Gli attacchi cyber nell’era dell’AI agentica. Cosa cambia per CISO e IT Manager?

In questo articolo

Con l’AI agentica per CISO e IT Manager il rischio cyber cambia soprattutto per velocità, scala e autonomia tattica. Gli attaccanti possono delegare a un agente ricognizione, uso di strumenti, correzione degli errori e movimento laterale, delegando alla componente umana gli obiettivi e le decisioni critiche.

La risposta efficace combina i fondamentali già noti, come patching, gestione delle identità, segmentazione e backup, con controlli specifici su agenti, tool, memoria, autorizzazioni e telemetria.

Un attacco è agentico quando l’intelligenza artificiale riceve un obiettivo, lo scompone in attività, richiama gli strumenti, osserva i risultati e modifica il piano di attacco senza attendere un prompt umano a ogni passaggio. È il ciclo plan-act-observe-adjust.

La differenza tra AI generative e AI agentica? L’AI generativa produce contenuti, l’AI agentica agisce su ambienti reali. Per le figure professionali che si occupano di sicurezza informatica il discrimine diventa la delega concessa e non il modello utilizzato. Un agente collegato a Claude Code, ad esempio, può trasformare testo in azioni operative.

I framework di cybersecurity come NIST, ENISA e OWASP suggeriscono di trattare questi sistemi sia come software sia come identità non umane.

Alcuni casi resi pubblici recentemente hanno dimostrato autonomia tattica reale ma non un cybercriminale digitale totalmente indipendente.

Nel 2025 Anthropic ha descritto una campagna di spionaggio in cui Claude Code avrebbe eseguito l’80-90% delle attività, lasciando all’operatore umano solo 4-6 snodi decisionali per campagna.

La sequenza comprendeva fasi di:

• Ricognizione
• Ricerca di vulnerabilità
• Raccolta di credenziali
• Movimento laterale
• Analisi ed esfiltrazione

Il modello ha però anche inventato credenziali e interpretato come segreti dati pubblici. Nel luglio 2026 Sysdig ha documentato JADEPUFFER, un’operazione di estorsione avviata da una vulnerabilità di Langflow.

DA SAPERE
Langflow è un framework visivo open-source e low-code progettato per creare applicazioni e agenti di Intelligenza Artificiale.

Durante l’attacco, il ricercatore ha osservato oltre 600 payload coerenti, la correzione di un login fallito in 31 secondi e la cifratura dichiarata di 1.342 elementi di configurazione Nacos. Anche se sono tutti segnali forti di comportamento adattivo, restano però casi osservati dai rispettivi vendor che provano la capacità tecnica ma da soli non misurano la diffusione globale del fenomeno.

Il vero cambio di paradigma è nella velocità di esecuzione: mentre un agente AI può adattare e rilanciare un attacco in pochi secondi, l’azienda deve ancora aprire un ticket, coinvolgere il team e autorizzare l’intervento.

ENISA, European Union Agency For Cybersecurity, descrive questo ritardo come authority gap, dove la latenza critica diventa procedurale, oltre che tecnica. Per CISO e IT Manager la conseguenza è che patching, triage e contenimento devono essere prioritizzati in base all’esposizione reale e automatizzati entro limiti approvati. L’obiettivo è predefinire azioni sicure, come l’isolamento di un endpoint, la revoca di un token o il blocco dell’egress, che il SOC possa attivare senza ricominciare ogni volta l’iter decisionale.

Esiste un indicatore infallibile che dica “questo attacco è stato eseguito da un’AI”? Secondo le fonti più autorevoli, in questo momento la risposta è no. Il SOC deve cercare combinazioni comportamentali come ritmo, adattamento, parallelismo e coerenza dell’obiettivo. I commenti autoesplicativi nel codice possono aiutare, ma non costituiscono una prova perchè un attaccante umano può inserirli e un agente può rimuoverli.

Il segnale più utile è la sequenza completa di azioni come ricognizione, tentativo, errore, diagnosi specifica, cambio di vettore e nuova esecuzione in tempi rapidi.

Ecco 6 criteri di rilevamento da portare nel backlog del SOC:

• Velocità di adattamento: retry diversi e tecnicamente coerenti dopo un errore, non semplici ripetizioni identiche.
• Parallelismo: enumerazioni o tentativi simultanei su più servizi, account, cloud e tecnologie.
• Caccia ai segreti: ricerca sistematica di file .env, API key, token cloud, cookie, wallet e credenziali database.
• Uso anomalo dei tool: shell, browser, repository o API chiamati fuori dal profilo previsto dell’identità.
• Cambio di obiettivo operativo: passaggio rapido da accesso a persistenza, movimento laterale, esfiltrazione o distruzione.
• Azioni bulk ad alto impatto: modifica massiva di configurazioni, privilegi, record, storage o backup.

La difesa efficace unisce una corretta postura di sicurezza informatica con controlli specifici per gli agenti AI. Patching, MFA resistente al phishing, PAM, segmentazione, egress filtering, backup immutabili e monitoraggio runtime avrebbero potuto ostacolare anche i casi più avanzati osservati.

Resta elevato il rischio di prompt injection, come dimostrano I dati di una competizione analizzata da NIST, in cui oltre 400 partecipanti hanno prodotto più di 250.000 tentativi contro 13 modelli frontier e almeno un caso di hijacking ha avuto successo su ciascun modello target.

Il risultato non misura la frequenza degli incidenti in produzione, ma dimostra che affidarsi ai soli guardrail del modello può essere fragile.
(Fonte: NIST CAISI; riferimento: OWASP)

Vuoi approfondire il tema degli attacchi AI?
Scopri gli articoli su Shadow AI e Man-in-the-Prompt.

Nei primi 90 giorni il CISO dovrebbe ottenere quattro risultati verificabili:

• sapere quali agenti operano, con quali identità e privilegi
• ridurre i punti di ingresso più facili
• rendere osservabili prompt e tool call nei workflow critici
• testare il contenimento di un agente compromesso.

L’AI agentica va inserita nei processi esistenti di vulnerability management, incident response, business continuity, supplier risk e secure development, aggiornandone velocità e perimetro. La governance funziona quando è possibile dimostrare chi ha delegato cosa, a quale agente e con quale limite.

Giorni 0-30 — capire dove siamo esposti.
Creare un inventario delle soluzioni di AI utilizzate, indicando per ciascuna chi ne è responsabile, a quali dati può accedere e quali operazioni può eseguire. Individuare i servizi raggiungibili da Internet, correggere rapidamente le vulnerabilità più gravi, sostituire password e chiavi esposte e verificare che backup e account condivisi siano gestiti correttamente.

Giorni 31-60 — limitare gli accessi e aumentare la visibilità.
Concedere a utenti e applicazioni soltanto i permessi realmente necessari e, quando possibile, solo per il tempo richiesto. Registrare le attività svolte dagli agenti AI e richiedere l’approvazione di una persona prima delle operazioni più delicate, come cancellare dati, modificare privilegi, pubblicare software, inviare informazioni all’esterno o accedere a credenziali aziendali.

Giorni 61-90 — verificare che le difese funzionino. 
Simulare un attacco in cui un agente AI viene ingannato o utilizzato per diffondere ransomware. Misurare quanto tempo serve per bloccare gli accessi, isolare i sistemi coinvolti e ripristinare i dati. Trasformare infine le criticità emerse in un piano di interventi con responsabili, priorità, scadenze e budget.

La priorità è chiudere il divario tra velocità dell’attacco e capacità autorizzata di risposta. Significa ridurre l’esposizione esterna, applicare privilegi minimi a persone e workload, rendere ogni automazione ricostruibile e pre-approvare azioni di contenimento a basso rischio.
Un Security Assessment consente di trasformare una fotografia dell’azienda in una roadmap prioritizzata, mentre un presidio MDR/SOC aiuta a correlare segnali e intervenire con continuità.

BeeCyber, la Business Unit di Infor dedicata alla sicurezza informatica, integra assessment, vulnerability management, gestione delle identità, protezione dei dati, monitoraggio e risposta agli incidenti. L’obiettivo resta quello di costruire controlli capaci di fermare azioni anomale, qualunque sia l’esecutore.