina di altri attacchi assistiti dall’intelligenza artificiale. Non è noto quanto dell’operazione fosse completamente autonomo e quanto dipendesse da supervisione umana. Il vantaggio operativo, tuttavia, è già visibile: molte attività di ricognizione, selezione delle tecniche ed esecuzione possono essere compresse in una finestra molto più breve.

Questo mette in discussione i tempi di risposta comunemente adottati dalle aziende. Un intervento entro quattro ore può essere considerato rapido per un team umano, ma potrebbe arrivare quando un agente ha già enumerato più sistemi, provato diversi percorsi e avviato il movimento laterale.

La superiorità non deriva necessariamente da exploit più sofisticati. Può derivare dal volume: più tentativi, su più asset, condotti contemporaneamente.

Open-weight e harness possono abbassare il costo degli attacchi

L’accelerazione potrebbe arrivare non soltanto dai modelli di frontiera, ma dai sistemi open-weight. Questi modelli consentono un controllo più diretto sull’esecuzione e possono ridurre i costi e le restrizioni associate ai servizi proprietari.

Nico Waisman, CISO del vendor di sicurezza offensiva XBOW, segnala un miglioramento significativo delle loro capacità cyber. Se un modello open-weight diventa abbastanza efficace, l’automazione offensiva può trasformarsi nella scelta con il ritorno economico migliore, anziché rimanere una dimostrazione sperimentale.

La convenienza dipende almeno da tre variabili:

• costo dei token e dell’infrastruttura necessaria;
• percentuale di attacchi conclusi con successo;
• capacità complessiva misurata attraverso indicatori come il CWI.

Il modello di base, inoltre, è soltanto una parte del sistema. Un ruolo decisivo spetta agli harness, cioè l’insieme di strumenti, procedure, memoria operativa, controlli e componenti di orchestrazione che permettono all’IA di agire.

XBOW ha combinato modelli disponibili sul mercato, competenze umane e harness proprietari per individuare sei vulnerabilità in Google Chrome e organizzarle in due catene d’attacco. Il vantaggio non dipendeva dall’accesso esclusivo a un modello più potente, ma dall’integrazione tra software, strumenti operativi e personale specializzato.

Per valutare un agente offensivo bisogna quindi esaminare quali comandi può eseguire, quali fonti può consultare, quanta autonomia possiede e se conserva il contesto tra le diverse fasi. Contano anche le autorizzazioni richieste e la presenza di verifiche umane.

La rumorosità resta un limite, ma potrebbe diminuire

Il Cyber Weapon Index non misura adeguatamente la furtività. Gli agenti attuali tendono a essere rumorosi: producono molte richieste, tentativi ed eventi facilmente osservabili perché non sono stati ottimizzati per nascondere la propria attività.

Questa caratteristica offre ai difensori un vantaggio temporaneo. Scansioni aggressive, autenticazioni ripetute, accessi anomali e sequenze automatizzate possono alimentare regole di rilevamento efficaci.

Non è però prudente considerare tale rumore una proprietà permanente. Harness più maturi potrebbero ridurre i tentativi inutili, distribuire le attività nel tempo e selezionare meglio le tecniche. Anche l’intervento di operatori esperti può rendere un agente più discreto.

Booz Allen propone nel breve periodo anche contromisure basate sulla deception. La soluzione Guile inserisce falsi indizi, percorsi improduttivi e vicoli ciechi progettati per confondere gli agenti automatici.

Secondo Medairy, i modelli falliscono davanti a questi inganni in oltre il 90% dei casi, mentre gli esseri umani raramente commettono gli stessi errori. La deception può quindi rallentare l’automazione, ma non sostituisce segmentazione, controllo degli accessi e monitoraggio. È una barriera aggiuntiva.

Come preparare una difesa capace di reagire a velocità macchina

Limitarsi ad applicare patch non basta. La correzione delle vulnerabilità resta essenziale, ma nessuna organizzazione riesce a eliminare immediatamente ogni esposizione. Un agente autonomo può cercare il percorso ancora aperto mentre il team sta correggendo quello già individuato.

La prima priorità è mappare gli asset critici, le dipendenze e i percorsi utilizzabili per estendere una compromissione. Account, sistemi e segmenti devono avere privilegi limitati, così che una singola violazione non permetta di raggiungere l’intera infrastruttura.

Occorre poi automatizzare ciò che oggi rallenta il ciclo difensivo:

• ottimizzazione delle regole di rilevamento;
• triage e arricchimento degli eventi;
• prioritizzazione degli alert;
• isolamento degli asset compromessi;
• applicazione di contromisure ripetitive;
• verifica continua dell’efficacia dei controlli.

Le aziende dovrebbero inoltre testare il contenimento, non soltanto la prevenzione. Una simulazione utile deve misurare quanto rapidamente sia possibile bloccare credenziali, segmentare un sistema e interrompere il movimento laterale.

I prossimi sei mesi non costituiscono una previsione certa sull’arrivo di un attacco universale e infallibile. Sono invece il periodo nel quale prepararsi alla convergenza di tre fattori già osservabili: modelli più capaci, harness migliori e costi inferiori.

Una difesa affidata principalmente a decisioni manuali parte in svantaggio. L’obiettivo non è eliminare l’intervento umano, ma riservarlo alle scelte critiche, automatizzando rilevamento, verifica e contenimento alla stessa velocità con cui gli agenti possono attaccare.