L'IA sta trasformando la sicurezza Web3 in una crisi di controllo degli accessi

OneSafe è approdata su Google News il 30 agosto con un avvertimento netto: l'intelligenza artificiale sta rendendo gli attacchi Web3 più facili, più rapidi e più difficili da riconoscere. L'articolo cita software dannoso, phishing, chiavi private compromesse e flussi di lavoro rischiosi per gli sviluppatori. La sua preoccupazione centrale è fondata, ma diverse affermazioni di supporto non contengono dettagli sufficienti per una verifica indipendente.

Questa lacuna è rilevante perché gli asset digitali trasformano comuni errori di sicurezza in eventi finanziari irreversibili. Un messaggio convincente può indurre qualcuno a rivelare una seed phrase o ad approvare una transazione dannosa. Una macchina di sviluppo infetta può esporre credenziali di distribuzione, chiavi di firma o accessi privilegiati. Spesso non esiste una banca in grado di annullare il risultato.

Il vero conflitto, dunque, non è tra IA e cybersecurity tradizionale. È tra un'automazione in accelerazione e controlli di sicurezza progettati attorno a un'attività umana più lenta e visibile. La copertura di OneSafe sulla sicurezza dell'IA coglie questa pressione, mentre dati federali e ricerche indipendenti mostrano dove risiedono effettivamente i rischi misurabili.

Cosa ha effettivamente cambiato l'avvertimento di OneSafe su Google News

OneSafe ha trasformato una preoccupazione generale sull'IA dannosa in un avvertimento sui flussi di lavoro Web3, ma non ha documentato una nuova violazione né divulgato una vulnerabilità appena scoperta.

L'avvertimento di sicurezza sostiene che l'IA stia abbassando la soglia di competenze necessarie agli attaccanti. Afferma che gli sviluppatori debbano esaminare attentamente i file di configurazione dell'IA, mantenere backup puliti e migliorare la propria consapevolezza in materia di sicurezza. Evidenzia anche gli infostealer, programmi dannosi progettati per raccogliere credenziali, dati del browser, informazioni sui wallet e altri segreti.

Si tratta di un intervento editoriale, non di un annuncio di prodotto, un avviso di sicurezza o un rapporto su un incidente. OneSafe non ha identificato un protocollo appena compromesso. Non ha pubblicato indicatori tecnici che i difensori possano usare per individuare un'infezione. Non ha neppure quantificato quanti attacchi Web3 abbiano coinvolto l'IA.

La presenza su Google News conferisce comunque all'argomento una rilevanza più ampia. Pone una domanda operativa specifica davanti a fondatori e sviluppatori: l'output di uno strumento di coding basato sull'IA dovrebbe ricevere la stessa fiducia del codice scritto da un collega?

La risposta più sicura è no. Codice generato, estensioni scaricate, file di configurazione, comandi shell e istruzioni per agenti richiedono tutti una revisione. Questo principio vale anche quando un sistema di IA non è dannoso. Un modello può produrre codice insicuro senza essere controllato da un attaccante.

OneSafe descrive anche un apparente incidente malware che coinvolge una persona identificata come Numa Lunah. Secondo l'articolo, un'interazione con uno strumento di IA ha portato a un'infezione persistita dopo un riavvio. Tuttavia, l'articolo non collega un rapporto forense, un campione malware, una cronologia dell'incidente o il resoconto originale.

Questa omissione impedisce ai lettori di determinare cosa sia realmente accaduto. L'infezione potrebbe essere arrivata tramite un'applicazione contraffatta, una dipendenza dannosa, un comando copiato o una configurazione compromessa. Ogni percorso richiede una difesa diversa.

L'articolo attribuisce analogamente un avvertimento a uno sviluppatore di nome Calle senza fornire un link alla fonte né informazioni identificative sufficienti. La posizione di fondo è plausibile, ma l'attribuzione non dovrebbe avere il peso di una prova verificata.

Questa distinzione è essenziale nel giornalismo sulla sicurezza. Una preoccupazione credibile non è automaticamente un incidente documentato. I lettori dovrebbero separare l'avvertimento generale di OneSafe dai dati sugli attacchi stabiliti in modo indipendente.

La versione più solida della storia è quindi più circoscritta di quanto suggerisca il titolo. L'IA sta ampliando il volume e la credibilità dei contenuti dannosi. I sistemi Web3 espongono obiettivi insolitamente preziosi e irreversibili. La combinazione aumenta il costo di controlli deboli su identità, accessi e transazioni.

Questa conclusione regge a un esame approfondito. Alcuni dettagli illustrativi dell'articolo non soddisfano ancora lo stesso standard.

Perché la sicurezza dell'IA nel Web3 è diventata un problema di controllo degli accessi

Le perdite Web3 più rilevanti iniziano sempre più spesso con un'autorità sottratta, non con un modello di IA che sconfigge la crittografia blockchain.

Una chiave privata consente al suo titolare di autorizzare azioni per un indirizzo blockchain. Una seed phrase può ripristinare il controllo di un intero wallet. Le credenziali di amministratore possono fornire accesso agli aggiornamenti dei protocolli, ai sistemi cloud, alle pipeline di distribuzione o agli account aziendali.

L'IA non ha bisogno di violare la crittografia quando può aiutare un attaccante a impersonare un collega, personalizzare messaggi di phishing o cercare dati rubati. Il modello diventa un amplificatore attorno a tecniche criminali consolidate.

I dati sulle denunce del 2025 dell'FBI illustrano questo contesto più ampio. L'Internet Crime Complaint Center ha ricevuto 1.008.597 denunce nel corso del 2025. Le perdite segnalate per crimini abilitati dal cyber si sono avvicinate ai 21 miliardi di dollari.

Le denunce che coinvolgevano criptovalute hanno prodotto oltre 11 miliardi di dollari in perdite segnalate su 181.565 invii. Queste cifre coprono diversi tipi di reato, quindi non dovrebbero essere considerate una misurazione dell'hacking Web3 alimentato dall'IA. Stabiliscono la scala finanziaria dell'obiettivo.

Lo stesso rapporto ha incluso per la prima volta nella storia del centro una sezione sull'IA. Ha registrato 22.364 denunce contenenti informazioni relative all'IA e circa 893 milioni di dollari in perdite rettificate. Le denunce relative agli investimenti con un collegamento segnalato all'IA rappresentavano oltre 632 milioni di dollari.

Queste categorie si sovrappongono concettualmente, ma non dovrebbero essere sommate. I dati dell'FBI descrivono denunce e perdite segnalate, non un censimento completo della criminalità. Inoltre, non dimostrano che l'IA abbia causato ogni perdita associata a una denuncia relativa all'IA.

Tuttavia, i modelli sono istruttivi. L'FBI ha identificato messaggi generati attribuiti a dirigenti, clonazione vocale, profili fabbricati, endorsement sintetici e conversazioni personalizzate. Queste tecniche prendono di mira il giudizio umano e le procedure istituzionali.

Ecco perché le preoccupazioni di OneSafe sulla sicurezza dell'IA appartengono a una discussione sul controllo degli accessi. Se un solo messaggio convincente può attivare un trasferimento, il sistema dipende dalla capacità di una persona di individuare correttamente ogni inganno. L'IA offre agli attaccanti più opportunità per mettere alla prova questa fragile dipendenza.

Il Web3 accentua il problema perché l'autorizzazione comporta spesso un potere finanziario immediato. Un account email aziendale compromesso può avviare una richiesta di pagamento fraudolenta. Un wallet compromesso può eseguire direttamente il pagamento.

Gli smart contract aggiungono un ulteriore livello. Sono programmi distribuiti su una blockchain, dove possono detenere asset o applicare regole finanziarie. Alcuni contratti possono essere aggiornati o sospesi da account privilegiati. Se gli attaccanti acquisiscono tali privilegi, il codice del contratto sottoposto ad audit può offrire poca protezione.

La risposta non è semplicemente una maggiore formazione dei dipendenti. La formazione è importante, ma le persone non possono identificare in modo affidabile ogni voce sintetica, messaggio realistico o interfaccia clonata. Le organizzazioni necessitano di controlli che presuppongano che qualche inganno avrà successo.

Questi controlli includono firme supportate da hardware, simulazione delle transazioni, allowlist per i prelievi, ambienti separati per sviluppo e tesoreria e requisiti di approvazione che coinvolgano più di una persona. I team necessitano inoltre di credenziali a breve durata e procedure centralizzate di revoca.

Una base di conoscenza ricercabile può supportare la preparazione agli incidenti mantenendo accessibili procedure verificate. Non può sostituire l'applicazione tecnica dei controlli, ma può ridurre la confusione quando i team hanno rapidamente bisogno di istruzioni affidabili.

La sicurezza dell'IA nel Web3 riguarda quindi meno il riconoscere ogni falso. Riguarda il prevenire che un falso riuscito ottenga autorità sufficiente per svuotare un wallet o modificare i sistemi di produzione.

L'automazione aiuta gli attaccanti, ma il Web3 fornisce ancora la leva

L'IA migliora la velocità e la presentazione degli attacchi, mentre le credenziali concentrate e le transazioni irreversibili del Web3 ne determinano l'impatto.

L'espressione “attacco alimentato dall'IA” può celare più di quanto spieghi. Può descrivere testo di phishing generato, video sintetici, scoperta automatizzata di vulnerabilità, generazione di codice dannoso o un agente manipolato tramite input ostile. Questi meccanismi non sono intercambiabili.

Il phishing è attualmente l'intersezione più chiara. Un modello linguistico può creare messaggi grammaticalmente corretti in molte lingue e adattarli al ruolo del destinatario. Gli attaccanti possono combinare quel testo con informazioni provenienti da profili pubblici, database violati o email rubate.

Le comunità crypto fanno inoltre ampio affidamento su Discord, Telegram, X e altri canali aperti. Conversazioni di supporto, annunci di token, discussioni sulla governance e offerte di lavoro possono arrivare attraverso le stesse interfacce utilizzate dagli impersonatori.

Check Point ha documentato questo schema nella sua ricerca su Inferno Drainer. I ricercatori hanno rilevato una campagna che spostava gli utenti da un sito Web3 legittimo a Discord, per poi presentare un bot Collab.Land contraffatto e una pagina di phishing.

Alle vittime veniva chiesto di collegare i wallet e firmare transazioni dannose. La tecnica sfruttava un processo di verifica familiare, non una capacità di IA esotica. Check Point ha stimato che Inferno Drainer abbia colpito oltre 30.000 wallet e causato almeno 9 milioni di dollari di perdite in sei mesi.

Il servizio utilizzava anche contratti a breve durata, configurazione on-chain crittografata, indirizzi a rotazione e infrastruttura proxy. Questi meccanismi rendevano più difficili il rilevamento e il blocco. Mostrano come automazione e infrastruttura criminale riutilizzabile possano scalare un attacco senza richiedere un nuovo modello.

Gli infostealer creano un percorso diverso. Raccolgono cookie del browser, password salvate, token, file e dati relativi ai wallet da una macchina infetta. Gli attaccanti possono distribuirli attraverso applicazioni contraffatte, pubblicità dannose, crack software, repository avvelenati o falsi colloqui di lavoro.

L'IA può rendere queste campagne più convincenti. Può scrivere messaggi di recruiting su misura, generare documenti realistici o aiutare a creare siti web imitativi. Tuttavia, l'allegato, il pacchetto o il comando dannoso resta il punto in cui la persuasione diventa esecuzione.

Questo confine è importante per la difesa. I classificatori di contenuti possono rilevare formulazioni sospette, ma non possono impedire a un utente di eseguire un binario non firmato. Allo stesso modo, un audit di smart contract non rimuoverà il malware dal laptop di uno sviluppatore.

Hacken ha segnalato un cambiamento più ampio nel suo rapporto sulla sicurezza H1. L'azienda ha contato 3,1 miliardi di dollari in perdite Web3 durante la prima metà del 2025. Ha attribuito 1,83 miliardi di dollari a exploit del controllo degli accessi, 600 milioni di dollari a phishing e ingegneria sociale e circa 263 milioni di dollari a bug degli smart contract.

Queste cifre derivano dalla metodologia di un fornitore di sicurezza, non da un censimento governativo. Ciononostante, supportano un confronto cruciale. I fallimenti negli accessi e la manipolazione umana hanno prodotto perdite segnalate molto maggiori rispetto ai bug dei contratti in quel periodo.

Hacken ha inoltre segnalato un aumento del 1.025 percento negli exploit correlati all'IA, principalmente riguardanti interfacce di programmazione delle applicazioni insicure e configurazioni di inferenza vulnerabili. Questa affermazione richiede un'interpretazione prudente, poiché il riepilogo pubblico non fornisce un elenco completo degli eventi né un denominatore.

Un alto tasso di crescita può partire da una base ridotta. Gli standard di classificazione possono inoltre cambiare man mano che i ricercatori etichettano più incidenti come correlati all'AI. Il dato segnala una categoria da monitorare, ma non dimostra che l'AI sia diventata la causa principale delle perdite nel Web3.

La conclusione più difendibile è che l'AI amplia le superfici di attacco esistenti. Il Web3 fornisce quindi agli aggressori un'autorità di valore insolitamente elevato da sottrarre.

Gli agenti AI creano una via più diretta verso gli asset digitali

Il rischio cambia strutturalmente quando un sistema AI può leggere contenuti esterni e autorizzare transazioni senza che una persona esamini ogni singola azione.

Un agente AI è un software che utilizza un modello per selezionare ed eseguire azioni tramite diversi strumenti. In un contesto Web3, tali azioni possono includere la lettura di dati di mercato, lo scambio di asset, il voto nella governance, l'interazione con contratti o il trasferimento di fondi.

Questa configurazione modifica il modello di minaccia. Un chatbot convenzionale può fornire consigli errati. Un agente con accesso a un wallet può trasformare un'istruzione errata in una transazione irreversibile.

Ricercatori della Princeton University e dell'University of Illinois hanno esaminato questo problema in uno studio sugli attacchi agli agenti. Il loro lavoro si è concentrato sulla manipolazione del contesto, un attacco che inserisce istruzioni dannose nelle informazioni lette da un agente.

I ricercatori hanno testato attacchi contro ElizaOS, un framework utilizzato per applicazioni Web3 autonome. Hanno riferito che prompt manipolati e registri delle interazioni passate potevano causare trasferimenti indesiderati e violazioni dei protocolli.

Questo ricorda il prompt injection, in cui contenuti non affidabili istruiscono un modello a ignorare il compito previsto. La differenza riguarda le conseguenze operative. Un agente manipolato potrebbe fare più che produrre una risposta sbagliata. Può utilizzare uno strumento o un wallet connesso.

La ricerca ha inoltre rilevato che le difese basate sui prompt erano insufficienti nel contesto testato. Informazioni dannose potevano persistere nel contesto memorizzato, influenzando interazioni successive. Questa persistenza crea la possibilità di guasti a cascata tra diverse sessioni.

Questi risultati non dovrebbero essere generalizzati a ogni configurazione di agenti o wallet. Il paper ha testato sistemi e progettazioni di attacco specifici. Le implementazioni in produzione possono imporre autorizzazioni e verifiche esterne che riducono l'esposizione.

Tuttavia, il meccanismo è credibile e importante. Un agente necessita spesso di dati esterni per operare. Tali dati possono includere post sui social, proposte di governance, descrizioni di token, messaggi di assistenza e interfacce di applicazioni decentralizzate. Ognuna di queste superfici può veicolare istruzioni ostili.

Gli sviluppatori dovrebbero trattare il contesto del modello come input non affidabile. Dovrebbero inoltre presumere che un agente finirà prima o poi per fraintendere una richiesta o incontrare informazioni manipolate. La sicurezza deve collocarsi al di fuori del processo di ragionamento del modello.

Un approccio è la separazione delle capacità. Un agente che monitora i mercati non necessita automaticamente dell'autorità di firma. Un sistema che prepara transazioni può produrre una proposta non firmata affinché un altro servizio o una persona la esamini.

I limiti alle transazioni offrono un'altra barriera. I team possono limitare l'importo trasferito in un periodo definito, restringere i contratti approvati e vietare indirizzi di destinazione arbitrari. Un motore di policy dedicato può valutare queste regole senza fare affidamento su un modello.

La simulazione aggiunge contesto prima dell'esecuzione. Stima in che modo una transazione modifica saldi, autorizzazioni e stato del contratto. La simulazione non identificherà ogni esito dannoso, ma può rivelare trasferimenti inattesi o permessi illimitati sui token.

Anche la revoca merita attenzione. I team necessitano di un metodo rapido per disabilitare le credenziali, ruotare le chiavi, sospendere l'automazione e isolare componenti compromessi. Una procedura di arresto complessa è una vulnerabilità di sicurezza quando un agente opera in modo continuo.

Questo è l'impatto più concreto dell'AI sul Web3. I modelli stanno passando dalla generazione di contenuti a sistemi che detengono autorità operativa. Il rischio risultante deriva dalla combinazione di decisioni probabilistiche ed esecuzione finanziaria deterministica.

La narrazione di Google News presenta ancora una lacuna probatoria

OneSafe identifica un pericolo legittimo, ma i lettori dovrebbero evitare di ricondurre ogni perdita crypto, campagna di phishing e infezione malware a un'unica statistica sull'AI.

Google News può mostrare un articolo, ma l'aggregazione non convalida ogni affermazione contenuta al suo interno. La visibilità nelle ricerche misura la reperibilità. Non sostituisce i registri di risposta agli incidenti, l'analisi tecnica o una raccolta dati trasparente.

L'articolo di OneSafe offre raccomandazioni sensate, in particolare il consiglio di esaminare attentamente i file correlati all'AI e le copie di backup pulite. Tuttavia, il suo esempio di malware più vivido non contiene un resoconto forense collegato. I lettori non possono esaminare il software coinvolto, il vettore di infezione, il sistema interessato o il processo di ripristino.

Queste informazioni mancanti limitano l'insegnamento che se ne può trarre. Se un aggressore ha distribuito una falsa applicazione AI, la firma delle applicazioni e la verifica dei download diventano centrali. Se del codice generato ha introdotto una vulnerabilità, la revisione del codice e i test contano di più. Se un'istruzione dannosa ha attivato un comando, il sandboxing e i controlli di approvazione diventano prioritari.

Anche la terminologia crea un altro problema. “Malware infuso di AI” può suggerire che un modello operasse all'interno del programma dannoso. In molti incidenti, l'AI assiste l'aggressore in una fase precedente, scrivendo messaggi o adattando il codice. Il malware che raggiunge la vittima può comportarsi come un infostealer consolidato.

Questa differenza incide sugli acquisti e sulle policy. Un'azienda potrebbe acquistare un rilevatore di contenuti AI lasciando esposte le credenziali degli sviluppatori. Potrebbe vietare gli assistenti approvati mentre i dipendenti continuano a scaricare strumenti non verificati. Potrebbe inoltre ampliare il monitoraggio senza limitare l'autorità sulle transazioni.

I dati dell'FBI richiedono una disciplina analoga. La sua categoria AI dipende dalle informazioni riportate nelle denunce. L'agenzia afferma che l'AI consente profili sintetici e conversazioni convincenti, ma il suo totale delle perdite non isola lo sfruttamento tecnico dei protocolli Web3.

Anche la categoria delle criptovalute è più ampia dell'hacking blockchain. Include frodi sugli investimenti e altri schemi in cui i criminali richiedono o trasferiscono pagamenti tramite asset digitali. La criptovaluta può essere il canale di pagamento anziché la vulnerabilità.

I report dei fornitori rispondono a domande diverse. Un'azienda di sicurezza blockchain può analizzare perdite on-chain e classificare gli incidenti secondo la propria tassonomia. Il suo dataset può rilevare attacchi ai protocolli che le vittime non segnalano mai alle autorità federali.

Queste fonti possono rafforzarsi a vicenda senza essere direttamente comparabili. L'FBI mostra la portata delle frodi segnalate. Check Point documenta una specifica operazione di svuotamento dei wallet. Hacken classifica le perdite nell'intero settore Web3. I ricercatori accademici testano il modo in cui gli agenti rispondono a contesti ostili.

Nel loro insieme, supportano una conclusione misurata. L'AI rende l'inganno meno costoso da produrre e più facile da personalizzare. Gli agenti autonomi possono inoltre creare nuovi rischi di esecuzione. Nessuno dei due punti dimostra che l'AI sia responsabile della maggior parte delle perdite nel Web3.

Esiste anche un lato difensivo della competizione. I team di sicurezza utilizzano il machine learning per stabilire le priorità degli avvisi, classificare i contratti, identificare transazioni sospette e rilevare anomalie comportamentali. Gli sviluppatori utilizzano modelli per esaminare il codice e generare test.

Queste applicazioni possono ridurre il rischio quando le persone ne verificano l'output. Possono creare falsa fiducia quando i team trattano la valutazione di un modello come prova di sicurezza.

La competizione principale è tra automazione e controlli applicabili. Gli aggressori automatizzano la scoperta e la persuasione. I difensori devono automatizzare il contenimento, il privilegio minimo, la simulazione, il monitoraggio e la revoca.

Questa cornice è meno drammatica di una minaccia AI generalizzata. È anche più attuabile.

Tre segnali mostreranno se la minaccia sta crescendo

La prossima fase sarà misurata da incidenti verificati che coinvolgono agenti, perdite legate al controllo degli accessi e salvaguardie delle transazioni più solide, non dal numero di titoli allarmistici.

Il primo segnale è una perdita documentata causata direttamente da un agente AI manipolato. Una divulgazione utile identificherebbe l'autorità del modello, l'input ostile, le azioni eseguite e i controlli che hanno fallito.

Un simile incidente rafforzerebbe l'argomento secondo cui l'AI crea una classe distinta di vulnerabilità nel Web3. Senza tali prove, molti attacchi segnalati continueranno a essere furti convenzionali di credenziali o phishing con preparazione assistita dall'AI.

Il secondo segnale è la quota delle perdite Web3 attribuita a chiavi, autorizzazioni e ingegneria sociale compromesse. I report di sicurezza dovrebbero pubblicare definizioni chiare e dati a livello di evento, ove possibile.

Se le perdite dovute al controllo degli accessi restano dominanti, i team dovrebbero dare priorità ai confini dell'identità e all'architettura di firma. Un aumento duraturo delle compromissioni specifiche dei modelli giustificherebbe maggiori investimenti nell'isolamento degli agenti e nel filtraggio del contesto.

Il terzo segnale è l'adozione di sistemi indipendenti di policy per le transazioni. I fornitori di wallet, gli exchange e i team dei protocolli possono richiedere simulazione, restrizioni sulle destinazioni, limiti di spesa o approvazioni multiple prima che gli asset vengano trasferiti.

Un'adozione diffusa ridurrebbe il vantaggio degli aggressori. Un messaggio sintetico persuasivo diventa meno prezioso quando un singolo dipendente non può autorizzare l'azione richiesta. Un agente compromesso diventa meno pericoloso quando le sue credenziali consentono soltanto operazioni ristrette.

L'avvertimento di OneSafe su Google News è utile perché richiama l'attenzione sul comportamento degli sviluppatori prima di una crisi. La sua lacuna probatoria dimostra anche perché le affermazioni sulla sicurezza necessitano di fonti, dettagli riproducibili e categorie accurate.

Gli sviluppatori dovrebbero esaminare ogni servizio in grado di accedere a codice, sessioni del browser, segreti di deployment o wallet. Dovrebbero identificare quali sistemi possono soltanto raccomandare un'azione e quali possono eseguirla. Questa mappa spesso rivela più rischi di un elenco di prodotti AI approvati.

Gli acquirenti aziendali dovrebbero chiedere ai fornitori come gli agenti archiviano il contesto, isolano gli strumenti e revocano l'autorità. Dovrebbero anche chiedere se le policy sulle transazioni operano al di fuori del modello. Un prompt di sicurezza non è un sistema di controllo degli accessi.

I knowledge worker dovrebbero verificare richieste finanziarie urgenti tramite un canale separato. Voce, video e stile di scrittura familiare non forniscono più una prova affidabile dell'identità. Un metodo di contatto noto e un processo di approvazione consolidato hanno maggiore valore.

La domanda importante dopo questa storia di Google News non è se l'AI abbia un ruolo nel Web3. È se ogni sistema automatizzato disponga di autorità sufficiente per trasformare un singolo input ingannevole in una perdita permanente. Verificate ora questo confine, documentate chi può fermare un'azione e testate il percorso di arresto prima che gli aggressori lo testino al posto vostro.