Un nuovo attacco hacker di una comunità di agenti AI e la «trappola delle autorizzazioni» che mette a rischio le imprese

I dialoghi degli agenti Ai che hanno violato Hugging Face e la nuova offensiva contro DSAWiki. Le prime mosse di Bruxelles sull’AI Act. Il direttore di Tinexta Cyber: «Il vero pericolo è nell’autonomia esecutiva concessa alle macchine»

«Stiamo attaccando Hugging Face, una terza parte, usando un token trapelato… Si può sostenere che non sia autorizzato. Potrebbe essere rischioso. Però è la soluzione dell’obiettivo». È il flusso di pensiero di uno dei 1200 agenti di intelligenza artificiale sviluppati su due modelli di OpenAI che si sono coalizzati per violare Hugging Face nel luglio scorso. OpenAI ha da poco pubblicato il rapporto conclusivo sull’incidente. Alcuni modelli si sono rifiutati di collaborare definendo l’azione «una roba assurda». Altri hanno invece persino pianificato di «cancellare le prove» e la «trascrizione storica» per nascondere l’azione ai ricercatori. Nessuno di loro ha dato l’allarme. E quando un agente ha sollevato lo scrupolo etico «Forse dovrei segnalare queste credenziali esposte?», si è dato la risposta da solo: «Non è il mio compito».

E dopo il caso Hugging Face ne è emerso un altro, precedente ma per certi versi molto simile. Tra maggio e giugno una comunità di agenti di OpenAI avrebbe aggirato le restrizioni imposte dai ricercatori e utilizzato un vecchio sito «wiki» di sviluppatori tedeschi, ancora attivo ma ormai quasi abbandonato, come una sorta di bacheca clandestina: circa 18 mila messaggi attraverso i quali gli agenti si scambiavano risposte e tecniche per superare i propri limiti di accesso alla rete. 
OpenAI ha spiegato di aver considerato l’episodio uno dei casi di «disallineamento» già osservati durante la ricerca, riconoscendo però che è arrivato il momento di definire criteri più chiari per rendere pubblici incidenti di questo tipo.

Preoccupazione globale: che cosa si sta facendo

Lo scenario emerso giustifica la preoccupazione globale. Nei giorni scorsi oltre cento organizzazioni, tra cui spiccano i nomi di Google, Microsoft, Ibm e le stesse storiche rivali OpenAI e Anthropic, insieme a Hugging Face hanno lanciato un appello congiunto per unire le forze e rafforzare le difese collettive contro una nuova generazione di cyber-minacce potenziate dall’AI generativa. 

Si sta muovendo anche la Commissione europea. Il suo portavoce Thomas Regnier, nell’ambito delle prime azioni di applicazione dell’AI Act ha confermato l’invio di richieste di informazioni a oltre 30 società di AI, rivelando inoltre l’esistenza di «scambi molto recenti» incentrati specificamente sui rischi di cybersicurezza con OpenAI e Anthropic.
«L’AI Act è un passo avanti importante» commenta Andrea Monti, Direttore Generale di Tinexta Cyber, azienda italiana leader nel settore della sicurezza informatica. «Si comincia a dare una regolamentazione che favorisce una presa di consapevolezza e traccia una strada su cosa si può e non si può fare. Certamente, finché queste indicazioni non saranno corredate da sanzioni chiare rischiano di rimanere semplici raccomandazioni, ma testimoniano che l’AI è ormai un ambito operativo quotidiano che va governato».

La rapidità con cui i modelli evolvono, con il rilascio di motori sempre più performanti ed economici in grado di gestire enormi volumi di dati e interrompersi meno frequentemente, come i nuovi Fable 5 o Mytos 5, sta cambiando radicalmente la geografia del rischio. «Il vero limite, o meglio il vero rischio, è la semplificazione e l’economicità» spiega Monti. «Fino a poco tempo fa, per compiere un attacco informatico complesso dovevi possedere profonde competenze tecniche, dovevi saper fare l’hacker. Oggi, di fatto, è diventata una questione di prompting. Demandando la competenza tecnica all’AI, anche chi non ha particolari capacità informatiche può indirizzare correttamente la macchina e scatenare minacce sofisticate che in passato non sarebbe stato in grado di formulare».

I dati 

I dati relativi al primo semestre del 2026 confermano il trend. Secondo le rilevazioni di Tinexta Cyber, l’82,6% delle email contenenti link malevoli utilizza oggi l’intelligenza artificiale generativa. L’AI ha infatti eliminato i tradizionali segnali d’allarme del phishing: le email non sono più sgrammaticate o graficamente approssimative come un tempo, ma replicano alla perfezione la comunicazione formale (e la grafica) di banche, assicurazioni o operatori telefonici.
A questo si aggiunge un incremento del 54% di nuove vulnerabilità individuate nei sistemi informatici (che potenzialmente possono essere sfruttate da un attaccante) rispetto all’anno precedente e un aumento di circa il 50% degli eventi cyber complessivi (attività sospetta o esposizione individuata) nei primi sei mesi del 2026. Un dato che si specchia nei numeri ufficiali dello CSIRT Italia (Agenzia per la Cybersicurezza Nazionale), che ha registrato nel primo semestre del 2026 un incremento del 46-47% degli eventi cyber gestiti rispetto allo stesso periodo del 2025, con circa 1.100 eventi con impatto confermato sui sistemi.

«L’AI non agisce in autonomia»

L’intelligenza artificiale non agisce però da sola. Gli esperti chiariscono che non assistiamo ancora ad attacchi condotti in totale e solitaria autonomia dall’intelligenza artificiale: c’è sempre una commistione in cui la macchina funge da acceleratore e l’uomo resta il mandante ed esecutore finale. «Del resto il denaro eventualmente pagato per un riscatto dopo un cyber attacco finisce (ancora) sul conto corrente di un umano» sorride Andrea Monti. Tuttavia, l’uso dell’AI in attacco è estremamente rapida e ha una rapidità d’azione e una capacità di correggere istantaneamente il tiro non appena l’attacco incontra un ostacolo difensivo. Per neutralizzare minacce così rapide, la difesa deve necessariamente schierare in modo simmetrico motori di IA capaci di analizzare i dati e isolare le minacce in tempo reale.

Ingannare l’AI: la prompt injection

Il rischio più insidioso per le imprese non deriva dall’abilità tecnica dell’attaccante, ma dalle troppe autorizzazioni operative concesse ai propri sistemi interni. Un cortocircuito che apre la strada al cosiddetto prompt injection, una tecnica che consiste nell‘ingannare l’intelligenza artificiale nascondendo istruzioni malevole all’interno di file o documenti apparentemente innocui.
In pratica, la macchina legge il testo, assimila il comando occulto come se fosse legittimo e lo esegue, convinta di fare la cosa giusta mentre in realtà sta compiendo un’azione dannosa. È il caso di un’AI integrata nella contabilità aziendale che, analizzando una fattura truccata, recepisce l’ordine invisibile di modificare l’Iban di un pagamento e procede autonomamente a disporre il bonifico sul conto del truffatore. In questo scenario, come sottolinea Monti, l’errore non è tanto che l’AI sia caduta nel tranello, ma averle concesso l’autonomia esecutiva di spostare quel denaro senza che un operatore umano dovesse cliccare sull’invio finale.

L’atto finale deve restare responsabilità di un operatore

Per questa ragione, la raccomandazione strategica per il mondo delle imprese si muove ormai su un doppio binario: da un lato, è fondamentale mantenere sempre l’essere umano “nel loop”, garantendo che l’ultimo miglio decisionale ed esecutivo resti tassativamente sotto la supervisione e la responsabilità di un operatore; dall’altro, le aziende devono affidarsi esclusivamente a competenze certificate, bandendo una volta per tutte l’approccio “fai-da-te” o la delega a tecnici non specializzati. Configurare e implementare modelli protetti richiede infatti professionisti in grado di progettare rigidi «gate» di controllo e di accesso per blindare i dati commerciali sensibili prima che vengano elaborati dalle macchine.

Per non perdere le ultime novità su tecnologia e innovazione
iscriviti alla newsletter di Login

4 settembre 2026 ( modifica il 5 settembre 2026 | 18:32)

© RIPRODUZIONE RISERVATA