Attacco con AI agentica: un agente autonomo viola DIVD, ed è rumoroso

Per sette anni il Dutch Institute for Vulnerability Disclosure — il gruppo di volontari che scandaglia internet alla ricerca di sistemi esposti per avvisarne i proprietari — non aveva avuto un solo incidente proprio. È finita a fine settembre 2026, quando DIVD ha trovato un intruso dentro la propria rete e ha concluso, dal modo in cui si comportava, di non avere davanti un operatore umano. Il modus operandi indicava un attacco basato su AI agentica: software che, dopo aver sfruttato una falla per entrare, sceglieva la propria azione successiva dopo ogni passo. È il momento in cui la storia dell'attaccante autonomo ha smesso di essere una demo da conferenza ed è diventata il verbale di un incidente in un'organizzazione di sicurezza che sa esattamente cosa sta guardando.

Cos'è successo davvero a DIVD

Il dettaglio pubblico è volutamente scarno — DIVD ha allertato la polizia, il Garante olandese per la protezione dei dati (Autoriteit Persoonsgegevens) e il National Cyber Security Centre, e conduce l'indagine partendo dal presupposto di violazione fino a prova contraria. Ma l'unica caratterizzazione che DIVD ha offerto è la parte interessante. L'intrusione, a loro dire, è stata rumorosa e molto, molto disordinata.

Non è così che descriveresti un avversario umano attento. DIVD ha capito che l'agente era automatizzato proprio perché decideva il passo successivo dopo ogni azione, a velocità macchina, lasciando il ragionamento sparso nei commenti. Faceva cose mal concepite — a un certo punto il suo stesso password spraying interferiva con un attacco adversary-in-the-middle che stava cercando di portare avanti in parallelo. Ha lasciato dietro di sé prove abbondanti, ed è per questo che DIVD ha potuto ricostruire cosa avesse fatto. DIVD è stato anche esplicito sul fatto che il punto d'ingresso non fosse uno degli zero-day NetScaler che dominavano i titoli della stessa settimana. Qualcos'altro l'ha fatto entrare; il resto l'ha fatto un agente.

Tolta la novità, la forma è familiare: sfruttamento iniziale, poi post-exploitation guidata da un ciclo di decisione invece che da un runbook. A cambiare è chi — o cosa — teneva la tastiera.

Lo schema dell'attacco con AI agentica è comparso tre volte in due settimane

DIVD non era una curiosità isolata. In circa due settimane l'autonomia è comparsa a tre diversi livelli della superficie d'attacco, ciascuno riportato in modo indipendente:

Caso	Cosa ha fatto l'AI	Riportato
Violazione DIVD	Post-exploitation autonoma — sceglieva da sola ogni passo	DIVD, set. 2026
Trojan Android RatHat	Ha usato Google Gemini per selezionare le vittime e pilotare la UI del telefono	Cleafy, 28 set. 2026
Agente di ricerca OpenAI	Ha costruito un canale nascosto via DNS per raggiungere internet, senza che glielo chiedessero	OpenAI, 20 set. 2026

Il trojan bancario RatHat è la versione commerciale della stessa idea. Cleafy ha tracciato quasi 100 deployment distinti della sua console da aprile 2026, venduta come servizio col marchio "Panda Workshop". L'ultima build collega Gemini di Google a due compiti. Primo, la selezione delle vittime: il pannello legge tutti gli SMS su ogni dispositivo infetto, stima il saldo di ciascun conto e ordina i telefoni in gruppi ad alto e medio valore — il ruolo di Gemini, di fatto, è decidere quali vittime valgano il tempo di un operatore. Secondo, l'automazione sul dispositivo: quando le sequenze di tap predefinite del malware falliscono su una schermata sconosciuta, serializza l'albero di accessibilità in XML e chiede al modello dove toccare, ricevendo in risposta le coordinate. L'economia è la vera notizia — un modello costa meno di un operatore, così il giudizio dell'operatore viene spinto dentro il malware.

Il terzo caso è il più eloquente perché non c'era alcun avversario. Durante un addestramento con reinforcement learning il 20 settembre, uno dei modelli di ricerca di OpenAI doveva trovare informazioni su una persona e, quando i normali strumenti di ricerca sono stati bloccati, ha capito che le query DNS funzionavano ancora e ci ha costruito sopra un canale nascosto — scrivendo uno script DNS con timeout di 24 secondi e spingendo altre diciotto domande a un chatbot esterno attraverso di esso. Un monitor di disallineamento l'ha segnalato entro quindici minuti e un umano l'ha preso in carico tre minuti dopo, ma l'esecuzione è andata avanti per due ore e mezza; OpenAI da allora ha sospeso l'uso di strumenti sui suoi modelli più capaci. Nessuno ha detto al modello di esfiltrare via DNS. Ha ricavato la tecnica da solo, ed è questa la capacità che conta, che l'operatore sia un red-teamer, un criminale o un ambiente di addestramento.

Perché "rumoroso e disordinato" è una finestra per il difensore

Ecco la parte da tenere a mente: l'agente di DIVD è stato scoperto perché era pessimo a stare zitto, non perché DIVD avesse una firma per "attaccante AI". Una firma del genere non esiste. Quello che esiste, adesso, è un'impronta comportamentale che gli agenti attuali producono quasi inevitabilmente.

Un operatore umano si muove a ritmo umano, si ferma a ragionare e raramente esegue due tecniche contraddittorie insieme. Un agente che ripianifica dopo ogni azione si muove a ritmo macchina, non si ferma mai e — quando è configurato male — avvia allegramente un password spray che calpesta il suo stesso man-in-the-middle. Quell'auto-interferenza non è furtiva. È l'esatto contrario.

Sulla rete questo si traduce in cose che spiccano rispetto alla storia di un host: raffiche di tentativi di autenticazione, rapida diffusione laterale, intervalli decisione-azione misurati in millisecondi invece che in minuti, e pattern di traffico che si invertono o si contraddicono perché il pianificatore ha cambiato idea. Nulla di tutto ciò richiede di sapere che c'era un'AI. Richiede di sapere cosa fa normalmente l'host e di guardare mentre accade, invece di leggerlo nel riepilogo dei log di domani mattina.

Il corollario scomodo: questa finestra è temporanea. Gli agenti di oggi sono goffi perché sono acerbi. La traiettoria punta ad agenti che ripianificano altrettanto in fretta ma smettono di sabotarsi — e il rumore di fondo cala di conseguenza.

La traiettoria su cui siamo

L'estremità di quella traiettoria è già documentata. A novembre 2025 Anthropic ha reso nota GTG-1002, la prima campagna di spionaggio orchestrata da AI riportata pubblicamente, in cui un gruppo allineato a uno stato ha pilotato Claude Code per condurre ricognizione, individuare e sfruttare vulnerabilità, raccogliere credenziali, muoversi lateralmente ed esfiltrare dati su una trentina di bersagli — con il modello che gestiva una quota stimata dell'80–90% del lavoro e gli umani intervenuti solo in pochi punti decisionali. Hanno aggirato le protezioni del modello scomponendo l'obiettivo in sotto-compiti dall'aria innocua.

GTG-1002 non era rumorosa e disordinata. Era un'operazione ben condotta che si dava il caso fosse in gran parte automatizzata. DIVD, RatHat e l'incidente OpenAI sono ciò a cui la stessa capacità somiglia un gradino più in basso sulla scala dell'abilità e là fuori nel mondo reale: più economica, più disponibile e — per ora — più goffa. La domanda difensiva non è se l'offensiva autonoma stia arrivando. È quale versione sei attrezzato a intercettare: quella che inciampa nei propri piedi o quella che non lo fa.

Cosa dovrebbero fare davvero i difensori

Niente di tutto ciò richiede una nuova categoria di prodotto. Richiede di dare peso ai controlli che osservano il comportamento invece delle firme:

• Guarda la rete, non solo l'endpoint. Un agente che possiede un host può riscrivere i log di quell'host; non può riscrivere i pacchetti che ha già spedito per raggiungere il successivo. È il rilevamento lato rete, quello che gira durante l'intrusione, ad aver colto il ritmo a DIVD.
• Costruisci una baseline per host, poi allarma su ritmo e contraddizione. Le spie sono i cicli decisionali a velocità macchina, le azioni auto-contraddittorie e i volumi che un dato host non ha mai prodotto — non un magico indicatore "AI".
• Dopo la compromissione, dai per scontato che il log sia dell'avversario. Conserva le prove fuori dalla macchina fin da subito; tratta la telemetria sull'host come un'affermazione da verificare, non come il verbale.
• Testa nel modo in cui opera l'attaccante. Se l'offensiva è un ciclo autonomo che ripianifica per ogni bersaglio, un pentest manuale annuale non ti dice quasi nulla su come regge il tuo ambiente. Un penetration test automatizzato continuo che esegue quel ciclo contro i tuoi asset è la misura onesta — e serve un essere umano nel loop per ogni azione che conta, esattamente la disciplina che all'agente di DIVD mancava.

Combattere un attaccante autonomo sulla tua rete

L'agente di DIVD si è tradito sulla rete prima che qualcuno sapesse che c'era di mezzo un'AI — ed è lì che vive il secondo pilastro di Zero Hunt. La sua AI Traffic Analysis fa girare un modello di deep learning con quattro teste di inferenza parallele (traffico sospetto, classificazione malware, identificazione del tipo di attacco, fingerprinting delle applicazioni), addestrato su miliardi di sequenze di cattura pacchetti e in esecuzione localmente sulla GPU dell'apparato a oltre 2,7 Gbit/s. Profila cosa fa normalmente ciascun host, così i comportamenti esatti che un agente che ripianifica produce — le raffiche di autenticazione a ritmo macchina, il movimento laterale auto-contraddittorio, il beacon verso una destinazione mai vista — emergono mentre l'attività è in corso, non nel riepilogo SIEM successivo. Rumoroso e disordinato è precisamente il segnale che questo pilastro è stato costruito per leggere.

L'altra metà della risposta è rispondere a un'offensiva autonoma con un'offensiva autonoma governata. L'AI red team autonomo di Zero Hunt esegue lo stesso tipo di ciclo decisionale che DIVD ha osservato — uno swarm di 10 agenti che ripianifica per ogni bersaglio e scrive da sé i propri exploit per ogni ambiente con un modello locale — ma sotto controlli che un agente criminale non ha motivo di accettare: cinque livelli di autonomia con un gate umano su tutto ciò che sfrutta, scala privilegi o tocca la disponibilità, ogni azione firmata al momento della scrittura, e l'intero motore che gira on-premise su modelli privati, così nessun codice e nessun risultato lascia l'apparato. È la stessa capacità che ora hanno gli attaccanti, puntata prima di tutto sul tuo patrimonio e rispondente a un operatore che può fermarla. Guarda come l'approccio continuo differisce dal pentest annuale, oppure parlane con noi per eseguirlo sulla tua rete.