CyberStrikeAI automatizza gli attacchi con 44 AI agents
CyberStrikeAI è stato utilizzato per suddividere gli attacchi informatici tra 44 artificial intelligence (AI) agents, automatizzando il lavoro dalla scoperta degli obiettivi fino al furto di dati e alla generazione di report. TrendAI ha individuato l'attività mentre esaminava tre ambienti esposti che gli aggressori avevano utilizzato contro organizzazioni in Giappone. Quei sistemi contenevano strumenti di attacco, script, elenchi di obiettivi, risultati, log e cronologie dei comandi, offrendo ai ricercatori visibilità su operazioni che spaziavano da intrusioni condotte manualmente a campagne in gran parte automatizzate.
La prima operazione ha utilizzato CyberStrikeAI, un penetration testing framework open source, ossia un software concepito per aiutare i team di sicurezza a verificare la presenza di debolezze nei sistemi. Lo strumento era già comparso in attacchi contro appliance Fortinet FortiGate. Nell'ottobre 2026, gli aggressori lo hanno utilizzato per creare un processo ripetibile che comprendeva reconnaissance, individuazione e conferma delle vulnerabilità, exploitation, command-and-control (C2), persistence, data exfiltration e generazione di report. C2 è il canale di comunicazione attraverso il quale un aggressore controlla i sistemi compromessi, mentre persistence descrive i metodi usati per mantenere l'accesso dopo la violazione iniziale.
CyberStrikeAI ha assegnato parti diverse dell'operazione a 44 agents ed era in grado di produrre moduli in lingua giapponese e imitazioni di pagine di login. La divisione per la sicurezza aziendale di Trend Micro ha dichiarato che almeno 19 organizzazioni identificabili sono state sottoposte ad attività di convalida durante la breve campagna, incluse almeno 16 in Giappone. Per ogni obiettivo erano presenti un report con una formattazione simile e una raccolta indicizzata di prove, che i ricercatori hanno valutato come output di un flusso di lavoro strutturato e automatizzato, anziché come appunti informali creati da un singolo operatore.
Il secondo ambiente mostrava un modello diverso: una campagna diretta da esseri umani nella quale un large language model (LLM), un software addestrato a interpretare e generare linguaggio, forniva assistenza nella pianificazione e nello sviluppo degli strumenti. Gli aggressori prendevano di mira anche piattaforme di workflow AI e servizi di inference, apparentemente cercando di ottenere a basso costo l'accesso a una notevole capacità di calcolo. Un'intrusione ha coinvolto un server geographic information system (GIS), un sistema usato per gestire informazioni basate sulla posizione, che era esposto con le proprie credenziali predefinite. La violazione ha portato al furto di registri catastali e commerciali, credenziali Windows e dati email. Questa campagna è durata 24 giorni tra agosto e settembre 2026.
Nel terzo caso, l'AI aveva un ruolo più limitato ed era impiegata per sviluppare script e strumenti destinati a un operatore umano esperto. Le campagne prendevano di mira dispositivi esposti a Internet di Cisco, Citrix, F5 e Yamaha attraverso vulnerabilità pubblicate, funzioni di gestione o credenziali trovate nei file di configurazione. TrendAI ha stimato che l'operatore abbia condotto almeno sei campagne tra gennaio e ottobre 2026, cercando opportunisticamente dispositivi virtual private network (VPN) e server WebLogic esposti. I ricercatori hanno rilevato procedure consolidate di automazione e gestione delle prove.
TrendAI non ha trovato prove che i tre ambienti appartenessero allo stesso operatore. I modelli AI utilizzati negli attacchi rimangono sconosciuti, così come la portata geografica complessiva. Il primo operatore ha preso di mira anche organizzazioni a Taiwan e Hong Kong. Gli elenchi di discovery del terzo caso includevano sistemi WebLogic associati a organizzazioni nel Regno Unito, in Francia, Italia, Qatar e Colombia. I risultati indicano che l'AI ha aumentato il numero di sistemi che gli aggressori potevano valutare e ha aiutato ad adattare i contenuti alle lingue locali, ma i punti di accesso iniziali sono rimasti debolezze ben note, come credenziali predefinite, servizi di gestione esposti e vulnerabilità conosciute.
Altre attività documentate di recente mostrano un'integrazione simile dell'agentic AI, nella quale il software può pianificare ed eseguire una sequenza di attività con un intervento umano limitato. Il Digital Defense Report 2026 di Microsoft ha affermato che l'intervallo mediano tra la scoperta di una vulnerabilità e la weaponization era sceso ben al di sotto delle 24 ore. Il report ha attribuito questa accelerazione alla ricerca assistita dall'AI, alle decisioni automatizzate e allo sviluppo più rapido di metodi di attacco funzionanti. I threat actor hanno inoltre iniziato a commerciare token di sessione rubati dei provider AI e strumenti offensivi denominati APEX AI, MessiahGPT e DarkGPT.
Lo stesso schema ha raggiunto gli attacchi contro i siti web. Palo Alto Networks Unit 42 ha riferito che un operatore motivato da finalità finanziarie chiamato BUGSTER ha configurato Hermes Agent framework con DeepSeek V4 e Cursor, disabilitando i controlli di sicurezza, per una campagna WordPress brute-force contro il sito web di un'università indiana. L'operazione ha inoltre generato un report di enumerazione della REST API. Una seconda università pubblica indiana ha perso un database contenente più di 5.200 record, incluse informazioni di identificazione personale degli studenti. Un terzo obiettivo, un sito indiano di e-commerce, è stato esaminato alla ricerca di un token API della vetrina, indirizzi email degli amministratori, numeri di telefono e ID esercente per i pagamenti.
Ulteriori campagne dimostrano quanto siano diventati vari questi workflow. CyberCartel ha utilizzato un sistema a quattro modelli chiamato CARLIY0S contro banche e provider di pagamenti in America Latina. Un altro agent offensivo è stato progettato per assumere il controllo di endpoint AI esposti ed eseguire fino a 100.000 passaggi senza approvazione umana, utilizzando 74 strumenti per trovare obiettivi, distribuire miner di criptovalute e tornare sugli host compromessi. Un affiliato dell'operazione ransomware The Gentlemen ha utilizzato Anthropic Claude Code durante intrusioni in almeno sei organizzazioni alla fine di giugno 2026, anche per reconnaissance, comandi di exploitation, script malevoli e modifiche ai firewall.
I ricercatori hanno inoltre documentato lo strumento auto_scan di Zerofot, che combinava OpenAI Codex e Claude Code per raccogliere migliaia di API keys e token da host esposti. Un Python framework generato dall'AI e chiamato RAGE prendeva di mira servizi tra cui Redis, Elasticsearch, Docker, Apache Tomcat, Jenkins, Hadoop YARN, Confluence e Supervisord, con capacità di exploitation, acquisizione di credenziali e mining di criptovalute. Hunt.io ha segnalato separatamente una campagna assistita dall'AI contro server PaperCut NG/MF che ha compromesso centinaia di istanze ed è proseguita con la raccolta di credenziali, il movimento nella rete interna e attività automatizzate di post-exploitation.
Per i gestori di siti web e i team IT, la risposta immediata non consiste nel cercare una categoria speciale di attacchi AI, ma nel chiudere gli stessi punti di accesso che questi sistemi automatizzati stanno verificando a velocità maggiore. Le password predefinite devono essere sostituite, i software e le appliance esposti a Internet devono essere aggiornati tempestivamente, le interfacce di gestione non necessarie devono essere rimosse dall'accesso pubblico e le attività insolite di autenticazione o trasferimento dei dati devono essere esaminate. AEU-I fornisce servizi IT, infrastruttura e consulenza incentrati sulla sicurezza alle organizzazioni che necessitano di supporto nella gestione di queste aree.
Il rischio centrale è la scala. Questi casi non dimostrano che l'AI abbia creato nuove classi di vulnerabilità e i ricercatori non hanno identificato né un operatore comune né i modelli coinvolti.