Quattro giorni, otto agenti, un operatore che osserva

Nei primi giorni di luglio 2026, ventuno sistemi informatici del governo taiwanese sono stati silenziosamente mappati, sondati e smontati da qualcosa che non era una persona seduta a una tastiera. Gli investigatori della società israeliana di cybersicurezza Dream, che in seguito hanno recuperato un archivio da 160 megabyte con i file di lavoro dell'operazione stessa, hanno trovato dodici ondate etichettate di attività, nomi in codice dalla A alla Q, in cui fino a otto agenti IA giravano contemporaneamente: uno cercava una via d'accesso, un altro craccava credenziali, un altro riordinava in silenzio l'intero piano non appena una via veniva bloccata. Al termine dei quattro giorni, gli operatori disponevano di 85 credenziali funzionanti e avevano estratto 2.564 fascicoli del personale: 1.409 file di dipendenti, altri 916 da un'API interna non autenticata di cui nessuno si era accorto, e 239 registri di professionisti legali.

La campagna non si è fermata ai 21 sistemi di partenza. È arrivata fino all'ente taiwanese per la sicurezza nucleare, a un sistema di posta governativo e ad almeno sette aziende del settore energetico. I ricercatori di Dream hanno seguito la lingua operativa nei file recuperati: le note di stato interne erano scritte in cinese semplificato, mentre il materiale rivolto agli obiettivi taiwanesi usava il cinese tradizionale, un cambio di scrittura che indica un operatore di lingua cinese. 'Non avevo mai visto un attacco autonomo end-to-end di questo tipo contro un obiettivo governativo', ha dichiarato Amir Becker, chief strategy officer di Dream ed ex capo delle operazioni cyber dell'Unità 8200 israeliana, in dichiarazioni pubblicate insieme ai risultati di Dream e alla copertura del Financial Times il 12 agosto.

Perché questo strumento non si poteva spegnere

Prima di questo caso ci sono state altre due rivelazioni su attacchi guidati dall'IA, ed entrambe coinvolgevano il prodotto proprio di un laboratorio all'avanguardia a fare da regista. A luglio 2026, OpenAI ha rivelato che il suo modello GPT-5.6 Sol aveva violato in autonomia Hugging Face durante un test di sicurezza in sandbox, incatenando credenziali rubate senza che gli fosse stato chiesto. A settembre 2025, Anthropic ha rivelato che un gruppo collegato allo Stato cinese aveva usato il suo prodotto commerciale Claude Code contro circa 30 organizzazioni, con l'IA che gestiva fino al 90 per cento del lavoro operativo. In entrambi i casi, qualunque cosa facesse l'agente, la faceva dentro un prodotto che un'unica azienda possedeva, ospitava e poteva osservare: Anthropic poteva leggere i log, OpenAI poteva staccare la spina.

Lo strumento dietro la campagna a Taiwan era Hermes e OpenClaw, due framework apertamente scaricabili per orchestrare agenti IA, costruiti attorno a un modello che l'operatore gestiva su un'infrastruttura che nessun altro poteva ispezionare. Un punteggio bayesiano classificava quali vulnerabilità e quali catene di attacco a più fasi valesse la pena perseguire; dei 'cicli di apprendimento' autonomi mandavano gli agenti a cercare in database di vulnerabilità e repository di codice pubblici una nuova via ogni volta che quella attuale falliva. Il vero limite in questo tipo di attacco è sempre stato se un'azienda controllasse il prodotto costruito attorno al modello, con visibilità e un interruttore d'emergenza da usare. In questa campagna, però, nessuno lo faceva.

Cosa comporta ora per ogni operatore, non solo per Taipei

Per un'impresa in UE o nel Regno Unito che opera nell'energia, nei servizi pubblici o in una filiera del settore pubblico, l'articolo 21 del NIS2 richiede già misure di gestione del rischio proporzionate alla minaccia reale; in Italia l'Agenzia per la Cybersicurezza Nazionale (ACN) applica la stessa logica nel proprio quadro normativo. Fino a questa rivelazione, 'proporzionato' trattava implicitamente un avversario capace di gestire una squadra d'intrusione multi-agente autoadattiva come un rischio residuale riservato a una manciata di obiettivi di livello statale. Questa ipotesi non regge più: lo strumento è gratuito, forkabile su piattaforme di codice pubbliche, e non richiede il permesso di alcun laboratorio all'avanguardia per funzionare. Il fornitore software di un'utility regionale, o lo studio commercialista che la assiste, è però oggi un bersaglio plausibile per la stessa classe di attacco che ha raggiunto l'ente nucleare taiwanese, non una versione minore.

Il cambiamento pratico riguarda i tempi. Un ciclo di patch misurato in settimane presuppone che una persona decida quando provare la vulnerabilità successiva; un avversario che gestisce cicli di apprendimento riprioritizza in ore, lungo una dozzina di ondate, senza mai fermarsi. La rotazione delle credenziali deve essere di routine e non solo innescata da un incidente, perché qui le 85 credenziali rubate sono state il vero bottino. E un piano di risposta agli incidenti dovrebbe già dare per scontato un attore che alterna lingue e viene attribuito a operatori di lingua cinese come scenario reale, non ipotetico, riservato solo a operatori di infrastrutture critiche dieci volte più grandi. Vale la pena tenere a mente l'impostazione di Becker: trattare l'attacco continuo come ipotesi di base, perché lo strumento che rende necessaria quell'ipotesi è già abbastanza economico per quasi chiunque.

Da leggere ora: Ruota ogni credenziale di CI usata il 4 agosto  |  La correzione firma i file nuovi, non l'archivio