AI Exploit Foundry: una catena di montaggio di zero-day per i tuoi apparati

Per gran parte dell'ultimo decennio uno zero-day funzionante in un apparato di sicurezza di rete è stato un oggetto costoso e artigianale: settimane di uno specialista che analizza il firmware, un output scarso e custodito come munizione. Il 10 settembre 2026 Anthropic ha pubblicato un report di threat intelligence che documenta la fine di quell'economia. Uno dei casi descrive un'operazione riconducibile alla Cina che gestisce un'exploit foundry automatica — una pipeline pianificata e non presidiata di agenti AI che decompilano il firmware degli apparati, formulano ipotesi di vulnerabilità e validano gli exploit senza sosta. In un solo mese, un singolo workflow ha prodotto più di una dozzina di zero-day candidati su circa 50 organizzazioni bersaglio.

La parola che conta è foundry, fonderia: non un exploit brillante, ma una catena di montaggio. Questo articolo parla di cosa cambia quando la scoperta di zero-day contro i dispositivi al tuo perimetro diventa un processo industriale — e perché l'unica risposta difensiva che regge il passo è quella che fa girare lo stesso tipo di motore dalla tua parte del cavo.

Cos'è davvero una AI exploit foundry

Anthropic traccia l'operazione come GTG-10007. La meccanica, dal report: gli attori hanno "configurato workflow autonomi guidati dall'AI per colpire firmware e binari degli apparati", caricando le immagini nei decompilatori e assegnando ad agenti assistenti il compito di analizzarle, costruire catene di cross-reference "su migliaia di chiamate di decompilazione", formulare ipotesi di vulnerabilità e testare il codice di exploit contro copie di laboratorio degli stessi apparati. Tredici agenti di raccolta permanenti giravano su un job pianificato, senza alcun operatore presente.

Rileggilo con gli occhi di chi gestisce le operazioni. Non è una persona che usa l'AI per andare più veloce. È un sistema: flussi paralleli con tooling condiviso e registri di campagna persistenti, in esecuzione su cron, che trattano la ricerca di vulnerabilità come una pipeline di CI tratta una build. L'output di un mese — più di dodici zero-day candidati su ~50 organizzazioni, con exploit funzionanti per diverse famiglie di apparati di rete e sicurezza — è un numero di throughput, non un colpo di genio isolato.

Questo ridimensiona due assunti su cui i difensori ancora si appoggiano:

• "Gli zero-day sono rari, quindi la cadenza di patch basta." Quando la scoperta è industrializzata contro un catalogo fisso di apparati, il tempo medio tra il momento in cui il tuo modello riceve un bug fresco e non pubblicato e il momento in cui qualcuno lo usa scende verso la durata di un job pianificato.
• "La capacità nation-state è un club ristretto." La constatazione più netta di Anthropic è che i framework agentici hanno azzerato il divario di manodopera e tooling: un singolo operatore con il harness giusto oggi approssima l'output di un team statale strutturato. La barriera che teneva scarsa questa classe di attacco erano le ore-uomo. Quella barriera non c'è più.

Perché gli apparati di sicurezza sono la materia prima

Una exploit foundry ha bisogno di una classe di bersagli che sia (a) esposta su internet, (b) abbastanza omogenea perché un solo bug renda su molte vittime, e (c) opaca per il difensore. Gli apparati di sicurezza segnano il massimo su tutti e tre. Un firewall, un concentratore VPN, un gateway email o una sandbox stanno per progetto sul confine di fiducia, eseguono un'immagine firmware chiusa che il cliente non può strumentare, e spesso non possono ospitare un agente EDR — proprio la natura "agentless" che li rende un apparato è ciò che rende invisibile la loro compromissione.

Non è teorico, e non è solo nel report di Anthropic. Guarda cosa CISA è stata costretta ad aggiungere al catalogo Known Exploited Vulnerabilities nelle stesse settimane:

Apparato	CVE	Classe	Stato
SonicWall SMA1000	CVE-2026-83549	OS command injection	KEV, sfruttato
SonicWall SMA1000	CVE-2026-83548	Server-side request forgery	KEV, sfruttato
N-able N-central	CVE-2026-86218	Static code injection	KEV, sfruttato

Ciascuno di questi è esattamente il profilo che una foundry ottimizza: un dispositivo di bordo, installato in massa, che la maggior parte dei proprietari tratta come un apparato messo su una volta e poi smesso di guardare. Ne abbiamo scritto a proposito di FortiSandbox, l'apparato di sicurezza che nessuno controlla — il punto è generalizzabile. L'operatore dietro la campagna PaperCut qui sotto, secondo la sua telemetria, sondava sistemi esposti su internet di Palo Alto, Ubiquiti, Citrix, SonicWall e Proxmox dall'inizio di luglio. La superficie di ricognizione è la flotta di apparati.

Dalla foundry all'exploitation di massa in un solo salto

Una foundry conta solo perché il suo output alimenta un motore di consegna della stessa natura. Il resoconto di GreyNoise sulla campagna PaperCut NG/MF, pubblicato il 9 settembre 2026, è lo sguardo pubblico più chiaro sulla seconda metà della pipeline. Un singolo operatore ha costruito un laboratorio privato con un server PaperCut vulnerabile e un dominio Active Directory, ha sviluppato gli exploit per CVE-2026-81578 (auth bypass) e CVE-2026-82078 (RCE via reflection non sicura) — la catena pre-auth di cui abbiamo scritto quando è emersa come zero-day nel print server — e ha poi passato la catena validata a centinaia di agenti autonomi alimentati da un harness OpenAI Codex e da un modello DeepSeek.

Il risultato è un profilo di throughput che nessun team umano produce:

• Oltre 440 istanze PaperCut compromesse, su 395 organizzazioni in 48 paesi.
• Undici organizzazioni compromesse in una finestra di 26 secondi.
• Dall'accesso iniziale al domain admin in appena 5 minuti; una scuola superiore è passata dal primo accesso al domain admin in 7.

"Ha trovato il bug su una pianificazione, e ha usato il bug su una pianificazione. Non c'era finestra tra divulgazione e sfruttamento, perché per le vittime non c'era divulgazione — il primo artefatto pubblico era la compromissione."

Questa è la tesi operativa in una riga. La foundry rimuove il collo di bottiglia della scoperta; lo sciame rimuove quello della consegna. Quella che era una catena di decisioni umane — trovare, armare, bersagliare, sfruttare, scalare — è ora un unico flusso automatico continuo, e il passo più lento si misura in minuti.

È cambiata l'economia, non solo la velocità

È allettante archiviare tutto sotto "gli attacchi sono diventati più veloci". Lo spostamento più profondo è il costo. Il gruppo di threat intelligence di Google aveva già documentato il primo zero-day in the wild ritenuto sviluppato dall'AI — un bypass semantico del 2FA in uno strumento di amministrazione web molto diffuso, il cui script tradiva l'origine con docstring da manuale e un punteggio CVSS allucinato. Quello era il proof of concept del ci riesce. La foundry di Anthropic è la prova del a quale ritmo e a quale prezzo.

Quando il costo marginale del prossimo zero-day candidato si avvicina al costo di una chiamata API e di una voce nello scheduler, tre abitudini difensive smettono di funzionare insieme: i penetration test annuali (campionano un bersaglio in movimento una volta l'anno), il triage delle patch guidato dal CVSS (classifica bug divulgati, e l'output della foundry per costruzione non lo è), e "siamo troppo piccoli per essere bersaglio" (lo sciame non sceglie i bersagli uno alla volta; spazza una classe). L'assunto di pianificazione corretto è ora che un bug raggiungibile e non pubblicato in uno dei tuoi apparati di bordo esiste ed è trovabile da una macchina — e il tuo compito è trovarlo e chiuderlo prima che lo faccia la macchina dall'altra parte.

Remediation

Non puoi applicare una patch a un bug che non è stato divulgato. Quindi la postura di difesa degli apparati che sopravvive a un modello di minaccia da exploit foundry riguarda l'esposizione e le prove, non solo il patching. Trattalo come un runbook permanente per ogni apparato di sicurezza/rete esposto su internet.

1. Sono esposto? Enumera ogni interfaccia di gestione e data-plane degli apparati raggiungibile da internet. Dall'esterno del perimetro: nmap -Pn -p- --open <edge-range> e conferma che nessuna UI admin, API o portale SSL-VPN risponda dove non dovrebbe. La mossa vincente è la cancellazione: un'interfaccia non raggiungibile non può stare nel target set di una foundry.
2. Applica le patch sull'orologio del vendor, non sul tuo. Installa le versioni corrette il giorno in cui escono per tutto ciò che è in KEV — gli esempi vivi qui sopra (SonicWall SMA1000, N-able N-central) hanno già scadenze federali. Iscriviti al feed PSIRT di ogni vendor; nell'era foundry lo SLA di patch è di ore, non della prossima finestra di manutenzione.
3. Non puoi applicare la patch subito? Riduci il raggio d'esplosione. Vincola i piani di gestione a un jump host o a un segmento solo-VPN, imponi IP sorgente in allow-list sulle interfacce admin e disabilita i servizi inutilizzati sull'apparato. Ogni funzione rimossa è un target di decompilazione rimosso.
4. Caccia la compromissione — l'apparato non te lo dirà. Poiché questi dispositivi sono agentless, la prova onesta è fuori dalla scatola. Confronta i log riportati dall'apparato con una copia indipendente inviata al SIEM al momento della scrittura; una discrepanza è manomissione (MITRE ATT&CK T1070, indicator removal). Sorveglia il cavo per i segnali che un apparato compromesso non può nascondere: una shell interattiva o un beacon in uscita da un dispositivo che storicamente solo riceve connessioni, DNS o TLS verso ASN mai visti, e fan-out laterale dall'apparato verso la VLAN di gestione (T1190 exploit public-facing app → T1041 exfiltration).
5. Bonifica ricostruendo, verifica dopo. La compromissione a livello root di un apparato significa che il firmware non è affidabile; esegui factory-reset o re-imaging da un'immagine firmata nota-buona invece di pulire in place, ruota ogni credenziale e token API che l'apparato deteneva, poi ri-conferma che la baseline di egress sia silenziosa dopo la ricostruzione.

Dove lascia Zero Hunt

La simmetria scomoda di GTG-10007 è che la difesa vincente ha la stessa forma dell'attacco: un motore autonomo e multi-agente che prova di continuo cosa è raggiungibile sul tuo stesso perimetro. È esattamente ciò per cui è costruito lo swarm a 10 agenti di Zero Hunt — Recon, Exploit, Web, Credential, Post-Exploit, Pivot, Tactic e Report sotto un AI Controller. Le sue campagne change-triggered fanno partire un assessment completo entro l'ora in cui un nuovo apparato compare sul perimetro, e gli agenti Exploit e Web scrivono una catena di exploit per-target con un LLM locale invece di riprodurre un PoC pubblico — lo stesso approccio generativo che usa la foundry, puntato sulla tua superficie per rispondere all'unica domanda che il CVSS non può: questo dispositivo è davvero raggiungibile e sfruttabile qui, prima che il job pianificato di qualcuno decida che lo è. Ogni skill è ritestata nell'AI Gym contro Vulhub e il corpus black-box da 314 CVE prima di toccare la produzione, e ogni finding è firmato ECDSA per una catena di custodia difendibile.

Il modello di deployment è la parte che il report di Anthropic rende non negoziabile. Gli avversari in quel report hanno armato modelli commerciali di frontiera — Claude, un harness OpenAI Codex, un modello DeepSeek — come loro motore di exploit. Consegnare il tuo firmware e la tua superficie d'attacco a un modello cloud per "testarli" significa spedire esattamente la materia prima che una foundry vuole verso esattamente la classe di sistemi abusati per costruirne una. Zero Hunt gira 100% on-prem: un modello offensivo locale, nessun callback verso il cloud, nessuna API LLM esterna, air-gap supportato. Il motore che analizza i tuoi apparati non lascia mai la tua rete — che è l'unico posto in cui l'analisi della tua superficie d'attacco dovrebbe girare. E quando uno sciame alimentato da una foundry raggiunge la fase di consegna, il modello di AI Traffic Analysis legge il comportamento di exploitation di massa sul cavo — la shell interattiva, il beacon verso ASN mai visti, il fan-out laterale — mentre accade, su una superficie che l'apparato compromesso non può modificare.

La exploit foundry non sta arrivando: secondo due team di threat intelligence è già in esecuzione su una pianificazione. La domanda che un responsabile della sicurezza dovrebbe porsi questo trimestre non è "siamo patchati", ma "chi raggiunge per primo i bug raggiungibili dei nostri apparati — e la nostra parte di quella corsa gira sullo stesso orologio". Parlane con noi: facciamo girare il motore di assessment che lo fa.