Malware potenziato dall'IA: il 97% non lascia mai la sandbox, le difese esistenti bastano

Il 26 agosto 2026, Palo Alto Networks Unit 42 ha pubblicato un'analisi su 405 campioni di malware che in qualche modo richiamano l'intelligenza artificiale. Il risultato è chiaro: l'IA accelera la scrittura e la variazione del codice malevolo, ma non ne aumenta il tasso di successo. Circa il 97% dei campioni non ha mai raggiunto un endpoint reale. Solo 12 hash sono comparsi su sistemi protetti, e tutti hanno generato un alert.

Un dataset eterogeneo: ransomware, installer camuffati e prove di concetto

I 405 campioni analizzati non sono tutti uguali. Unit 42 ha incluso ransomware parzialmente scritti con l'aiuto di modelli linguistici, installer che sfruttano il nome di app AI note e payload ordinari camuffati da prodotti legittimi. Incrociando gli hash con la telemetria degli endpoint, le sessioni di rete inoltrate alla sandbox e i record di alert, emerge un quadro sorprendente. La stragrande maggioranza non è mai uscita da ambienti di test, repository di ricerca o sandbox interne.

I tre destini del malware che non arriva in produzione

I campioni mai arrivati su bersagli reali si dividono in tre gruppi distinti.

Il primo è il codice dimostrativo. Si tratta di proof-of-concept configurati per colpire solo reti locali o private, pieni di output di debug che un vero attaccante eliminerebbe. Spesso vengono caricati una sola volta da laboratori universitari o di ricerca.

Il secondo gruppo comprende test difensivi. Le organizzazioni caricano ripetutamente lo stesso file dalla stessa fonte in una finestra temporale breve per verificare le proprie difese contro malware AI già noto. Anche questi non puntano a diffondersi.

Il terzo gruppo usa il marchio AI come semplice esca. Sono payload del tutto ordinari, senza alcuna funzionalità AI al loro interno, camuffati da installer di prodotti AI conosciuti. L'obiettivo è solo sfruttare la fiducia nel nome.

I 12 campioni arrivati sugli endpoint: cinque famiglie, nessuna concentrazione

Solo 12 hash sono stati rilevati su endpoint reali protetti. Appartengono a cinque famiglie malware distribuite in tre Paesi, senza una concentrazione settoriale o geografica. Tutti e 12 hanno generato un alert di sicurezza. Le difese esistenti li hanno intercettati senza richiedere metodi di rilevamento nuovi.

La famiglia più comune è FunkSec, un ransomware che diversi ricercatori collegano all'assistenza di modelli linguistici. I nomi interni dei file di progetto mostrano uno sviluppatore che cambiava più volte il nome allo stesso ransomware. Unit 42 considera questo ritmo più coerente con la generazione guidata da prompt che con un ciclo di sviluppo tradizionale.

Il campione più diffuso, però, non è un ransomware. È un installer che si spacciava per un'app di ricerca ricette chiamata Recipe Lister. Dotato di firma digitale valida, una volta installato lanciava silenziosamente una backdoor. Ha attraversato più di 50 organizzazioni, generando circa 6.500 record endpoint e circa 9.600 alert. La firma inizialmente evitava sospetti, ma un firmatario insolito abbinato a contenuti fortemente impacchettati ha portato al rilevamento.

Un'altra backdoor, chiamata Oyster, si spacciava per un installer di Dropbox. La firma indicava Dropbox come editore. Unit 42 afferma che gli attaccanti ricorrono sempre più agli strumenti AI per generare questo tipo di codice di distribuzione, rendendo più rapido ed economico stabilire un primo accesso.

Un eseguibile Windows separato distribuiva l'infostealer Rhadamanthys con comunicazione command-and-control attiva. Precedenti report collegavano questa minaccia a una catena di infezione assistita da AI.

Il quinto campione impersonava un componente del prodotto di sicurezza cinese 360 Total Security. Usava una tecnica di persistenza nota come COM hijacking. È stato incluso nel dataset perché compariva in campagne distribuite insieme a esche a tema AI, non perché il suo comportamento dipendesse dall'AI.

Perché le difese hanno retto: firme anomale e packing sospetto

Il fatto che tutti i 12 campioni arrivati in produzione siano stati rilevati non è un caso. Le difese esistenti, basate sugli stessi metodi usati per il malware convenzionale, si sono rivelate sufficienti. La detonazione in sandbox, il rilevamento basato sul comportamento, il controllo delle anomalie nelle firme digitali e la misurazione del livello di packing o crittografia dei file hanno funzionato anche contro il malware legato all'IA.

Nel caso di Recipe Lister, decisivi sono stati il controllo del firmatario insolito e l'analisi dei contenuti fortemente impacchettati. Non è emersa la necessità di nuovi metodi di rilevamento specifici per il malware potenziato dall'IA. L'IA accelera la creazione e la variazione degli strumenti malevoli, ma non ne aumenta la capacità di eludere i controlli.

Cosa cambia per chi difende le reti

L'analisi di Unit 42 ridimensiona l'allarme sull'uso dell'IA nel malware. Certo, un attaccante può generare varianti più rapidamente e a costi inferiori. Ma il tasso di successo non cresce. La maggior parte dei campioni rimane confinata in laboratori, repository di ricerca o ambienti di test. Quelli che arrivano davvero sui bersagli vengono fermati dagli strumenti già in uso.

Per i difensori, la lezione è chiara: non servono nuovi prodotti o tecnologie esotiche. Servono disciplina nelle pratiche esistenti: aggiornare le firme, monitorare le anomalie nei certificati, analizzare il livello di compressione dei file sospetti e mantenere sandbox efficaci. L'IA può cambiare la velocità con cui il malware viene prodotto, ma non il modo in cui viene fermato.