Attacco multi-agente contro governi asiatici: l’AI automatizza la catena offensiva

Otto agenti AI coordinati in 12 ondate

Una campagna contro agenzie governative dell’Asia-Pacifico ha utilizzato un’architettura multi-agente capace di automatizzare gran parte delle fasi di un attacco informatico. L’operazione è stata descritta da Dream in una ricerca pubblicata il 12 agosto.

Il sistema poteva attivare fino a otto agenti AI simultaneamente, coordinati da una sessione principale. Gli agenti svolgevano compiti distinti: ricognizione, analisi delle API, ricerca di endpoint esposti, attacco alle credenziali, sfruttamento delle vulnerabilità, movimento laterale, esfiltrazione e installazione di backdoor.

L’attività è stata suddivisa in 12 ondate d’attacco. Dopo ogni fase, l’agente coordinatore valutava i risultati con un algoritmo di scoring bayesiano: le tecniche efficaci ricevevano punteggi migliori, mentre i tentativi falliti venivano penalizzati. Le ondate successive privilegiavano quindi le strategie che avevano prodotto i risultati più utili.

Non si tratta soltanto di automazione di singoli strumenti. La sequenza osservata riproduce una catena offensiva normalmente gestita da più analisti e operatori umani, ma con maggiore parallelizzazione e capacità di adattamento.

OpenClaw e Hermes alla base dell’infrastruttura

Gli aggressori hanno costruito l’ambiente operativo sui framework agentici OpenClaw e Hermes. Il workspace analizzato superava i 160 megabyte e comprendeva 1.395 file.

L’infrastruttura sarebbe stata generata dopo avere sottoposto modelli frontier non identificati a tecniche di social engineering. Gli operatori li avrebbero indotti a sviluppare un framework di penetration testing destinato ad attaccare un’agenzia governativa asiatica, aggirando i controlli e le limitazioni previsti dai modelli.

I sotto-agenti erano identificati con singole lettere comprese tra “A” e “Q”. A ciascuno veniva assegnato un ruolo operativo specifico. Tra le attività rilevate figurano:

• esplorazione di API ed endpoint pubblici;
• individuazione di vulnerabilità;
• compromissione o cracking delle credenziali di dipendenti governativi;
• raccolta di ulteriori credenziali;
• accesso a sistemi e reti;
• utilizzo di ambienti secondari come backup e piattaforme di test;
• esfiltrazione di dati relativi al personale;
• installazione di backdoor persistenti su applicazioni Web;
• verifica dei risultati e ottimizzazione delle fasi successive.

La campagna non avrebbe richiesto vulnerabilità zero-day. Gli operatori hanno combinato social engineering, falle già esistenti, furto di credenziali e abuso di configurazioni o ambienti accessori. Il dato ridimensiona l’idea che l’uso dell’intelligenza artificiale renda indispensabile una vulnerabilità sconosciuta: può invece aumentare drasticamente l’efficacia di tecniche già disponibili.

L’ipotesi di un attacco contro Taiwan

Dream non ha attribuito formalmente l’operazione a un gruppo specifico. L’uso del cinese semplificato è compatibile con operatori di lingua cinese, spesso associati alla Cina continentale, ma non costituisce una prova dell’origine statale dell’attacco.

Il possibile bersaglio è Taiwan. L’ipotesi, riportata inizialmente dal Financial Times, non è stata confermata pubblicamente da Dream per proteggere i propri clienti.

Il 13 agosto, il Ministero degli Affari Digitali di Taiwan, o MODA, ha comunicato di avere rilevato nel mese di luglio attacchi anomali contro agenzie governative. L’indagine è stata condotta insieme al National Institute of Cyber Security (NICS).

Le autorità taiwanesi hanno emesso allerte interne e avviato gli accertamenti il 20 luglio, completandoli il 13 agosto. Secondo il MODA, l’attività presentava un modello ibrido: operatori umani coordinavano agenti AI come OpenClaw, capaci di concatenare rapidamente diverse tecniche e utilizzare sistemi di backup o test come punti di appoggio verso altri obiettivi.

La campagna contro il bersaglio governativo si sarebbe svolta dal 1° al 4 luglio. Dream ha rilevato i primi segnali il 2 luglio e ha continuato l’analisi nelle settimane successive. Questa sequenza è compatibile con l’ipotesi taiwanese, ma non la dimostra.

Resta incerta anche l’identità degli operatori. Dream, che monitora oltre 100 gruppi di minaccia, non ha collegato con certezza le tattiche osservate a uno dei gruppi già tracciati.

Dati del personale e backdoor persistenti

L’impatto potenziale riguarda sia la riservatezza delle informazioni sia la capacità di mantenere un accesso nel tempo. Il furto di dati sul personale può facilitare campagne successive di phishing mirato, impersonificazione e compromissione degli account.

L’installazione di backdoor su applicazioni Web governative introduce invece un meccanismo di persistenza. Anche dopo la rimozione dell’accesso iniziale, gli aggressori potrebbero tentare di rientrare attraverso componenti modificati o credenziali già sottratte.

L’abuso di ambienti di backup, sviluppo e test amplia ulteriormente la superficie esposta. Questi sistemi sono spesso meno sorvegliati rispetto agli ambienti di produzione, ma possono contenere configurazioni, segreti, copie di database o collegamenti privilegiati verso la rete principale.

Secondo Amir Becker, chief business and strategy officer di Dream ed ex comandante della divisione cyber operations dell’unità 8200 israeliana, velocità, scala e costi dell’offensiva stanno cambiando rapidamente. Una difesa basata soltanto su processi manuali rischia di non sostenere il ritmo imposto da sistemi capaci di lavorare in parallelo.

Carl Wright, chief commercial officer di AttackIQ ed ex CISO del Corpo dei Marines statunitense, ha evidenziato un ulteriore rischio: capacità sviluppate contro obiettivi regionali potrebbero essere perfezionate e successivamente impiegate contro organizzazioni in altri Paesi.

Taiwan e Corea del Sud potrebbero diventare ambienti di prova per attori cinesi, nordcoreani e gruppi criminali. Dopo il perfezionamento delle tecniche, gli stessi strumenti potrebbero essere rivolti contro operatori nel Regno Unito, negli Stati Uniti o in altri Paesi.

Le priorità per la difesa

Le organizzazioni dovrebbero partire dalla superficie realmente sfruttata nella campagna: API, applicazioni Web, sistemi di autenticazione e ambienti secondari. Il fatto che non siano stati necessari zero-day rende essenziali la gestione delle vulnerabilità note e la correzione delle configurazioni errate.

Le priorità operative includono:

• applicare l’autenticazione multifattore agli account del personale;
• rilevare tentativi anomali di cracking e riutilizzo delle credenziali;
• separare backup, sviluppo e test dagli ambienti di produzione;
• controllare i collegamenti e i privilegi tra sistemi secondari e reti principali;
• monitorare modifiche persistenti alle applicazioni Web;
• cercare nuove backdoor, account inattesi e chiavi di accesso non autorizzate;
• correlare eventi distribuiti tra account, API, endpoint e sistemi diversi;
• sottoporre i modelli AI a test contro richieste manipolatorie presentate come attività di penetration testing;
• utilizzare agenti AI in attività autorizzate di threat hunting, simulazione avversaria e verifica delle esposizioni.

Non sono stati riportati identificativi CVE associati all’incidente. La risposta, quindi, non può ridursi all’installazione di una singola patch: richiede controllo delle identità, segmentazione, monitoraggio continuo e verifica automatizzata dei percorsi d’attacco.

Il caso mostra soprattutto un cambiamento organizzativo. Gli aggressori stanno combinando supervisione umana e agenti capaci di ricercare, provare, valutare e ripetere. I difensori dovranno fare lo stesso, mantenendo però autorizzazioni, tracciabilità e limiti rigorosi sui sistemi utilizzati.