Attacco hacker IA: agenti dentro oltre 100 aziende

Il 19 ottobre Raphael Satter di Reuters ha raccontato come un hacker di lingua cinese sia entrato in poche settimane nei siti di oltre 100 aziende, tra cui Deere, SharkNinja e Cummins. Lo stesso giorno Snorre Fagerland di NorForge ha pubblicato un report sulla piattaforma Cairn, su cui si basava questo attacco hacker IA: quasi tutto il lavoro l’hanno fatto agenti AI, non una persona.

Come si è svolto questo attacco hacker IA?

Cairn è una piattaforma open source in cui si assegnano agli agenti AI un obiettivo e un compito, e loro ci arrivano passo dopo passo. Ogni compito è un progetto a sé, gli agenti annotano le scoperte su una bacheca condivisa e l’operatore può aggiungere suggerimenti. Fagerland si è imbattuto in tutta la faccenda scansionando internet alla ricerca di pannelli Cairn esposti pubblicamente. Gli operatori, semplicemente, non li avevano protetti (nel report si legge soltanto che “securing their own infrastructure does not appear to be among their strengths”).

Secondo il report di NorForge:

1. Oltre 20 pannelli erano con ogni probabilità usati per attività criminali. Il ricercatore li ha divisi in tre gruppi.
2. Il gruppo più grande, di lingua cinese, contava 14 pannelli e oltre 1100 progetti di attacco contro negozi online in USA, Canada, Giappone e Australia. Gli agenti dovevano trovare un modo per eseguire codice da remoto e lasciare sul server un file che consentisse di caricare altri file, cioè anche un accesso persistente.
3. Il secondo gruppo, di lingua inglese, riceveva compiti come “fetch credit cards” o “fetch crypto”.
4. Un’intrusione riuscita richiedeva agli agenti in media poco meno di 23 ore, e un progetto è durato più di cinque giorni.
5. Il tasso medio di successo era di circa il 10%.

Secondo Reuters, entro la fine della settimana scorsa gli agenti avevano provato a entrare in oltre 1200 siti.

Quanto è costato e quali modelli sono stati usati?

Qui arriva la parte più interessante. Fagerland stima che l’intera campagna abbia consumato token per circa 5000 USD, più o meno 50 USD per intrusione riuscita. Nel report il costo medio di un singolo compito (falliti compresi) è di circa 5 USD, con la precisazione che l’incertezza è “considerable”.

I compiti del gruppo più grande passavano per un worker chiamato claudecode_deepseek-v4.1-flash. Secondo NorForge, potrebbe trattarsi dell’harness per agenti Claude Code alimentato dal modello economico DeepSeek V4.1 Flash. Il secondo gruppo usava worker pi_openrouter_deepseek, quindi molto probabilmente il framework Pi con modelli DeepSeek tramite OpenRouter. È un’interpretazione dei nomi, non una conferma di Anthropic o DeepSeek: nessuna delle due aziende ha commentato nell’articolo di Reuters.

Curiosamente, i pannelli non hanno rivelato solo gli obiettivi degli attacchi. Contenevano centinaia di segreti: password, chiavi API e altre credenziali di accesso. Lo strumento Trufflehog ha confermato che l’11% funzionava ancora. Sui pannelli esposti c’erano anche progetti di aziende legittime di penetration testing, insieme ai dati dei loro clienti.

Cosa dicono le aziende colpite?

Le vittime le ha indicate Reuters, non il report di NorForge. Secondo le loro dichiarazioni:

1. Deere ha adottato “necessary remediation actions” e non ha segnali che qualcuno abbia avuto accesso a dati sensibili.
2. In SharkNinja è stato attaccato un sito separato con informazioni di supporto ai prodotti, e la minaccia è stata contenuta.
3. Cummins sta verificando la segnalazione di un possibile attacco a un sito gestito da un fornitore esterno.

Reuters non è riuscita a stabilire quanti dati (e se ce ne siano) siano stati sottratti. L’autore di Cairn, che su X si presenta come le1xia0, ha scritto che la piattaforma “was not designed for hacking attacks” e che un uso dannoso non è mai stato nelle sue intenzioni.

Perché se ne parla così tanto?

Perché è un’altra prova che gli agenti AI entrano in aziende reali quasi senza supervisione umana. Fagerland ha detto a Reuters di aver dato per scontato che agenti del genere avessero ancora bisogno di un minimo di controllo, e che la tecnologia ha già superato quella fase. L’ha riassunta così: “It’s not script kiddie stuff” e “The development in this field is astounding”.

Lo sfondo è preoccupante. Nell’articolo di Reuters si legge che ad agosto Gambit Security ha descritto un gruppo entrato in sette organizzazioni con l’aiuto di uno strumento AI, e a settembre una campagna di agenti che ha colpito 25 aziende e almeno 600.000 record di carte di credito. Secondo Bitsight, anche nei forum criminali si parla sempre più spesso di agenti autonomi.

Qualche giorno fa ho scritto della violazione di OpenCode, in cui uno dei co-creatori dello strumento ha parlato di un “whole new world with ai powered hacking”. A quanto pare non esagerava :(

FAQ

È stato Claude Code a entrare nelle aziende?

Non si sa con certezza. Il nome del worker fa pensare all’harness Claude Code con il modello DeepSeek V4.1 Flash, ma è solo l’interpretazione di NorForge. Il modello vero e proprio è DeepSeek, e Claude Code sarebbe qui (soltanto) uno strato in più che richiama gli strumenti.

Cos’è Cairn?

È una piattaforma open source che coordina agenti AI al lavoro su un unico obiettivo, con una bacheca condivisa delle scoperte. Secondo il suo autore non è nata per l’hacking, ma il report di NorForge la definisce senza giri di parole un “AI-powered hacking system”.

Quanto costa un attacco hacker IA?

In questa campagna, secondo le stime di Fagerland, circa 50 USD di token per intrusione riuscita e circa 5 USD per ogni compito, anche fallito. Lo stesso Fagerland sottolinea che si tratta di stime molto incerte.