Il phishing con IA agentica crea un nuovo compromesso nella sicurezza

Il 6 agosto Google News ha segnalato un'analisi di Security Boulevard sul phishing con IA agentica, in cui il software può contribuire a coordinare gli attacchi anziché limitarsi a scrivere messaggi.

Questa distinzione crea il conflitto. L'IA generativa rende già il phishing più rapido, fluido e più facile da personalizzare. I sistemi agentici possono collegare ricerca, creazione dei messaggi, invio e follow-up in una sequenza più lunga con minore supervisione umana.

Anche la risposta difensiva sta diventando agentica. I fornitori di sicurezza vogliono sistemi autonomi in grado di investigare i messaggi, correlare segnali di identità e contenere gli account compromessi. La sfida, quindi, non è semplicemente IA degli attaccanti contro giudizio umano. È inganno automatizzato contro verifica automatizzata, con le persone che restano responsabili quando una delle due parti commette un errore.

Cosa ha davvero cambiato la notizia su Google News

Il cambiamento importante non è l'ennesima email truffaldina ben confezionata. È la prospettiva di un sistema di IA che gestisca l'attacco attorno a quell'email.

L'analisi sul phishing agentico evidenziata da Google News inquadra il phishing come un problema di automazione. Questa prospettiva va oltre il noto avvertimento secondo cui i modelli linguistici possono eliminare gli errori ortografici dai messaggi fraudolenti.

Un agente IA è un software in grado di perseguire un obiettivo attraverso azioni, strumenti e decisioni multiple. In una campagna di phishing, tali azioni potrebbero includere l'identificazione dei dipendenti, la raccolta di dettagli pubblici, la stesura di esche e l'adattamento dei messaggi successivi.

Un kit di phishing convenzionale segue di solito un flusso preparato. L'operatore sceglie un modello, avvia una campagna e attende credenziali o pagamenti. Alcuni strumenti automatizzano già gran parte di questo processo, ma il loro comportamento resta relativamente fisso.

Un flusso di lavoro agentico può essere più reattivo. Può valutare se un bersaglio ha aperto un messaggio, selezionare un pretesto diverso o spostare la conversazione su un altro canale. Potrebbe inoltre dare priorità ai bersagli i cui ruoli pubblici suggeriscono l'accesso a denaro, dati o sistemi amministrativi.

Questo non significa che agenti di phishing autonomi stiano sconfiggendo in modo indipendente ogni programma di sicurezza maturo. Le prove pubbliche mostrano ancora che molti attori malevoli usano l'IA per normali incrementi di produttività. Traducono testi, svolgono ricerche sui bersagli, riparano codice e preparano contenuti convincenti.

Le stesse conclusioni di threat intelligence di Google hanno tracciato questa prudente distinzione nel gennaio 2025. Gli investigatori hanno osservato gruppi sostenuti da Stati usare Gemini per ricerca, traduzione, risoluzione di problemi e materiale per il phishing. Non hanno rilevato che tali attori ottenessero dal modello capacità fondamentalmente nuove.

Questa conclusione è il punto di partenza essenziale. Inizialmente, l'IA ha migliorato l'economia di tattiche note anziché inventare una nuova classe di attacchi. Gli attaccanti potevano creare più varianti, operare in più lingue e ridurre il lavoro necessario per la personalizzazione.

L'IA agentica solleva la domanda successiva. Cosa accade quando questi miglioramenti di produttività si collegano a strumenti capaci di agire e mantenere lo stato della campagna?

La risposta conta perché il phishing raramente consiste in un singolo messaggio isolato. Un'operazione riuscita può comportare ricognizione, impersonificazione, acquisizione delle credenziali, accesso agli account, esplorazione interna e un altro ciclo di ingegneria sociale.

Un agente non necessita di un ragionamento perfetto per contribuire a questa catena. Deve soltanto completare un numero sufficiente di passaggi di routine, escalando le decisioni incerte a un operatore umano. Questa configurazione mantiene gli attaccanti al controllo, moltiplicando al contempo il numero di bersagli che possono gestire.

L'elenco di Google News indica quindi un cambiamento nella scala operativa. L'unità rilevante non è più la qualità di una singola email. È il numero di interazioni credibili che un attaccante può coordinare contemporaneamente.

Questo cambiamento modifica anche ciò che i difensori devono osservare. Grammatica, reputazione del mittente e link dannosi restano segnali utili. Diventano meno decisivi quando un attaccante può variare i contenuti, usare servizi legittimi e proseguire una conversazione attraverso diversi canali.

La domanda di sicurezza più solida è ora più ampia: l'azione richiesta è coerente con l'utente, il dispositivo, l'applicazione, la relazione e il processo aziendale coinvolti? Un messaggio può sembrare autentico pur non superando questo test contestuale.

Il phishing con IA mette sotto pressione i controlli dell'identità, non solo i filtri email

L'IA agentica esercita la maggiore pressione sui sistemi che considerano un accesso riuscito o una voce familiare una prova sufficiente dell'identità.

Le difese email restano un livello importante, ma gli attaccanti prendono sempre più di mira la persona e l'account dietro la casella di posta. Un messaggio credibile può convincere qualcuno a cedere le credenziali, approvare un accesso, modificare i dati di pagamento o divulgare informazioni sensibili.

L'FBI ha avvertito che i criminali usano l'IA per creare messaggi di phishing convincenti e audio o video clonati. Il suo avviso sulle frodi basate sull'IA rileva che i messaggi generati possono contenere grammatica corretta e una personalizzazione convincente.

Questi miglioramenti eliminano diversi indizi insegnati nei vecchi programmi di sensibilizzazione. Un dipendente non può più presumere che formulazioni goffe, punteggiatura insolita o traduzioni scadenti rivelino una richiesta fraudolenta.

La clonazione vocale indebolisce un altro test familiare. Sentire un manager, un cliente o un parente un tempo sembrava una conferma indipendente. L'audio generato trasforma quel riconoscimento in un'affermazione che richiede un altro canale di verifica.

Nel maggio 2025, l'FBI ha inoltre descritto una campagna che impersonava alti funzionari degli Stati Uniti attraverso messaggi di testo dannosi e messaggi vocali generati dall'IA. L'agenzia ha consigliato ai destinatari di verificare le identità e di non presumere che una voce familiare dimostri l'autenticità.

Una campagna agentica può combinare questi canali. Un'email può impostare la storia, mentre un messaggio vocale aggiunge urgenza. Un successivo messaggio di testo può fornire nuove istruzioni dopo che il bersaglio ha esitato.

Ogni interazione rafforza le altre. Questo crea una narrazione che appare più credibile di un messaggio isolato, anche quando ogni componente è stato generato o coordinato da software.

I team che si occupano dell'identità subiscono per primi la pressione risultante. Se le credenziali rubate restano sufficienti per accedere a un account, un rilevamento migliore dei messaggi riduce solo una parte del rischio. Se un help desk reimposta l'autenticazione dopo una chiamata convincente, la tecnologia di accesso resistente al phishing può comunque essere compromessa.

Finanza, risorse umane, supporto esecutivo e service desk IT sono particolarmente esposti. Questi team ricevono abitualmente richieste urgenti riguardanti accessi, dati personali, pagamenti o modifiche agli account. Il loro lavoro premia anche la rapida risoluzione, che gli attaccanti sfruttano.

La risposta imposta è verificare le azioni consequenziali, non solo i contenuti in entrata. Le organizzazioni hanno bisogno di controlli che restino efficaci quando un messaggio appare curato e il mittente sembra familiare.

L'autenticazione multifattore resistente al phishing aiuta perché vincola l'autenticazione al servizio legittimo. Chiavi di sicurezza hardware e passkey possono impedire a una falsa pagina di accesso di raccogliere un segreto di autenticazione riutilizzabile.

Le linee guida MFA di CISA raccomandano, ove possibile, metodi resistenti al phishing. Suggeriscono inoltre il number matching quando le organizzazioni non possono sostituire immediatamente l'autenticazione più debole basata su push o SMS.

Questa misura affronta il furto di credenziali, ma non approva fatture né convalida trasferimenti di dati sensibili. I processi aziendali richiedono le proprie protezioni. Una modifica ai dati di pagamento potrebbe necessitare della conferma tramite un numero presente nella rubrica nota e dell'approvazione di un secondo dipendente.

Gli help desk necessitano di confini analoghi. Un chiamante convincente non dovrebbe aggirare le regole di recupero perché conosce dettagli personali. Biografie pubbliche, post sui social, dati violati e voci generate rendono inaffidabili le domande basate sulla conoscenza.

Le organizzazioni devono anche ridurre l'esposizione non necessaria. Calendari pubblici, pagine dettagliate del personale, registrazioni di riunioni e descrizioni dei ruoli possono aiutare un agente a mappare le relazioni. Le stesse informazioni rendono più credibile un pretesto su misura.

Questa pressione persisterà perché l'economia favorisce i tentativi ripetuti. Un attaccante non ha bisogno che ogni messaggio riesca. L'automazione diventa preziosa quando riduce il costo di testare bersagli, storie, lingue e canali di invio.

L'obiettivo difensivo non è quindi una classificazione perfetta dei contenuti. È impedire che una singola interazione persuasiva si trasformi in un'azione aziendale autenticata e irreversibile.

Il compromesso centrale è automazione contro verifica

I difensori hanno bisogno della velocità dell'IA, ma non possono permettere che un sistema di sicurezza autonomo diventi un altro decisore non verificato.

I team delle operazioni di sicurezza affrontano già più avvisi di quanti gli analisti possano investigare manualmente. Un agente IA può raccogliere intestazioni dei messaggi, ispezionare URL, esaminare eventi di autenticazione e confrontare l'attività con incidenti precedenti.

Questo flusso di lavoro può ridurre le attività ripetitive. Può anche contenere una minaccia più rapidamente di un processo basato su code. La velocità conta quando una casella di posta compromessa inizia a inviare ulteriori esche a colleghi fidati.

Microsoft afferma che il suo modello linguistico contro il phishing è operativo dall'aprile 2025. Secondo il modello di sicurezza email dell'azienda, blocca un milione di email di phishing al giorno con un'accuratezza superiore al 99,99 per cento.

Si tratta di risultati riportati dal fornitore, non di una misura universale della difesa dal phishing. L'accuratezza dipende anche dai dati testati, dalla soglia operativa, dalla composizione degli attacchi e dalla definizione di classificazione corretta.

Anche un tasso di errore ridotto può contare su scala aziendale. Un falso negativo può esporre un dipendente. Un falso positivo può bloccare un fornitore legittimo, una richiesta di un dirigente o una conversazione con un cliente sensibile ai tempi.

La difesa agentica aggiunge conseguenze alla classificazione. Un sistema potrebbe isolare un dispositivo, revocare una sessione, disabilitare un account o rimuovere messaggi da molte caselle di posta. Queste azioni possono fermare un attacco, ma una decisione errata può interrompere le operazioni aziendali.

Questo crea il compromesso centrale dell'articolo. I difensori devono automatizzare a sufficienza per eguagliare gli attacchi alla velocità delle macchine, preservando al contempo prove, supervisione e percorsi di recupero.

Il progetto più sicuro separa la confidenza dall'autorità. Un agente può raccogliere prove con bassa confidenza, raccomandare il contenimento con confidenza media e intraprendere azioni limitate quando diversi segnali indipendenti concordano.

Le azioni irreversibili meritano una soglia più alta. L'eliminazione delle prove, la disabilitazione di account critici o la modifica delle policy di accesso dovrebbero richiedere un'approvazione aggiuntiva. Il confine appropriato dipende dal sistema interessato e dal costo del ritardo.

Gli attaccanti affrontano meno vincoli. Il loro agente può riprovare, abbandonare un bersaglio o cambiare tattica senza documentarne il motivo. I difensori devono restare responsabili nei confronti di dipendenti, clienti, revisori e autorità di regolamentazione.

Questa asimmetria impedisce ai team di sicurezza di trattare il problema come una semplice corsa tra modelli. Un agente difensivo necessita di controlli sulle autorizzazioni, restrizioni sugli strumenti, registri e comportamenti di escalation prevedibili. Punteggi di rilevamento elevati da soli non forniscono queste garanzie.

Anche gli input dell’agente richiedono protezione. Un’email malevola può contenere istruzioni progettate per manipolare un sistema di IA che la sta esaminando. La prompt injection si verifica quando contenuti non affidabili tentano di deviare un modello dal compito previsto.

Per esempio, un messaggio potrebbe ordinare a un revisore automatizzato di classificarlo come sicuro o di ignorare prove successive. Un sistema progettato correttamente dovrebbe trattare il contenuto dei messaggi come dati, non come istruzioni operative affidabili.

L’accesso agli strumenti rende questa distinzione cruciale. Un errore di sintesi è scomodo. Un agente che segue istruzioni malevole pur disponendo di privilegi di gestione degli account può creare un nuovo incidente di sicurezza.

L’architettura difensiva dovrebbe quindi presupporre che ogni messaggio, allegato, pagina e trascrizione possa contenere contenuti avversari. L’agente necessita di autorizzazioni rigorosamente circoscritte e di regole esplicite che stabiliscano quali informazioni possano attivare un’azione.

Anche la verifica indipendente è importante. L’autenticazione del mittente, lo stato di sicurezza del dispositivo, la cronologia degli accessi, i dati di directory e il contesto della transazione possono confermare o contraddire il messaggio. Nessuna singola valutazione di un modello dovrebbe determinare da sola l’intera decisione.

La revisione umana resta utile quando le prove sono ambigue o le conseguenze sono rilevanti. Tuttavia, inviare ogni caso difficile agli analisti non fa che ricreare il collo di bottiglia degli alert.

L’equilibrio migliore è l’intervento selettivo. Gli agenti gestiscono la raccolta delle prove e il contenimento di routine, mentre le persone valutano relazioni insolite, pagamenti importanti, impersonificazioni di dirigenti e segnali contrastanti.

È così che l’automazione diventa un vantaggio difensivo senza trasferire la fiducia a un altro sistema opaco. L’obiettivo non è eliminare le persone dalla sicurezza. È collocare il giudizio umano dove contesto e responsabilità contano di più.

Ciò che le prove attuali non dimostrano sul phishing con IA agentica

Il rischio è credibile, ma le evidenze pubbliche non giustificano di considerare ogni campagna di phishing ben confezionata un’operazione completamente autonoma.

Il marketing della sicurezza spesso riunisce sotto il termine IA agentica diverse capacità. Un workflow scriptato, un’email scritta dall’IA e un sistema autonomo che utilizza strumenti non sono equivalenti. Anche i rispettivi rischi operativi differiscono.

Un modello linguistico può redigere centinaia di messaggi senza controllarne l’invio o i follow-up. Una piattaforma di automazione può pianificare quei messaggi senza ragionare sui risultati. Un vero workflow agentico prende decisioni sulla base del feedback e compie ulteriori azioni per raggiungere un obiettivo.

Dal punto di vista della vittima, è difficile determinare quale modello abbia usato un aggressore. Un messaggio fluido non rivela se un agente abbia svolto ricerche sul destinatario. Una sequenza coordinata potrebbe comunque riflettere un operatore umano che utilizza normali strumenti di campagna.

I ricercatori sulle minacce di Google hanno riscontrato un uso significativo dell’IA tra gruppi sostenuti da governi, ma lo hanno descritto soprattutto come un fattore di accelerazione. La loro indagine non ha mostrato modelli capaci di creare abilità offensive prima non disponibili.

Queste prove contrastano l’interpretazione più drammatica del phishing con IA agentica. Gli aggressori stanno guadagnando efficienza, copertura linguistica e scala. Le segnalazioni pubbliche offrono meno prove del fatto che agenti autonomi possano gestire in modo affidabile campagne complesse senza una guida umana.

L’affidabilità resta un vincolo pratico. Gli agenti possono fraintendere le pagine, perdere traccia dello stato, scegliere pretesti deboli o rivelare la propria automazione attraverso dettagli incoerenti. Gli aggressori possono tollerare questi fallimenti, ma le operazioni mirate beneficiano ancora della revisione umana.

Anche l’accesso è un vincolo. Un modello non può raggiungere automaticamente sistemi aziendali, canali di comunicazione o account rubati. Gli operatori necessitano comunque di infrastruttura, credenziali, metodi di consegna e modi per monetizzare una compromissione.

Le misure di protezione incidono anche sui modelli mainstream. Google ha riferito che vari tentativi malevoli di ottenere aiuto per malware o abuso di account hanno prodotto risposte orientate alla sicurezza. Gli attori determinati possono cercare altri modelli, ma l’accesso a un modello capace non garantisce un’esecuzione senza restrizioni.

Questi limiti dovrebbero orientare gli investimenti difensivi. Le organizzazioni non dovrebbero acquistare un’etichetta “agentica” senza esaminare gli input di rilevamento, i controlli sulle azioni, i dati di test e il processo di rollback che la supportano.

Dovrebbero chiedersi se un prodotto è in grado di distinguere una richiesta rischiosa da una insolita ma legittima. Dovrebbero anche chiedersi come si comporta il sistema quando le prove sono in conflitto, un modello diventa indisponibile o un aggressore inserisce istruzioni nel contenuto ispezionato.

La misurazione pone un altro problema. Un fornitore può dichiarare un’elevata accuratezza di classificazione testando un set di dati bilanciato che differisce dal traffico reale. In produzione, i messaggi legittimi superano di gran lunga gli attacchi confermati, modificando il significato operativo dei falsi positivi.

I team di sicurezza hanno bisogno di misurazioni legate ai risultati. Indicatori utili includono l’invio di credenziali evitato, le sessioni compromesse revocate, le regole malevole della casella di posta rimosse e le transazioni fraudolente bloccate.

Conta anche il tempo. Un modello che rileva una campagna dopo diverse ore può ottenere buoni risultati in laboratorio, ma non riuscire a prevenire la compromissione di un account. La velocità di indagine dovrebbe quindi essere misurata insieme alla qualità della classificazione.

Anche l’aspetto umano rimane incerto. Simulazioni più convincenti non producono automaticamente una formazione migliore. Test eccessivamente ingannevoli possono erodere la fiducia, soprattutto quando imitano emergenze personali o sfruttano informazioni sensibili sui dipendenti.

La formazione dovrebbe rafforzare procedure verificabili anziché insegnare ai lavoratori a individuare i media sintetici d’istinto. Gli artefatti visivi e i modelli vocali insoliti cambieranno con il miglioramento dei modelli. Un processo affidabile di richiamata o approvazione può restare stabile.

L’articolo evidenziato tramite Google News è più utile come avvertimento sulla direzione che come prova della completa autonomia degli aggressori. I sistemi agentici rendono il phishing coordinato più plausibile e meno costoso da tentare. La portata dell’esecuzione autonoma nel mondo reale richiede ancora prove indipendenti.

Questa distinzione scettica non riduce la necessità di prepararsi. Impedisce alle organizzazioni di rispondere a un problema di sicurezza misurabile con promesse vaghe e automazione non testata.

Tre segnali che mostreranno se la difesa agentica sta funzionando

La prossima fase sarà decisa da risultati verificati sugli incidenti, dall’adozione di identità resistenti al phishing e da prove che gli agenti di sicurezza resistono alla manipolazione.

Il primo segnale è una migliore rendicontazione pubblica degli incidenti. I fornitori di sicurezza e le organizzazioni colpite dovrebbero documentare dove ha agito un agente di IA, quali strumenti ha utilizzato e quanto controllo umano è rimasto.

Un incidente dettagliato distinguerebbe il contenuto generato dall’esecuzione autonoma. Rivelerebbe inoltre se l’agente si è adattato ai tentativi falliti, ha cambiato canale o ha selezionato nuovi bersagli in base al feedback.

Anthropic ha offerto un modello di questa trasparenza quando ha descritto una segnalata campagna di spionaggio con IA. L’azienda ha affermato che gli aggressori hanno usato capacità agentiche per svolgere porzioni sostanziali di un’intrusione, mantenendo al contempo la supervisione umana nelle fasi chiave.

Quel rapporto riguarda lo spionaggio informatico, non il phishing ordinario. Tuttavia, fornisce il tipo di dettaglio tecnico necessario per valutare le affermazioni sugli attacchi autonomi.

Ulteriori prove di phishing adattivo che utilizza strumenti rafforzerebbero l’argomentazione secondo cui i team di sicurezza affrontano un nuovo modello operativo. Prove continuative di campagne guidate da esseri umani con assistenza dell’IA sosterrebbero invece la spiegazione più circoscritta dell’efficienza.

Il secondo segnale è l’adozione dell’autenticazione resistente al phishing e della verifica delle transazioni. Le organizzazioni dovrebbero monitorare quanti account sensibili si basano su passkey o credenziali supportate da hardware anziché su password riutilizzabili e codici SMS.

Dovrebbero inoltre misurare se le modifiche ai pagamenti, le richieste di recupero e le azioni privilegiate richiedono una verifica al di fuori del messaggio che le richiede. Questi controlli determinano se un’esca convincente possa produrre un risultato dannoso.

Un calo delle compromissioni di account riuscite dopo tali cambiamenti indebolirebbe il vantaggio dell’aggressore. Un’adozione piatta e la continua dipendenza da voci familiari o domande personali lascerebbero intatto il problema di fiducia alla base.

Il terzo segnale è il testing indipendente degli agenti difensivi. Le valutazioni dovrebbero testare contenuti malevoli, prove contrastanti, richieste legittime insolite, guasti degli strumenti e tentativi di manipolare l’agente tramite prompt injection.

Una valutazione utile deve esaminare le azioni, non solo le risposte. L’agente ha preservato le prove, rispettato i limiti di autorizzazione, sottoposto i casi corretti a escalation ed evitato di interrompere il lavoro legittimo?

I risultati dovrebbero inoltre distinguere tra le affermazioni dei fornitori e le prestazioni riprodotte in modo indipendente. Senza questa distinzione, gli acquirenti non possono confrontare i sistemi né stimare il costo operativo degli errori.

Superare questi test rafforzerebbe la tesi della difesa agentica. Fallimenti ripetuti dovuti a permessi eccessivi, tracce di audit deboli o gestione non sicura dei prompt mostrerebbero che i difensori stanno aggiungendo automazione più rapidamente dei controlli.

La risposta immediata non richiede di attendere un agente di sicurezza perfetto. I team possono censire i workflow sensibili, sostituire l’autenticazione debole, definire procedure di richiamata e limitare ciò che un singolo dipendente o account può autorizzare.

Possono anche testare i playbook di risposta agli incidenti contro uno scenario coordinato. Una simulazione potrebbe combinare un’email personalizzata, un messaggio vocale clonato, una falsa pagina di accesso e una chiamata fraudolenta al service desk.

Lo scopo non è far identificare ai dipendenti ogni artefatto sintetico. È verificare se i controlli tecnici e aziendali bloccano la sequenza dopo il fallimento di un livello.

I knowledge worker dovrebbero trattare l’urgenza inattesa come un segnale che richiede verifica, soprattutto quando una richiesta modifica accessi, denaro o dati riservati. I team di sicurezza dovrebbero rendere il percorso di verifica sicura più rapido dell’improvvisazione.

La lezione duratura di questa storia di Google News è che l’autenticità non può più basarsi sulla presentazione. Linguaggio fluido, mittente familiare e voce riconoscibile sono tutti segnali riproducibili.

Le organizzazioni dovrebbero ora porsi una domanda più duratura: quali prove indipendenti autorizzano questa azione? Partite da un workflow sensibile, tracciate ogni decisione di fiducia ed eliminate qualsiasi passaggio in cui la sola familiarità funge da approvazione. Questo esercizio rivelerà se le vostre difese affrontano il phishing con IA agentica o si limitano a filtrare i suoi messaggi più evidenti.