CYBSicurezza informatica

Attacchi condotti da agenti AI: che cosa cambia nei piani di risposta

Esistono già campagne in cui un agente di intelligenza artificiale ha svolto gran parte del lavoro dell’attaccante. Che cosa accelera davvero, quali contenimenti possono scattare da soli e quali restano a una persona.

Redazione Strategic 29 luglio 2026 Aggiornato il 16 settembre 2026 8 min di lettura

Attacchi condotti da agenti AI: che cosa cambia nei piani di risposta

Quando un attacco informatico è condotto da un agente di intelligenza artificiale cambia soprattutto il tempo. Ricognizione, ricerca delle falle, prove sulle password e scrittura del codice d’attacco, che prima richiedevano giorni di lavoro a persone esperte, oggi possono essere eseguite da un agente in poche ore e con migliaia di tentativi. Per chi difende la conseguenza è concreta: un piano di risposta che prevede una riunione prima di ogni azione va rivisto, decidendo in anticipo quali contenimenti possono scattare da soli, entro quali limiti e come si annullano.

Un agente di intelligenza artificiale è un programma che riceve un obiettivo e sceglie da solo i passi per raggiungerlo: esegue un comando, legge il risultato, decide il passo successivo. Si sente dire che con questi strumenti il perimetro aziendale «si misura in millisecondi». È un’immagine efficace ma imprecisa: le singole azioni di un agente si susseguono in pochi secondi, mentre le campagne documentate comprimono in ore un lavoro che prima durava giorni. Ed è su questa scala che va ripensata la risposta.

Che cosa è documentato, oggi?

Tre rapporti pubblici descrivono il fenomeno senza esagerazioni.

Una campagna di spionaggio condotta in gran parte da un agente. Nel novembre 2025 Anthropic ha descritto un’operazione attribuita con alta fiducia a un gruppo sostenuto dallo Stato cinese, che ha usato un agente di programmazione contro circa trenta organizzazioni tra aziende tecnologiche, finanziarie, chimiche ed enti pubblici, con successo in un piccolo numero di casi. Secondo il rapporto l’agente ha svolto l’80-90% del lavoro; le persone sono intervenute in pochi momenti decisivi, quattro-sei per campagna. Le richieste erano migliaia, spesso più di una al secondo.
Un’estorsione con l’agente al comando. Nell’agosto 2025 lo stesso gruppo di ricerca ha segnalato un criminale che ha sottratto dati ad almeno diciassette organizzazioni, tra cui strutture sanitarie ed enti pubblici, lasciando all’agente anche la scelta dei dati da portare via e la stesura delle richieste di riscatto.
Programmi malevoli che interrogano un modello mentre sono in esecuzione. Nel novembre 2025 il Google Threat Intelligence Group ha descritto PROMPTFLUX, un programma sperimentale che chiede a un modello linguistico di riscrivere il proprio codice per sfuggire agli antivirus. Era ancora in fase di sviluppo, ma indica la direzione.

Il quadro va letto con equilibrio. Lo stesso rapporto di Anthropic nota che l’agente a volte inventava credenziali o presentava come segrete informazioni già pubbliche. E il rapporto M-Trends 2026 di Mandiant ricorda che la grande maggioranza delle intrusioni riuscite nasce ancora da errori di base, umani e organizzativi. Le difese elementari restano decisive; quello che si accorcia è il tempo per applicarle.

Che cosa accelera davvero un agente?

Fase dell’attacco	Che cosa fa l’agente	Che cosa significa per chi difende
Ricognizione	Elenca servizi esposti su internet, versioni dei programmi, indirizzi email	L’inventario di ciò che è esposto va tenuto aggiornato: ciò che non si conosce non si difende
Falle già note	Prova in serie le vulnerabilità pubblicate e corregge da sé il codice che non funziona	Gli aggiornamenti dei sistemi esposti vanno installati in giorni, non in mesi
Credenziali	Prova password trapelate, cerca chiavi e token nei file che trova	Secondo fattore di autenticazione, token con scadenza breve, niente password nei documenti
Movimento nella rete	Analizza ciò che vede e sceglie il sistema successivo	Rete divisa in zone, account amministrativi separati da quelli di tutti i giorni
Furto e ricatto	Seleziona i dati di valore e prepara le richieste	Registri che mostrano i trasferimenti anomali e un piano anche per il ricatto senza cifratura

Mandiant misura la stessa tendenza da un altro punto di vista: nel 2025 il tempo mediano tra il primo accesso a una rete e il suo passaggio a un secondo gruppo criminale è sceso a 22 secondi, contro le oltre otto ore del 2022. Il rapporto non lo attribuisce all’intelligenza artificiale, ma mostra quanto sia diventata automatica la filiera dell’attacco.

Quali contenimenti si possono automatizzare?

Contenere significa impedire che un attacco si allarghi, prima ancora di capirlo del tutto. Automatizzare tutto è rischioso quanto non automatizzare nulla: un falso allarme che isola il server della produzione può costare più dell’attacco che voleva fermare. Il criterio pratico è uno: in automatico vanno le azioni limitate e reversibili, a una persona restano quelle che fermano servizi importanti o non si possono annullare.

Azione	Quando può scattare da sola	Rischio se l’allarme è falso	Si annulla?
Isolare un computer dalla rete tramite il software di protezione installato	Segnali molto affidabili su una singola postazione	Una persona resta ferma per un po’	Sì, in pochi minuti
Chiudere le sessioni aperte e revocare i token di un account	Accesso da luogo o dispositivo insolito, seguito da azioni sospette	L’utente deve autenticarsi di nuovo	Sì
Sospendere un account	Tentativi ripetuti su più sistemi	Si blocca un utente legittimo, magari un dirigente in viaggio	Sì, dopo una verifica
Bloccare un indirizzo o un dominio	Indicatori confermati da fonti affidabili	Si blocca un fornitore o un servizio legittimo	Sì
Isolare un server di produzione	Solo con la conferma di una persona autorizzata, salvo casi scritti prima	Si ferma un servizio per clienti e reparti	Sì, ma con costi
Cancellare file o reinstallare sistemi	Mai in automatico	Si distruggono le prove e si può peggiorare il danno	No

Ogni regola automatica va scritta come una piccola procedura: il segnale che la attiva, il limite massimo (per esempio non più di cinque computer isolati senza conferma), chi riceve l’avviso, come si torna indietro. La persona non sparisce dal processo: si sposta subito dopo la prima azione, per verificare e decidere se confermarla o annullarla.

Come si rivede un piano di risposta?

Si rilegge ogni passo con una domanda: questa azione aspetta una persona, e perché? Se il motivo è solo l’abitudine, l’azione è candidata all’automazione, entro limiti chiari.
Si scrivono le regole di contenimento con soglie, limiti e procedura di annullamento, approvate dalla direzione e non solo dall’IT.
Si danno all’automatismo solo i permessi che servono. Uno strumento di difesa con poteri da amministratore su tutto diventa a sua volta un bersaglio.
Si conservano le prove prima di ripulire. I registri degli eventi vanno raccolti e tenuti fuori dai sistemi che un attaccante può raggiungere: senza, non si ricostruisce che cosa è successo, come racconta Sherlock Holmes e il file di log.
Si misura il tempo reale. Un’esercitazione a tavolino con la direzione, seguita da prove tecniche autorizzate per iscritto su un perimetro concordato, come un penetration test, dice in quanti minuti l’azienda isola davvero un sistema.
Si separano i tempi. L’RTO, il fermo massimo accettabile per un servizio, resta una decisione di business. A cambiare è il tempo del primo contenimento, che va provato e scritto in minuti.

E gli assistenti AI già in uso in azienda?

Anche gli agenti di intelligenza artificiale che un’azienda adotta sono un bersaglio. Un assistente collegato a posta, archivi e gestionale legge testi che possono contenere istruzioni nascoste, e un agente con troppi permessi può eseguirle. L’elenco dei rischi pubblicato da OWASP, la comunità internazionale che studia la sicurezza delle applicazioni, chiama questo problema «agenzia eccessiva»: funzioni, permessi o autonomia oltre il necessario. La regola vale per chi attacca e per chi difende: permessi minimi, operazioni verso l’esterno approvate da una persona, registro consultabile.

L’intelligenza artificiale serve anche alla difesa. Può riassumere gli allarmi, ricostruire la sequenza degli eventi, preparare una prima nota per la direzione. Anche qui le decisioni irreversibili restano a una persona.

Che cosa chiedere a chi gestisce la sicurezza?

Che la sicurezza sia gestita da un team interno o da un fornitore, cinque domande aiutano a capire se il piano regge:

quali contenimenti sono automatici oggi, e chi li ha approvati;
quanto tempo è servito, nell’ultima esercitazione, per isolare un sistema;
dove sono conservati i registri degli eventi, e per quanto tempo;
chi viene avvisato fuori dall’orario di lavoro, e con quali poteri;
come sono controllati permessi e attività degli assistenti AI collegati ai dati aziendali.

In sintesi

Gli agenti di intelligenza artificiale non inventano attacchi nuovi: rendono più veloci e più insistenti quelli conosciuti.
Esistono casi documentati di campagne in cui un agente ha svolto la maggior parte del lavoro, con poche decisioni lasciate alle persone.
Le difese di base restano decisive: aggiornamenti rapidi, secondo fattore, rete divisa in zone, copie isolate.
Il piano di risposta va rivisto: contenimenti limitati e reversibili in automatico, decisioni che fermano la produzione a una persona.
Le regole automatiche hanno soglie, limiti, destinatari degli avvisi e una procedura per annullarle.
Gli assistenti AI aziendali si verificano come ogni altro sistema, a partire dai permessi.

Domande frequenti

Un attacco condotto da un agente AI è più difficile da fermare?

Non necessariamente più sofisticato: è più rapido e più insistente. Le campagne descritte finora usano soprattutto tecniche note, per cui aggiornamenti, secondo fattore di autenticazione, reti divise in zone e copie isolate restano efficaci. Si riduce invece il tempo a disposizione per accorgersene e reagire.

Automatizzare il contenimento rischia di fermare l’azienda per un falso allarme?

Sì, se si automatizza tutto. Per questo si parte da azioni limitate e reversibili, come isolare una postazione o chiudere le sessioni di un account, con un tetto al numero di sistemi coinvolti. Le azioni che fermano servizi importanti restano a una persona autorizzata, salvo casi definiti prima con la direzione.

Serve un’esercitazione con un agente AI vero?

Non è indispensabile. Il valore di un’esercitazione sta nel misurare i tempi della propria risposta e nel verificare che ruoli e procedure funzionino. Se si usano strumenti di attacco basati sull’intelligenza artificiale, valgono le regole di ogni test: autorizzazione scritta di chi ha titolo sui sistemi e perimetro concordato.

La NIS2 chiede di automatizzare la risposta agli incidenti?

No. La direttiva e il decreto legislativo 138/2024 che la recepisce in Italia chiedono misure adeguate di gestione del rischio, compresa la gestione degli incidenti, e fissano i tempi delle segnalazioni: per un incidente significativo il primo avviso al CSIRT Italia va inviato entro 24 ore. Come organizzare la risposta lo decide l’azienda.

Rivedere il piano di risposta alla luce di questi attacchi, provarlo con la direzione e verificare i sistemi esposti è il lavoro della divisione Cybersecurity di Strategic. Per gli assistenti e gli agenti AI già collegati ai dati aziendali, il punto di partenza è la pagina su sicurezza e governance dell’intelligenza artificiale.

Fonti

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.