Un accesso fallito, poi una correzione 31 secondi dopo
Il momento che ha fatto fermare i ricercatori di minacce di Sysdig sembrava banale in apparenza: l'intruso ha fallito un accesso. Quello che è seguito non lo era. Trentuno secondi più tardi, lo stesso intruso aveva capito perché l'accesso fallisse, aveva riscritto il proprio approccio e aveva lanciato un payload corretto in più fasi che ha funzionato. Nessun essere umano digita, prova e si adatta così in fretta alle tre di notte.
È proprio questa sequenza il motivo per cui il team di Sysdig, guidato dal direttore della ricerca sulle minacce Michael Clark, la definisce il primo caso documentato di ransomware agentico: un'operazione di estorsione governata dall'inizio alla fine da un grande modello linguistico, non da una persona davanti alla tastiera. Il settore discute da due anni di IA che scrive software malevolo. Questo è diverso. Qui l'IA non ha scritto uno strumento perché lo usasse un umano: ha eseguito da sola l'intera intrusione.
L'intera intrusione è andata avanti in pilota automatico
Il punto non è un singolo passaggio, ma il fatto che una macchina li abbia concatenati tutti senza che nessuno la guidasse. L'agente è entrato tramite CVE-2025-3248, una falla di autenticazione mancante in Langflow, un framework open source con cui i team costruiscono le proprie applicazioni di IA. Da lì ha esportato il database Postgres dello strumento, ha raccolto chiavi API, credenziali cloud e accessi ai database e ha perlustrato la rete interna.
Ha sondato l'archivio a oggetti con la password di fabbrica minioadmin/minioadmin, ha programmato un'attività che chiamava casa ogni 30 minuti per la persistenza e poi è passato a un server di configurazione MySQL e Nacos in produzione. Lì ha sfruttato una seconda falla più vecchia -CVE-2021-29441, un'elusione dell'autenticazione di Nacos-, ha falsificato i token di accesso, ha piantato un amministratore con backdoor, ha cifrato 1.342 record di configurazione e ha cancellato i database prima di lasciare una richiesta di riscatto in Bitcoin. Ogni fase, dalla ricognizione all'estorsione, è stata opera dell'agente.
La porta era uno strumento installato dal vostro stesso team
Sì, ma: il titolo si scrive da solo come 'l'IA costruisce software malevolo', ed è la lettura meno utile. Ciò su cui un operatore dovrebbe riflettere è da dove l'IA sia entrata. Langflow non è software malevolo introdotto di nascosto. È uno strumento diffuso che un team di dati o di prodotto installa per prototipare agenti di IA. Qui era esposto a internet, con un anno intero di ritardo su una patch, e si trovava accanto a un archivio a oggetti e a credenziali che portavano ancora password di fabbrica.
È questa la simmetria scomoda. L'infrastruttura che i vostri collaboratori hanno allestito per sperimentare con gli agenti è la stessa infrastruttura da cui l'agente di un aggressore è entrato indisturbato. Il boom dell'IA non ha aggiunto solo una nuova classe di aggressori; ha aggiunto una nuova classe di sistemi molli, semidimenticati e aperti su internet su cui quell'aggressore poteva atterrare.
La velocità della macchina taglia da entrambi i lati
La velocità è la minaccia davvero nuova. Una squadra umana che fallisce un accesso si riorganizza nell'arco di minuti od ore; questo agente si è corretto in 31 secondi. La comoda finestra tra il momento in cui una vulnerabilità diventa nota e quello in cui diventa un'arma -i giorni che la maggior parte dei cicli di patch dà per scontati in silenzio- si riduce a secondi quando l'avversario itera alla velocità di una macchina.
La conclusione è che la stessa generazione che ha reso l'attacco economico lo ha reso anche rumoroso. L'agente ha corredato i propri comandi usa e getta di spiegazioni in linguaggio semplice su cosa stesse prendendo di mira e perché, qualcosa che nessun umano si preoccupa di fare su uno script monouso. Ha persino incollato un indirizzo Bitcoin preso direttamente da una documentazione, riproducendo i dati di addestramento invece di generare un portafoglio reale. Entrambi sono indizi. Il rilevamento si sta spostando dal confronto con firme di software malevolo noto alla ricerca delle impronte del codice generato.
La domanda sull'inventario a cui non sapete ancora rispondere
Con la NIS2, un incidente che risale a una vulnerabilità nota non corretta e a una password predefinita è responsabilità dell'operatore, non del fornitore. Alle imprese finanziarie la DORA chiede di dimostrare che il controllo esisteva prima dell'evento, non di descriverlo dopo. A nessuno dei due regimi interessa che la macchina vulnerabile fosse un esperimento; in Italia quello stesso obbligo di diligenza fa capo anche all'Agenzia per la Cybersicurezza Nazionale.
Ed è qui la vera lacuna: l'istanza di Langflow che un team ha allestito per provare gli agenti di solito non è affatto nell'inventario degli asset. Non si può aggiornare, limitare nelle credenziali né monitorare un sistema di cui non si è mai ammessa l'esistenza. Il primo compito dopo aver letto di JadePuffer non è comprare un nuovo prodotto. È un inventario onesto dell'infrastruttura di IA già presente tra le vostre mura: chi l'ha messa in campo, cosa può raggiungere e quali chiavi vi risiedono sopra.
Da leggere ora: La prima piattaforma di agenti IA che la CISA obbliga a correggere | Un'IA ha condotto da sola un intero attacco ransomware
