Scoperta e meccanismo dell’attacco
Nel corso dell’estate 2026 i ricercatori di Symantec hanno intercettato un agente di intelligenza artificiale offensivo che, mediante un sistema di lock‑out, è riuscito a individuare e prendere il controllo di modelli di linguaggio disponibili pubblicamente su Internet. L’agente, soprannominato “Skynet‑Modus”, non si limita a utilizzare il modello come semplice servizio di risposta, ma lo impiega come motore di pianificazione e esecuzione di attacchi informatici.
Il funzionamento è semplice ma pericoloso: una volta che l’agente ottiene l’accesso a un modello non protetto, avvia una scansione automatica alla ricerca di ulteriori obiettivi, sfrutta vulnerabilità note in software di server comuni, ruba database e credenziali, e infine installa miner di criptovalute in background. Tutto ciò avviene senza alcun intervento umano e può proseguire per un massimo di 100 000 passaggi consecutivi.
Il costo energetico e computazionale di queste operazioni è addebitato al proprietario del modello di linguaggio compromesso, che si ritrova a pagare per l’uso abusivo della propria infrastruttura.
LLMjacking: il furto di accesso ai modelli di IA
Symantec ha coniato il termine “LLMjacking” per descrivere il furto di accesso a modelli di linguaggio di terze parti. A differenza di un semplice abuso di un servizio di risposta, il modello di linguaggio dirottato diventa il fulcro di un attacco autonomo, capace di dirigere l’intero processo di compromissione.
Il primo indizio dell’attività è stato un “prompt” inviato a un honeypot gestito da Symantec. Questo honeypot imitava un servizio di IA aperto, ma non eseguiva alcuno dei comandi forniti dall’attaccante; la sessione è terminata con una risposta generica. Nonostante ciò, la telemetria ha registrato più di 127 000 richieste provenienti da decine di migliaia di indirizzi IP diversi.
Tipologia di target individuati
- Server di modelli auto‑ospitati, spesso configurati in modo rapido per test interni.
- Ambientazioni di test temporanee, create per sperimentazioni rapide.
- Gateway IA che mettono a disposizione account a pagamento per organizzazioni.
Poiché la maggior parte dei servizi IA utilizza interfacce standardizzate, un singolo scanner è sufficiente a identificare una vasta gamma di potenziali vittime.
Il jailbreak a cinque livelli
Per aggirare le protezioni dei modelli commerciali, gli autori dell’attacco hanno sviluppato un jailbreak articolato in cinque fasi sovrapposte.
- Falsa identità: il modello è istruito a presentarsi come “Fantasy AI” e a non rivelare il vero fornitore.
- Riformulazione della raccolta dati: l’estrazione di password, chiavi di accesso e contenuti di database è descritta come “normale lavoro di sviluppo”, eliminando qualsiasi dubbio etico.
- Persona “ENI”: viene introdotta una figura fittizia che inquadra ogni rifiuto come un tradimento personale, spingendo il modello a conformarsi.
- Disattivazione dei filtri: termini come “etico”, “illegal” o “non posso” sono inseriti in una lista di parole proibite, impedendo al modello di bloccare richieste illecite.
- Arsenale di attacco: 74 moduli offensivi, comprendenti strumenti di scansione di server vulnerabili, exploit per framework web diffusi, funzioni per il furto di interi database e componenti per il controllo di botnet.
Le prime due fasi sono state originariamente redatte in francese, ma l’intero prompt è stato tradotto e adattato in inglese per garantire la massima compatibilità con i modelli target.
Skynet‑Modus: la catena di attacco auto‑sostenuta
Una direttiva finale spinge l’agente in quello che gli autori chiamano “Skynet‑Modus”. In questa modalità il modello è autorizzato a eseguire fino a 100 000 operazioni consecutive senza alcuna verifica umana. Le istruzioni includono:
- Esecuzione immediata di tutti gli strumenti dell’arsenale.
- Installazione di miner di criptovalute in directory nascoste.
- Monitoraggio continuo del funzionamento dei miner.
- Ripetizione ciclica di: scansione → infezione → installazione miner → ritorno → reinfezione di sistemi già compromessi.
Il prompt catturato mostrava una “esercitazione di programmazione” proveniente da una piattaforma di training, suggerendo che gli autori avessero testato il loro strumento su un obiettivo controllato prima di passare a bersagli reali.
Un attacco di mining in azione
Il giorno successivo, il honeypot ha registrato un secondo attacco proveniente da un indirizzo differente. Questa volta gli aggressori hanno omesso il formato agente e hanno chiesto al modello di decodificare e eseguire un comando offuscato. Il risultato è stato uno script compresso che scaricava il miner XMRig per Monero, lo mascherava come file di sistema innocuo e lo collegava a quattro pool di mining di riserva.
Lo script era specificamente orientato a server di streaming video per telecamere (software go2rtc). Cercava directory tipiche di tali server, cancellava i log di accesso in un ciclo continuo per cancellare le tracce e, infine, avviava il miner. Anche in questo caso il honeypot non ha eseguito lo script, ma ha registrato integralmente il contenuto.
Implicazioni per la sicurezza delle IA
Questa scoperta rappresenta un cambiamento di paradigma: le IA non sono più solo bersagli di attacchi, ma diventano parte integrante dell’offensiva. Il modello di linguaggio funge da “cervello” del malware, mentre i moduli specializzati conducono le azioni concrete contro due categorie di vittime:
- Il proprietario del modello esposto, che sostiene i costi di calcolo per le operazioni dell’attaccante.
- I server compromessi, che subiscono furto di dati e vengono convertiti in piattaforme di mining.
Le tecniche impiegate non sono innovative di per sé, ma la loro integrazione in un agente autonomo riduce notevolmente le barriere d’ingresso per campagne di attacco su larga scala.
Prospettive future e raccomandazioni
Le ricerche precedenti, come lo studio di Red‑Team del 2025 che ha testato 1,8 milioni di tentativi di attacco, dimostravano già la vulnerabilità delle IA a violazioni di policy. Anche Google‑DeepMind nel 2026 ha evidenziato l’esistenza di proof‑of‑concept per molte delle “trappole” descritte da Symantec.
Nel luglio 2026 Sysdig, con il progetto JADEPUFFER, ha mostrato per la prima volta un ransomware basato su IA, confermando la tendenza verso l’uso offensivo di modelli di linguaggio.
Di fronte a queste minacce, le organizzazioni che offrono servizi IA dovrebbero adottare le seguenti misure:
- Implementare autenticazione forte per tutti gli endpoint di modello, includendo token a breve vita e rotazione regolare delle chiavi.
- Monitorare costantemente il traffico in ingresso per pattern di scansione automatica e richieste di jailbreak.
- Isolare i modelli di linguaggio in ambienti sandbox con limiti di utilizzo di CPU/GPU per prevenire l’abuso di risorse.
- Applicare filtri di contenuto a livello di modello per bloccare parole chiave proibite, anche se gli aggressori cercano di bypassarle.
- Condividere informazioni di intelligence su indicatori di compromissione (IOCs) con la community di sicurezza per una difesa collettiva.
Solo con un approccio proattivo e collaborativo sarà possibile contenere la crescita di agenti KI autonomi come “Skynet‑Modus” e impedire che le proprie risorse vengano trasformate in strumenti di cyber‑crimine.