CyberStrikeAI: uno sciame di 44 agenti IA contro il Giappone

Un attaccante ha lasciato una console esposta, e per una volta tocca a noi leggere il cruscotto. Il 27 ottobre 2026 i ricercatori di TrendAI Bakuei Matsukawa e Joseph C. Chen hanno pubblicato un'analisi di tre ambienti server esposti, usati per attaccare organizzazioni in Giappone. Uno di essi faceva girare CyberStrikeAI — un framework open-source di penetration testing ad agenti IA — configurato come uno sciame di 44 agenti che concatenava ricognizione ed esfiltrazione e generava da solo pagine di login false in giapponese. Gli screenshot mostrano un conteggio in tempo reale del tasso di successo degli strumenti, del consumo di token e della "creazione batch". Non è una slide sul futuro degli attacchi IA. È il tabellone di uno già accaduto.

Notizia in evoluzione — pubblicata alle 20:07 (19:07 UTC) del 27 ottobre 2026. Aggiornata man mano che TrendAI e gli altri responder pubblicano di più.

Cosa ha davvero trovato TrendAI

Il report è utile proprio perché rifiuta di appiattire tutto in "l'IA sta attaccando il Giappone". I tre ambienti stavano a tre livelli diversi di autonomia, e TrendAI non ha trovato prove che condividano un operatore.

• Caso A — piena autonomia (CyberStrikeAI). Un framework ad agenti IA ha guidato l'intero flusso di lavoro. La console esposta era in cinese semplificato e la configurazione elencava 44 agenti — una voce di log recita "credential-search agent 8/44". Gli agenti coprivano ricognizione, scoperta e validazione delle vulnerabilità, exploitation, command-and-control, persistenza, esfiltrazione dati e reportistica automatica. La piattaforma coniava anche moduli e pagine di login per il furto di credenziali in giapponese. In una breve finestra di ottobre 2026, almeno 19 organizzazioni identificabili — 16 delle quali in Giappone — sono state sottoposte ad attività di validazione, con bersagli anche a Taiwan e Hong Kong.
• Caso B — guidato da umano, forte assistenza LLM. In circa 24 giorni tra agosto e settembre 2026, un operatore ha usato un large language model per scrivere piani e strumenti, presentando le richieste al modello come una "valutazione autorizzata" per aggirare le barriere di sicurezza. La campagna cercava piattaforme di workflow IA e servizi di inferenza — l'obiettivo dedotto era capacità di inferenza a basso costo e su larga scala. Almeno 6.000 indirizzi IP giapponesi sono stati scansionati. Una vittima ha subìto una catena di controllo completa (FTP, database, privilegi di amministratore, web shell, SSH) e l'attaccante ha ripristinato le sue backdoor dopo la bonifica. Un server GIS lasciato con credenziali di default ha ceduto diverse centinaia di migliaia di record catastali e commerciali, credenziali Windows e posta elettronica.
• Caso C — IA come assistente per gli strumenti. Almeno sei campagne tra gennaio e ottobre 2026 hanno usato l'IA soprattutto per costruire script. I bersagli erano dispositivi edge esposti — Cisco SD-WAN, Citrix NetScaler, F5 BIG-IP e Yamaha RTX1210 — raggiunti tramite vulnerabilità pubblicate, funzioni di gestione esposte o credenziali lasciate nei file di configurazione. (I router Yamaha sono caduti per credenziali trapelate dai config, non per un bug di prodotto.) Sono stati enumerati almeno 1.300 candidati WebLogic e 35 punti di ingresso VPN; le liste di ricognizione nominavano anche sistemi in Regno Unito, Francia, Italia, Qatar e Colombia.

La scoperta silenziosa: più manodopera, lo stesso lavoro

Il numero da titolo è 44 agenti. La scoperta che conta è cosa quegli agenti hanno per lo più prodotto. Per molti bersagli di CyberStrikeAI, TrendAI registra l'esito senza giri di parole: "nessuna sessione, nessuna web shell, nessuna esfiltrazione". La catena d'intrusione più chiara che è riuscita a ricostruire partiva da un'interfaccia di amministrazione non autenticata e raggiungibile pubblicamente su un vecchio sistema web — una porta già aperta.

TrendAI lo dice chiaro: "l'IA ha aumentato la forza-lavoro degli attaccanti, ma il lavoro consiste ancora nel cercare porte non chiuse a chiave". E altrove: "l'IA non è più una capacità sperimentale per i gruppi APT; è una componente operativa incorporata direttamente nelle campagne". Sono vere entrambe insieme. Gli agenti non hanno evocato zero-day inediti contro sistemi induriti; hanno industrializzato la ricerca, eseguendo migliaia di passaggi di validazione su tre paesi a un costo in token che il cruscotto era ben felice di mostrare.

È questa la parte che i difensori dovrebbero interiorizzare. CyberStrikeAI non è esotico. È un progetto Go open-source nato a fine 2025, con oltre 6.600 stelle su GitHub, più di 100 template integrati, supporto nativo a Claude e DeepSeek e — dal 2 ottobre 2026 — un proprietario commerciale in ThreatBook. Lo stesso framework era già stato collegato dai ricercatori a un'ondata di attacchi a FortiGate che correva in parallelo alla campagna assistita dall'IA documentata da Amazon contro oltre 600 appliance FortiGate in 55 paesi. Questa è ormai offesa di serie, e non le importa se la tua porta è a Osaka o a Milano.

Chiudi le tue porte aperte

TrendAI ha trattenuto gli IOC per non disturbare le indagini in corso, quindi non c'è una lista di IP da bloccare. Ed è comunque la lente giusta: quando l'attaccante è uno sciame di validazione, la vittoria difensiva è rimuovere ciò che esso valida. In ordine di priorità:

1. Trova prima le tue porte d'ingresso esposte. Enumera le tue interfacce di amministrazione esposte a internet, le console web legacy e i management plane come fa lo sciame — senza autenticazione. L'intrusione del Caso A è partita da una pagina admin pubblica che nessuno aveva ritirato. La nostra guida al penetration testing automatizzato spiega come rendere quell'enumerazione continua invece che annuale.
2. Elimina le credenziali di default e quelle nei file di configurazione. Sia la breccia GIS del Caso B sia le compromissioni Yamaha RTX1210 del Caso C sono nate da credenziali mai cambiate o lasciate leggibili nei backup di configurazione. Ruotale, togli i segreti dai config e imponi l'MFA su ogni endpoint di gestione e VPN.
3. Patcha l'edge per sfruttabilità, non per CVSS. Cisco SD-WAN, Citrix NetScaler e F5 BIG-IP erano nel mirino del Caso C tramite vulnerabilità pubblicate — quelle che un agente può cercare e lanciare in pochi secondi. Dai priorità ai bug esposti a internet e già sfruttati (per esempio il tipo di RCE pre-auth che abbiamo trattato in PHP2Shell, CVE-2026-109618) rispetto a bug ad alto punteggio che nessuno sta raggiungendo.
4. Dai la caccia al comportamento, non a una firma. Cerca raffiche di traffico di validazione strutturato verso molti dei tuoi host, credential-stuffing contro i path admin e — il segnale del Caso B — backdoor che ricompaiono dopo che le hai rimosse. Un attore che ripristina l'accesso dopo la bonifica è ancora dentro; reinstalla e ruota, non "cancella e vai avanti".
5. Verifica la correzione con la stessa prova. Dopo aver chiuso una porta, riesegui l'esatto controllo che l'aveva trovata aperta. "Abbiamo patchato" e "un attaccante non può più raggiungerla" sono affermazioni diverse.

Cosa non si sa ancora

TrendAI valuta il Caso C con alta confidenza ma non ha potuto confermarlo, perché non sono stati recuperati testi di prompt o chiavi API. I tre casi non sono attribuiti a un threat actor nominato, e il report trova esplicitamente che non condividono un operatore. Quali specifiche organizzazioni giapponesi siano state compromesse — rispetto a quelle solo validate o elencate — non è pubblico, e nessun IOC è stato rilasciato. Tratta come non confermate le affermazioni a valle che legano questi casi ad ARTEX, a specifici gruppi statuali o a un'unica campagna, finché una fonte primaria non lo dice.

Rispondere a uno sciame d'attacco con uno sciame di difesa

Ecco la simmetria scomoda: l'attaccante del Caso A non aveva un'arma segreta. Aveva un red team IA autonomo — uno sciame di agenti che fa recon-ed-report contro tutti insieme, a basso costo, in continuo. L'unico motivo per cui ha per lo più fallito è che la maggior parte delle porte era già chiusa. La risposta difensiva non è una firma migliore; è eseguire quella stessa ricerca contro te stesso, per primo e in continuo, così che le tue porte aperte siano chiuse prima che i 44 agenti di qualcun altro le enumerino.

È esattamente ciò per cui Zero Hunt è costruito. Il suo sciame di 10 agenti — Recon, Vulnerability, Exploit, Web, Credential, Post-Exploit, Pivot, Tactic, Source Analyst e Report, sotto un controller approvato da un umano — esegue il flusso di lavoro dell'attaccante contro il tuo perimetro, scrivendo una catena di exploit nuova per ogni bersaglio invece di rigiocare un catalogo, con ogni skill ricollaudata nell'AI Gym prima che tocchi la produzione. Gira on-premise su modelli privati (ZeroHunt Apex), quindi non c'è una bolletta di inferenza da terzi da contare né un fornitore esterno che possa rallentarlo o spegnerlo — e un umano resta nel loop per ogni azione che conta, con ogni evidenza firmata al momento della scrittura. E poiché il vero vantaggio dell'attaccante nei dati di TrendAI era la pazienza sulla rete — migliaia di lenti passaggi di validazione, un server GIS svuotato in silenzio — il modello di traffico deep-learning dell'apparato, quattro teste di inferenza su miliardi di sequenze PCAP in locale sulla GPU, è pensato per vedere quella preparazione e quell'esfiltrazione mentre accadono, non nel digest SIEM del mattino dopo. Lo sciame è già là fuori a cercare porte aperte. L'unica domanda è quale sciame trova prima le tue. Parlaci.