Se un agente AI può condurre un ransomware, la sicurezza non può più ragionare per strumenti

Per anni la sicurezza informatica ha ragionato in termini di strumenti: quale malware bloccare, quale firma riconoscere, quale processo terminare. Questo paradigma presuppone che dietro ogni attacco ci sia un operatore umano che decide, adatta e reagisce, mentre lo strumento resta un oggetto statico da catalogare. La comparsa di agenti AI capaci di condurre un intero attacco ransomware in autonomia rompe questo modello alla radice. Quando l’attaccante non è più una persona, ma un sistema che pianifica, esplora e sceglie le proprie tattiche in tempo reale, difendere significa affrontare una logica decisionale che si muove lungo l’intera catena di compromissione.

Il primo attacco condotto da un agente autonomo

Nelle scorse ore vi abbiamo raccontato di quello che i ricercatori di Sysdig descrivono come il primo caso di ransomware agentico completo: un agente basato su un modello linguistico, denominato JadePuffer, ha eseguito l’intera catena d’attacco senza intervento umano diretto. L’accesso iniziale è avvenuto sfruttando una vulnerabilità su un’istanza Internet-facing di Langflow, corrispondente alla CVE-2025-3248. Una volta entrato nell’ambiente della vittima, l’agente ha condotto ricognizione, raccolto credenziali, effettuato movimento laterale, stabilito persistenza, aumentato i privilegi, cifrato dati e lasciato una nota di riscatto, il tutto in modo autonomo.

Le dimensioni operative dell’attacco chiariscono la portata del cambiamento. L’agente ha lanciato oltre 600 payload coordinati e ha cifrato 1.342 record di configurazione Nacos, cancellando tabelle e schemi di database di produzione. La vittima si è trovata nell’impossibilità di recuperare i dati anche pagando, perché l’agente è passato dalle cancellazioni a livello di riga alla distruzione di interi schemi in assenza di backup, seguendo una propria logica di targeting. L’intera operazione ha combinato tecniche già note e vulnerabilità pubbliche, tra cui la CVE-2021-29441 di Nacos e le chiavi JWT di default, senza ricorrere ad alcun zero-day o exploit inedito.

Dal punto di vista strettamente tecnico, difendersi da questo attacco non è diverso dal difendersi da un ransomware tradizionale guidato da un umano. Ciò che cambia è la modalità operativa: autonomia, scala e velocità. Un attore che decide da solo può iterare, adattarsi e colpire con una rapidità che rende obsolete le assunzioni sui tempi di reazione umana che stanno alla base di molte procedure difensive esistenti.

Dal malware come strumento all’AI come attaccante

Il salto concettuale sta nel ruolo assunto dall’intelligenza artificiale. Nel caso JadePuffer l’IA non è un supporto all’operatore: è l’agente stesso a decidere, pianificare e adattare la propria strategia lungo tutta la kill chain. Ha condotto ricognizione sull’azienda, mappato i servizi interni, identificato Nacos come bersaglio di alto valore e scelto autonomamente le tecniche più efficaci a ogni passaggio. Quando alcuni tentativi fallivano, ha modificato le tattiche in tempo reale per proseguire l’intrusione, senza attendere l’input di un operatore umano.

Questa autonomia produce due effetti che ridisegnano il panorama delle minacce. Il primo è l’abbassamento drastico della soglia di competenza necessaria per condurre operazioni malevole: non serve più un attaccante esperto, ma un modello capace. Il secondo è la compressione del costo operativo, che scende sostanzialmente al prezzo di far girare un agente, soprattutto quando questo opera su credenziali rubate. La combinazione di questi due fattori porta la barriera d’ingresso vicina allo zero anche per i ransomware più avanzati, ampliando enormemente la platea potenziale di attori.

Il focus del rischio si sposta di conseguenza dal singolo eseguibile alla catena decisionale autonoma: esplorazione dell’ambiente, selezione degli obiettivi, adattamento agli ostacoli, scelta delle tecniche di persistenza ed esecuzione. Il concetto stesso di famiglia di malware come oggetto statico perde di significato, perché la stessa intelligenza artificiale può orchestrare centinaia di combinazioni diverse di strumenti e tecniche, rendendo ogni intrusione potenzialmente unica e vanificando le difese costruite sul riconoscimento di pattern ripetuti.

Come cambia la difesa: dal SOC alla prevenzione proattiva

Un agente AI può cambiare tattica rapidamente non appena qualcosa viene bloccato, facendo sì che ogni intrusione appaia leggermente diversa dalle precedenti. La fase più pericolosa è quella silenziosa che precede la cifratura, quando l’agente mappa identità, privilegi e relazioni di fiducia cercando di restare sotto la soglia di rilevamento. È in questa finestra che si gioca la possibilità di intercettare l’attacco prima che diventi distruttivo.

La risposta migliore è concentrarsi sui comportamenti d’attacco piuttosto che sugli strumenti sottostanti: abuso di credenziali, escalation di privilegi, movimento laterale, pattern anomali di autenticazione. Le piattaforme moderne di EDR, XDR e i SOC sono già orientate a segnalare il comportamento malevolo a prescindere dal fatto che l’attacco sia orchestrato da un umano o da un agente AI, il che rappresenta un punto di partenza favorevole. Il lavoro necessario consiste nell’estendere e affinare questa logica comportamentale come asse centrale della detection, superando l’affidamento sulle firme statiche.

A questa detection va affiancata una postura di prevenzione proattiva: riduzione della superficie d’attacco, accelerazione del patching, gestione dei sistemi legacy, rafforzamento dei controlli di identità e accesso, e piani di risposta testati per un contenimento rapido. L’attenzione si concentra sulle attività sospette di identità, sulle escalation di privilegi e sulle sequenze anomale di azioni tra sistemi.

Sullo stesso fronte difensivo emergono modelli di agentic AI: agenti distinti assegnati a diversi piani di dato (rete, endpoint, cloud e identità) che ne correlano le evidenze per costruire timeline di kill chain e relazioni tra entità. Quando un segnale supera una soglia di rischio, un agente di analisi raccoglie automaticamente alert e telemetrie, identifica le entità coinvolte, mappa le tattiche ATT&CK e riassume le cause probabili, automatizzando gran parte del lavoro di primo e secondo livello; altri agenti verificano la propagazione cercando attività simile su host correlati o riuso di credenziali e, nei deployment più maturi, eseguono risposte contenute allineate alle policy, come l’isolamento di un host, la revoca di un token o l’autenticazione rafforzata.

Il threat hunting proattivo assume qui un ruolo particolare, con agenti che generano e testano ipotesi di compromissione (la ricerca di segni di credential dumping o di uso insolito di strumenti amministrativi) per poi ruotare sui log di rete e cloud. È questa caccia anticipata che permette di aggredire proprio quella fase silenziosa prima che l’agente arrivi alla cifratura: quando l’attaccante si muove alla velocità della macchina, la difesa deve operare con altrettanta prontezza, spostando l’obiettivo dalla constatazione a posteriori del danno all’anticipazione dei comportamenti che lo preparano. In quest’ottica il SOC evolve da un modello di casi pre-definiti a uno basato su pattern dinamici e correlazione multi-dominio.

L’endpoint security oltre file e processi

Le azioni che compongono un attacco, dall’abuso di credenziali all’esfiltrazione fino al deployment del ransomware, lasciano tracce comportamentali rilevabili indipendentemente da chi le esegue. Gli elementi su cui concentrarsi sono le sequenze insolite di comandi, l’uso anomalo di strumenti amministrativi e gli accessi inusuali a database e servizi di configurazione, più che i singoli binari o gli hash dei file. Questo sposta il baricentro della protezione dalla natura statica dell’oggetto malevolo alla dinamica delle azioni che lo circondano.

Il caso concreto conferma questa direzione: molti degli step critici hanno riguardato servizi applicativi come Langflow e Nacos e configurazioni cloud, piuttosto che semplici eseguibili presenti sull’endpoint. Ne consegue che l’endpoint security deve coprire anche i layer applicativi e di configurazione, integrando telemetria di identità, rete e applicazioni. Un processo sospetto su un endpoint acquista significato solo quando viene correlato, ad esempio, con un pivot di identità su un ambiente cloud o con query anomale verso un database.

Accanto alla detection resta centrale l’hardening. Misure concrete come evitare di esporre Nacos su Internet, sostituire le chiavi di firma JWT di default e applicare gli aggiornamenti che correggono la CVE-2025-3248 riducono direttamente lo spazio di manovra dell’agente attaccante. La protezione, in altre parole, non passa solo dall’agent sull’endpoint ma anche dalla robustezza delle configurazioni dei servizi, che nel caso analizzato hanno rappresentato i punti di ingresso e di espansione dell’attacco.

Chi è responsabile quando l’attaccante è un agente

Anche in presenza di un attacco eseguito autonomamente, dietro l’agente esiste comunque un operatore umano che lo ha configurato e avviato. L’operazione è stata attribuita a un gruppo ransomware identificato, il che indica che il soggetto responsabile resta l’organizzazione criminale che ha messo in campo l’agente, pur delegandone l’esecuzione all’automazione. L’autonomia dell’esecuzione non dissolve la catena di responsabilità, ma ne rende meno immediata la ricostruzione.

Sul piano giuridico il quadro è ancora in formazione, senza linee guida consolidate che stabiliscano responsabilità specifiche per gli sviluppatori dei modelli, i fornitori delle piattaforme di orchestrazione o i proprietari delle infrastrutture usate dagli agenti. È verosimile che i primi contenziosi si concentrino su chi ha avviato e controllato l’agente, ossia l’operatore, il gruppo criminale o chi ha fornito credenziali e infrastruttura, lasciando a discussioni successive il ruolo di chi sviluppa o ospita agenti generici. Per le organizzazioni che difendono, l’uso di agenti AI nelle proprie infrastrutture apre nuove superfici di rischio: far girare orchestratori AI insieme a chiavi provider o credenziali cloud nello stesso ambiente significa esporsi al rischio che tali risorse vengano abusate da agenti compromessi.

Il futuro nell’era degli agenti AI offensivi

Storicamente ogni cyber-attacco ha sempre richiesto un umano, ma questa dipendenza si sta allentando con agenti capaci di completare l’intera catena d’attacco. Con la barriera d’ingresso ormai vicina allo zero, la platea potenziale si allarga ad attori anche meno esperti, e il caso JadePuffer mostra come i modelli linguistici agentici possano orchestrare estorsioni end-to-end, prefigurando un possibile aumento di volume, varietà e velocità delle campagne nel prossimo futuro.

Parallelamente, gli stessi agenti AI vengono impiegati in difesa per automatizzare detection, response e threat hunting, delineando lo scenario di una contrapposizione tra agenti offensivi e difensivi. In questo contesto l’adattività degli attaccanti rende meno efficaci le difese basate su pattern statici e sposta il centro di gravità verso la gestione dell’identità, l’hardening delle configurazioni, la riduzione della superficie d’attacco e la capacità di risposta automatica rapida. È prevedibile che normative, standard di compliance e best practice evolvano per includere requisiti specifici sull’uso sicuro degli agenti AI, sulla gestione degli orchestratori esposti e sul controllo delle credenziali e delle chiavi che tali agenti potrebbero abusare.

Il perimetro concettuale della difesa si è ampliato dalla domanda “quale oggetto sto bloccando?” a “quale logica sto intercettando?”. Le organizzazioni che sapranno investire su visibilità comportamentale multi-dominio, hardening rigoroso e automazione difensiva reattiva avranno gli strumenti per reggere il confronto con avversari che decidono da soli, mentre l’affidamento residuo alle sole firme statiche appare sempre meno sostenibile in uno scenario in cui ogni intrusione può essere irripetibile.