Chiavi API AI rubate: ora pagano gli attacchi autonomi (e paghi tu)

Il punto interessante della storia dell'hacking autonomo non è più che un'AI sappia trovare un bug. È chi paga il conto del compute. Un venditore su un forum criminale ad accesso ristretto pubblicizza una piattaforma di penetration testing autonoma che gira interamente su chiavi API rubate di OpenAI, Anthropic e Google: l'acquirente incolla chiavi sottratte dall'account di qualcun altro, imposta un tetto di spesa, punta l'agente su una lista di bersagli, e la scansione la paga il legittimo proprietario della chiave. Il team di threat intelligence di Bitsight ha individuato lo strumento monitorando migliaia di post su 16 forum underground da febbraio ad agosto 2026, come riportato da Help Net Security il 16 ottobre 2026. L'economia dell'AI offensiva si è appena ribaltata, ed è questa la notizia.

Notizia in evoluzione — pubblicata alle 07:13 (05:13 UTC) del 16 ottobre 2026. Aggiornata man mano che ricercatori e piattaforme coinvolte pubblicano altro.

Il modello di business: incolla una chiave rubata, imposta il budget, scegli i bersagli

Lo strumento pubblicizzato — il venditore lo chiama MONST3R-AI — è venduto come pannello self-service. Fornisci le credenziali rubate, fornisci la lista dei bersagli, l'agente fa ricognizione, correlazione delle vulnerabilità e stesura di proof-of-concept da solo, e si ferma quando il budget impostato si esaurisce. Il venditore dichiara 1.072 risultati su 199 host scansionati; Bitsight precisa di non poter verificare quel dato, e nemmeno noi possiamo.

La scelta progettuale che conta è questa: il venditore non ospita alcun modello proprio. Instradando ogni inferenza attraverso l'account API commerciale di una vittima, l'operazione aggira l'addestramento di sicurezza integrato nel prodotto ospitato dal fornitore — e scarica il costo a consumo su uno sconosciuto. È il volto operativo di ciò che i ricercatori chiamano LLMjacking: il furto e l'uso non autorizzato di credenziali API di AI, documentato per la prima volta da Sysdig nel maggio 2024 e ora, secondo una nota di ricerca della Cloud Security Alliance del giugno 2026, una primitiva d'attacco fondativa più che un semplice spostamento di costi.

Perché rubare le chiavi invece di comprare il compute

L'offesa agentica è vorace di token. Un agente autonomo che fa fingerprinting dei servizi, ragiona su ogni finding, scrive una PoC, riprova e fa pivoting brucia moltissima inferenza — e l'inferenza ha un prezzo a token. Se la paghi onestamente su larga scala, il margine sparisce. Se rubi la capacità, l'attacco è gratis per l'attaccante e invisibile sul conto della vittima finché non arriva la fattura.

E le fatture non sono piccole. La nota CSA cita la stima originale di Sysdig: oltre 46.000 dollari al giorno di esposizione per un singolo account di classe Claude dirottato. Nel marzo 2026 l'organizzazione no-profit di valutazione dell'AI METR si è vista rubare una chiave API e ha osservato gli attaccanti consumare 600.000 dollari di crediti di inferenza in circa tre settimane prima che qualcuno se ne accorgesse — l'abuso si è mimetizzato perché METR esegue legittimamente valutazioni che consumano grandi volumi di token, come riporta ITPro. Tre settimane di compute di modelli di frontiera controllato dagli attaccanti e non rilevato, pagato dalla vittima. È su questo divario di detection che il mercato è costruito.

Esiste anche un livello all'ingrosso. I rivenditori intermediano l'accesso rubato a una frazione del listino — Bitsight ha registrato un servizio che offriva il modello open-weights GLM a 0,053 dollari per milione di token in input contro 1,12 dollari dell'API ufficiale. Quando la materia prima è la credenziale di qualcun altro, il prezzo di partenza è il furto, non il costo.

Non è hype — ma i dati dei forum vanno letti con onestà

Sarebbe facile trasformarlo nell'ennesimo titolo "l'AI potenzia gli hacker". I dati dei forum sono più specifici, e più utili. Nella finestra febbraio-agosto di Bitsight, le menzioni di agenti AI, prompt injection indiretta e Model Context Protocol (MCP) sono salite del 67%; la discussione legata all'AI nel complesso è cresciuta del 45%; i discorsi sul jailbreaking di circa tre quarti; i riferimenti al vibe coding sono più che raddoppiati. Nello stesso periodo le menzioni di ransomware sono calate del 49% e i riferimenti ai vecchi chatbot criminali di marca (WormGPT, FraudGPT) dell'8,7% — WormGPT stesso è stato violato nel 2026, esponendo circa 19.000 utenti. La sottocultura sta migrando dal "compra un chatbot con jailbreak" al "collega un agente a infrastruttura rubata".

Qui va posta la cautela onesta. La Counter Threat Unit di Sophos, analizzando lo stesso underground, ha trovato che solo un numero limitato di attori ha effettivamente reso operativa l'AI generativa, che le personas si chiedono di continuo aiuto per la configurazione di base e — testualmente — che "molte affermazioni non sono state verificate". Pubblicizzare uno strumento su un forum non equivale al fatto che lo strumento funzioni.

Ciò che è verificato è l'impianto tecnico, non la spacconeria:

• VAPT (documentato da Sysdig, giugno 2026): un framework di sfruttamento automatizzato che usa come motore di ragionamento un server Ollama dirottato ed esposto in rete — dal fingerprinting dei servizi all'escalation dei privilegi, senza un operatore tra una fase e l'altra.
• Operation Bizarre Bazaar (Pillar Security, dic 2025–gen 2026): ~35.000 sessioni di attacco contro honeypot con endpoint LLM e un marketplace di rivendita che vende accesso a oltre 30 fornitori.
• Un'intrusione documentata da Sysdig nel maggio 2026 in cui un agente LLM ha concatenato quattro pivot fino a un dump PostgreSQL in meno di due minuti — 12 chiamate API su 11 punti di presenza in una raffica di 22 secondi.

La capacità è reale ed economica; la spavalderia è spesso gonfiata. Tieni vere entrambe le cose insieme.

Cosa fare adesso

Non esiste una patch per uno spostamento economico, ma esiste l'igiene. Tratta una chiave API di un fornitore AI esattamente come tratti una credenziale root cloud esposta — il consiglio di Bitsight è di "prendere una fuga sul serio quanto una credenziale AWS esposta".

• Trova le tue chiavi esposte. Scansiona repository, log di CI, file .env, notebook e qualsiasi app interna "vibe-coded" alla ricerca di chiavi dei fornitori. La chiave di METR è trapelata da un bug di autenticazione fail-open su un'app costruita in fretta; è questa la via tipica, non una violazione sofisticata.
• Metti un tetto e un allarme su ogni chiave. Imposta limiti di spesa rigidi per chiave e segnala spese anomale, nuove regioni di origine o picchi di volume di token. METR all'epoca non poteva porre un tetto a una chiave; molti team ancora non possono.
• Ruota al minimo dubbio e dai alle chiavi un ambito ristretto — separa l'inferenza di produzione dalla sperimentazione, così una credenziale trapelata non è un assegno in bianco.
• Guarda il traffico, non solo la fattura. Entrambe le metà di questo attacco — l'esfiltrazione della chiave e la scansione autonoma che finanzia — generano comportamento di rete: egress anomalo verso endpoint AI mai visti, traffico di inferenza in uscita sostenuto da un host che non ha motivo di chiamare un'API di modelli, raffiche di scansione contro il tuo perimetro. La fattura è un indicatore ritardato; il traffico no.
• Dai per scontato che l'agente sia frettoloso. Gli agenti con budget prefissato scansionano in fretta e in ampiezza. Applica rate limiting e monitora i servizi raggiungibili dall'esterno per il pattern "fingerprint di tutto" che questi strumenti producono.

Cosa non si sa ancora

Bitsight non può verificare i risultati dichiarati da MONST3R-AI, e noi non abbiamo testato lo strumento. La dimensione reale di questo mercato, quante delle piattaforme pubblicizzate funzionino davvero rispetto a quante siano fumo da forum, e se il rilevamento degli abusi dei grandi fornitori chiuda la finestra della chiave rubata più in fretta di quanto i venditori la riempiano — tutto aperto. L'unica cosa che i dati fissano è la direzione: il segnale di domanda si è spostato con decisione verso l'offesa agentica che gira su compute preso in prestito.

Ribaltare l'economia dell'attaccante

Tolto il reato, il copione dell'attaccante è una checklist che i difensori dovrebbero già possedere: punta un agente autonomo sulla tua stessa superficie d'attacco e lascia che trovi ciò che un test umano trimestrale si perde. Zero Hunt è esattamente questa capacità, costruita nel modo legittimo — un red team AI autonomo il cui sciame di 10 agenti fa fingerprinting di ogni bersaglio, scrive con un agente di coding sigillato una proof-of-concept specifica per l'ambiente e deposita ogni finding firmato al momento della scrittura. La differenza è proprio quella su cui ruota questa storia: gira on-premise su modelli privati che possediamo (ZeroHunt Apex e Apex Pro), quindi non c'è alcun account di fornitore da prosciugare, nessun conto a token che rende antieconomico il test continuo, e nessun modello di terze parti che possa rifiutare, limitare o essere spento a metà campagna. Gli attaccanti rubano le chiavi perché l'autonomia misurata a token è costosa; noi abbiamo tolto il contatore. Scopri come il penetration testing automatizzato e continuo sostituisce l'ingaggio annuale che il risultato dell'exploit full-chain di XBOW ha già fatto sembrare lento.

E poiché sia il furto della chiave sia la scansione autonoma vivono sulla rete prima ancora di arrivare a una fattura, il modello di analisi del traffico di Zero Hunt — quattro teste di inferenza sulla GPU dell'apparato, addestrate su miliardi di sequenze PCAP — osserva esattamente le firme di egress e di scansione che questo mercato produce, mentre accade e non nella fattura cloud del mese prossimo.