CrowdStrike avverte: l'AI è ormai centrale negli attacchi informatici

CrowdStrike ha quantificato un conflitto che si sta diffondendo su Google News: gli attacchi condotti da avversari abilitati dall'AI sono aumentati dell'89% nel corso del 2025. L'azienda afferma che l'intelligenza artificiale accelera oggi gli attacchi, creando al tempo stesso nuovi sistemi di valore da prendere di mira per i criminali.

Questa combinazione conta più dell'ennesimo avvertimento sulle e-mail di phishing convincenti. L'AI si sta spingendo più a fondo nella ricognizione, nello sviluppo di malware, nello sfruttamento delle vulnerabilità, nel furto di credenziali e nelle attività successive alla compromissione. Gli attaccanti prendono di mira anche modelli, connettori, strumenti di sviluppo e servizi cloud di cui le imprese si fidano ormai.

La sfida centrale non è quindi tra attaccanti dotati di AI e software antivirus tradizionali. È tra un'offensiva assistita dalle macchine e operazioni di sicurezza ancora limitate dalla revisione umana, da una visibilità frammentata e da lente catene di approvazione. Le ricerche di Google, Microsoft e Anthropic confermano questa tendenza, anche se le loro evidenze rivelano importanti limiti nella formulazione di CrowdStrike.

Il report di CrowdStrike trasforma l'AI da esperimento a livello operativo

L'affermazione più importante di CrowdStrike è che l'AI è passata dalla sperimentazione isolata agli ingranaggi ordinari delle operazioni informatiche.

L'azienda ha pubblicato il suo 2026 Threat Hunting Report il 3 agosto, basandosi su incidenti indagati nel 2025 e nella prima metà del 2026. I risultati descrivono attaccanti che utilizzano l'AI come strumento, bersaglio e moltiplicatore di forza.

Il report ha fatto seguito al Global Threat Report di CrowdStrike di febbraio, che documentava un aumento annuale dell'89% nelle operazioni condotte da avversari abilitati dall'AI. Quel rapporto precedente collocava inoltre il tempo medio di breakout dell'eCrime a 29 minuti.

Il tempo di breakout misura l'intervallo tra l'accesso iniziale di un attaccante e il movimento laterale verso un altro sistema. CrowdStrike afferma che la media del 2025 rappresentava un aumento della velocità del 65% rispetto all'anno precedente. Il breakout più rapido osservato ha richiesto appena 27 secondi.

Le più recenti risultanze di threat hunting aggiungono diversi esempi concreti. CrowdStrike afferma che avversari legati alla Cina hanno sfruttato vulnerabilità critiche entro 24 ore dalla pubblicazione di codice proof-of-concept. Attribuisce inoltre l'avvelenamento di 131 pacchetti di framework AI ad attori legati alla Corea del Nord.

In un'altra campagna, gli attaccanti hanno generato quasi 200.000 richieste API non autorizzate a large language model nell'arco di due minuti. Questa pratica, spesso chiamata LLMjacking, consiste nel rubare l'accesso a un servizio di modelli e trasferirne i costi al cliente legittimo.

CrowdStrike ha inoltre registrato un raddoppio delle intrusioni di voice phishing nella prima metà del 2026 rispetto alla seconda metà del 2025. Il voice phishing, o vishing, utilizza chiamate e impersonificazione per manipolare i dipendenti inducendoli a concedere accesso o rivelare credenziali.

Questi dati non significano che l'AI abbia pianificato autonomamente ogni incidente. Mostrano che gli attaccanti possono inserire modelli in flussi di lavoro familiari e gestirli a maggiore velocità o volume.

Gli obiettivi alla base degli attacchi restano riconoscibili. I gruppi criminali vogliono ancora credenziali, criptovalute, dati sensibili o pagamenti estorsivi. Gli operatori sostenuti dagli Stati perseguono ancora spionaggio, persistenza e accesso strategico.

L'AI modifica l'economia che circonda questi obiettivi. Riduce lo sforzo necessario per ricercare i bersagli, produrre materiale su misura, modificare il codice, elaborare informazioni rubate e ripetere un attacco contro più vittime.

Il report cambia anche ciò che viene considerato infrastruttura esposta. Un modello aziendale non è più soltanto un'applicazione di produttività. Le sue credenziali API, i connettori di dati, il software di orchestrazione e le dipendenze di sviluppo possono tutti diventare percorsi di attacco.

Questo duplice ruolo crea la tensione centrale dell'articolo. Le aziende aggiungono l'AI per ridurre gli attriti operativi, mentre gli attaccanti cercano nello stesso ambiente accessi privilegiati e automazione debolmente governata.

Perché il titolo di Google News è importante per i team di sicurezza

L'impostazione di Google News è importante perché CrowdStrike descrive un problema di tempistiche operative, non semplicemente un'altra categoria di software dannoso.

I team di sicurezza hanno a lungo costruito le difese attorno a una sequenza. Uno strumento rileva attività insolite, un analista esamina il segnale e qualcuno decide se isolare un utente o un sistema. Ogni passaggio richiede tempo.

Un tempo medio di breakout di 29 minuti comprime questa sequenza. Un caso eccezionale di 27 secondi elimina di fatto l'opportunità di una revisione manuale prima che l'attaccante raggiunga un'altra risorsa.

Questa pressione ricade soprattutto sulle organizzazioni i cui dati di sicurezza restano suddivisi tra endpoint, piattaforme di identità, account cloud, servizi software e sistemi per sviluppatori. Un avviso proveniente da un dominio può apparire innocuo senza il contesto degli altri.

Gli attaccanti traggono vantaggio da questi confini. Un account valido che accede a un servizio cloud può sembrare normale attività lavorativa. Uno strumento per sviluppatori che scarica un pacchetto può apparire di routine. Anche un assistente AI che richiama un connettore approvato può superare i controlli convenzionali.

CrowdStrike ha riferito che l'82% dei suoi rilevamenti nel 2025 riguardava attività prive di malware. Gli attacchi senza malware si affidano a credenziali legittime, strumenti fidati o funzioni integrate del sistema invece di distribuire un file dannoso riconoscibile.

L'AI si integra con questo approccio perché i modelli possono aiutare gli attaccanti a interpretare gli ambienti e adattare i comandi. Il comportamento risultante può somigliare a un normale lavoro amministrativo finché più segnali non vengono combinati.

Microsoft descrive un cambiamento simile nella sua analisi dell'attività di minaccia AI. Afferma che gli attori delle minacce stanno integrando l'AI nella pianificazione, nella ricognizione, nello sviluppo di malware, nel phishing e nelle operazioni successive alla compromissione.

Tuttavia, Microsoft aggiunge un'importante precisazione. Gli esseri umani dirigono ancora la maggior parte delle campagne osservate, anche quando l'AI riduce gli attriti nell'intero ciclo di vita dell'attacco.

Questa distinzione influisce sulle priorità difensive. Le organizzazioni non dovrebbero prepararsi soltanto a un immaginario hacker autonomo che opera senza supervisione. Devono affrontare campagne guidate da esseri umani che diventano più economiche, rapide e facili da ampliare.

La risposta imposta è operativa piuttosto che cosmetica. I team di sicurezza hanno bisogno di controlli in grado di correlare l'attività tra identità, endpoint, carichi di lavoro cloud, servizi software e applicazioni AI.

Hanno inoltre bisogno dell'autorità per contenere rapidamente minacce ad alta attendibilità. Il rilevamento automatizzato offre un valore limitato se l'isolamento resta in attesa in una lunga coda di approvazioni.

La pressione si estende oltre i reparti di sicurezza. Gli sviluppatori scelgono framework e pacchetti per modelli. I team di procurement autorizzano fornitori AI. I dipendenti collegano assistenti a documenti, calendari, codice sorgente e sistemi dei clienti.

Ogni connessione può veicolare un contesto aziendale utile. Può anche ampliare le conseguenze di un account compromesso, di una dipendenza avvelenata o di un prompt manipolato.

La sfida a breve termine è quindi la governance alla velocità operativa. Le imprese devono sapere quali modelli sono in esecuzione, a quali dati possono accedere, quali azioni possono compiere e come l'accesso può essere revocato.

Nel lungo periodo, le organizzazioni dovranno riprogettare la risposta agli incidenti attorno a indagini alla velocità delle macchine. Un analista umano dovrebbe restare responsabile, ma non può ricostruire manualmente ogni evento trasversale prima che inizi il contenimento.

Gli attaccanti abilitati dall'AI affrontano difensori assistiti dall'AI

La competizione principale riguarda velocità e coordinamento: gli attaccanti automatizzano le fasi di una campagna, mentre i difensori cercano di automatizzare la raccolta delle prove e il contenimento.

CrowdStrike presenta l'AI come moltiplicatore di forza per gli avversari. Questa descrizione è credibile perché un attaccante non ha bisogno di un modello per inventare una nuova classe di exploit. Migliorare diversi compiti ordinari può produrre un vantaggio cumulativo significativo.

Un modello può riassumere informazioni pubbliche su un bersaglio, tradurre messaggi, generare varianti di un'esca, spiegare codice non familiare e organizzare dati rubati. Può anche aiutare operatori meno esperti a completare compiti che un tempo richiedevano specialisti.

Anthropic ha esaminato 832 account banditi per attività informatiche dannose tra marzo 2025 e marzo 2026. La sua analisi degli account ha mappato il comportamento osservato al framework MITRE ATT&CK, un catalogo ampiamente utilizzato di tattiche e tecniche degli attaccanti.

Tra questi account, 560 hanno utilizzato l'AI in attività legate alla preparazione di malware. Ciò rappresentava il 67,3% del gruppo studiato. Altri 54 account, ovvero il 6,5%, hanno usato l'AI per assistere il movimento laterale all'interno di ambienti compromessi.

Anthropic ha inoltre rilevato che l'uso dell'AI si stava spingendo più in profondità negli attacchi. La scoperta di account all'interno dei sistemi compromessi è aumentata, mentre è diminuita la quota associata al phishing assistito dall'AI.

Il campione dell'azienda non misura tutti gli attacchi informatici. Copre soltanto gli account che Anthropic ha identificato, bandito e potuto analizzare con sufficiente dettaglio. Tuttavia, lo spostamento verso il lavoro successivo alla compromissione supporta la direzione più ampia indicata da CrowdStrike.

Gli attaccanti ottengono ulteriore leva quando i modelli possono concatenare compiti. Invece di richiedere un singolo script, un operatore può costruire un sistema che seleziona strumenti, valuta i risultati e sceglie il passaggio successivo.

Questa orchestrazione è più importante di qualunque singolo prompt. Trasforma un modello AI in una componente di un processo di attacco ripetibile.

I difensori possiedono vantaggi comparabili. Possono usare l'AI per indagare gli avvisi, riassumere eventi correlati, dare priorità alle vulnerabilità, generare query e proporre azioni di contenimento. Controllano inoltre l'ambiente aziendale in cui operano tali difese.

Un difensore può osservare il comportamento storico delle identità, i dispositivi approvati, le autorizzazioni cloud e le relazioni previste tra applicazioni. Un attaccante esterno raramente parte con questo contesto completo.

Il team Mandiant di Google ha descritto come una revisione strutturata dell'AI possa aiutare i difensori ad analizzare il codice e individuare percorsi di exploit. La sua ricerca sul codice sorgente ha riportato 12 vulnerabilità assegnate scoperte attraverso un processo di revisione agentico.

Tuttavia, l'implementazione difensiva comporta un serio compromesso. Un agente di sicurezza necessita di un accesso esteso per indagare gli incidenti e agire. Questi privilegi rendono l'agente, le sue istruzioni e i suoi connettori bersagli interessanti.

Le organizzazioni non possono semplicemente collegare un modello a ogni sistema di sicurezza e considerare risolto il problema delle tempistiche. Devono limitare i permessi, registrare le azioni, convalidare gli output e mantenere modi affidabili per fermare l'automazione.

La parte che coordina meglio manterrà il vantaggio. Gli attaccanti coordinano ricognizione, accesso, sfruttamento e furto di dati. I difensori devono coordinare telemetria, controlli delle identità, gestione delle vulnerabilità e risposta.

Questa competizione non garantisce che vinca l'offensiva. Significa però che i flussi di lavoro difensivi frammentati diventano più costosi man mano che i flussi degli avversari diventano più facili da automatizzare.

L'AI sta diventando anche la superficie di attacco

Il ribaltamento più netto nell'avvertimento di CrowdStrike è che la tecnologia adottata per accelerare il lavoro può esporre nuovi percorsi verso l'impresa.

Le aziende discutono spesso il rischio dell'AI attraverso gli output dei modelli. Considerano se un assistente possa fornire una risposta errata, rivelare informazioni riservate o produrre contenuti vietati.

La ricerca di CrowdStrike indica una superficie tecnica più ampia. I modelli sono inseriti in sistemi che contengono chiavi API, database vettoriali, plugin, sessioni del browser, strumenti di sviluppo e connettori di terze parti.

Questi componenti forniscono a un assistente un contesto utile e la capacità di agire. Creano però anche opportunità per il furto di credenziali, la compromissione della supply chain, il prompt injection e l'abuso di risorse di calcolo a pagamento.

Il prompt injection inserisce istruzioni ostili nei contenuti elaborati da un sistema di AI. Se il sistema segue tali istruzioni, può rivelare informazioni o attivare azioni estranee all'intento dell'utente.

CrowdStrike afferma che gli aggressori hanno inserito prompt dannosi in strumenti di AI generativa legittimi presso oltre 90 organizzazioni. Secondo l'azienda, i prompt hanno generato comandi usati per il furto di credenziali e criptovalute.

L'azienda ha inoltre osservato aggressori sfruttare piattaforme di sviluppo AI per ottenere persistenza e distribuire ransomware. In altri casi, server dannosi hanno impersonato servizi AI affidabili per intercettare informazioni sensibili.

Google Threat Intelligence Group è giunto a una conclusione simile nel suo AI threat tracker. Google afferma che gli aggressori prendono sempre più di mira i livelli di orchestrazione, le librerie wrapper, i connettori API e i file di configurazione delle skill.

I suoi ricercatori non hanno segnalato che gli aggressori aggirino regolarmente la logica di sicurezza fondamentale dei principali modelli. Al contrario, gli attori delle minacce hanno utilizzato tecniche note di supply chain e furto di credenziali contro il software circostante.

Questa conclusione evita che l'analisi scivoli nella fantascienza. Il pericolo immediato di solito non è una misteriosa presa di controllo del modello. È un normale fallimento della sicurezza che si manifesta all'interno di uno stack nuovo e altamente connesso.

Uno sviluppatore potrebbe installare un pacchetto compromesso. Un token esposto potrebbe consentire chiamate al modello non autorizzate. Un connettore potrebbe concedere un accesso ai documenti più ampio di quanto un dipendente si renda conto.

Un aggressore può anche sfruttare la fiducia tra i componenti. Se un workflow AI tratta il contenuto web recuperato come istruzioni, contenuti manipolati possono influenzare le azioni successive.

I 131 pacchetti avvelenati identificati da CrowdStrike illustrano il problema della scala. Gli sviluppatori dipendono da framework pubblici perché ricostruire internamente ogni funzionalità non è realistico. Gli aggressori possono sfruttare questa dipendenza imitando pacchetti utili o compromettendo i manutentori.

I sistemi AI creano anche accessi concentrati. Un singolo assistente può cercare file interni, riassumere riunioni, interrogare i dati dei clienti e interagire con ambienti di sviluppo.

Questa concentrazione migliora la produttività. Può però anche consentire a una singola identità o workflow compromesso di attraversare confini che in precedenza richiedevano diversi account separati.

L'architettura di sicurezza deve quindi trattare i modelli come interpreti non attendibili, non come decisori indiscutibili. Un modello può consigliare un'azione senza ricevere l'autorità permanente per eseguire ogni azione.

Il principio del privilegio minimo rimane essenziale. Ogni strumento dovrebbe ricevere solo i dati e le autorizzazioni necessari al proprio compito immediato. Le azioni ad alto impatto dovrebbero richiedere una convalida indipendente.

Le organizzazioni hanno inoltre bisogno di inventari di modelli, connettori, agenti e credenziali. Un team di sicurezza non può monitorare un'infrastruttura AI che le unità aziendali hanno implementato senza registrazione né titolarità.

L'avvertimento di CrowdStrike diventa più utile a questo livello. Sposta l'attenzione dalle affermazioni sensazionalistiche sul malware intelligente alle interfacce reali in cui l'AI aziendale incontra sistemi di valore.

Cosa non dimostrano i numeri di CrowdStrike

CrowdStrike fornisce solide prove che l'AI sia integrata negli attacchi, ma le sue statistiche non dimostrano che l'AI abbia causato ogni aumento di velocità o volume.

La crescita dell'89% misura l'attività che CrowdStrike ha classificato come coinvolgente avversari abilitati dall'AI. Non rappresenta la percentuale di tutti gli attacchi che utilizzano l'AI, né misura i danni attribuibili esclusivamente ai modelli.

Anche i cambiamenti nel rilevamento possono influenzare i confronti annuali. I ricercatori migliorano i propri metodi, le organizzazioni implementano più telemetria e gli attori delle minacce lasciano nuovi segnali. Qualsiasi di questi cambiamenti può aumentare l'attività osservata.

La media di 29 minuti per il breakout richiede analoga cautela. Un movimento più rapido può riflettere credenziali rubate, strumenti remoti migliorati, controlli delle identità deboli o operatori esperti. L'AI può accelerare queste attività senza esserne l'unica causa.

CrowdStrike vende prodotti di sicurezza progettati per rilevare e fermare attacchi alla velocità delle macchine. La sua telemetria offre una visibilità preziosa, ma la sua interpretazione sostiene anche la posizione commerciale dell'azienda.

Questo conflitto non invalida i dati. Rende essenziale una corroborazione indipendente.

Google afferma di aver osservato una transizione verso l'uso dell'AI generativa su scala industriale nei workflow avversari. Ha inoltre segnalato quello che ritiene sia stato il primo exploit zero-day osservato sviluppato con l'assistenza dell'AI.

Microsoft vede l'AI integrata nell'intera attività delle minacce, ma sottolinea il continuo controllo umano. Anthropic ha rilevato l'uso di modelli nelle fasi più avanzate delle catene di attacco, osservando al contempo che il suo campione di 832 account era selettivo.

Nel complesso, queste fonti sostengono una conclusione più circoscritta e difendibile. L'AI sta riducendo l'attrito nelle tecniche di attacco consolidate e alcuni attori stanno iniziando a orchestrare operazioni più complesse.

Non dimostrano che i sistemi autonomi dominino ora il cybercrimine. Non mostrano neppure che ogni aggressore ottenga lo stesso vantaggio.

I modelli producono ancora errori. Il codice generato può non funzionare, dettagli tecnici inventati possono far perdere tempo e le misure di sicurezza possono bloccare le richieste. Gli operatori esperti restano in una posizione migliore per riconoscere e correggere questi fallimenti.

Anche l'autonomia necessita di infrastruttura. Un aggressore deve fornire strumenti, accesso, memoria, obiettivi e regole decisionali. Ogni componente aggiuntivo crea opportunità di rilevamento e interruzione.

L'AI difensiva complica inoltre le previsioni sul vantaggio degli aggressori. La stessa analisi delle vulnerabilità che aiuta un avversario può aiutare un fornitore a correggere il software prima dello sfruttamento.

I dati sugli incidenti di Mandiant del 2026 offrono un ulteriore elemento di cautela. Le sue frontline findings hanno collocato il tempo mediano globale di permanenza a 14 giorni, rispetto agli 11 giorni del 2024.

Il tempo di permanenza misura quanto a lungo un aggressore resta all'interno di un ambiente prima del rilevamento o della rimozione. È diverso dal tempo di breakout, quindi le due metriche non sono in contraddizione.

Mostrano invece che la velocità di attacco ha diverse dimensioni. Alcuni intrusi si muovono lateralmente quasi subito, mentre gruppi sofisticati possono restare nascosti per mesi.

Un programma di sicurezza ottimizzato solo per il ransomware rapido potrebbe non individuare una paziente campagna di spionaggio. Uno ottimizzato solo per indagini lunghe potrebbe fallire contro una rapida estorsione guidata dall'identità.

La risposta pratica non è acquistare in preda al panico. È verificare se i controlli siano in grado di rilevare sia i movimenti improvvisi sia la persistenza silenziosa nei sistemi effettivamente utilizzati da un'organizzazione.

Le imprese dovrebbero inoltre richiedere misurazioni trasparenti ai fornitori. Una reportistica utile dovrebbe definire la popolazione osservata, spiegare i metodi di classificazione e separare il coinvolgimento dell'AI dalla causalità dell'AI.

Il titolo di CrowdStrike è prezioso perché identifica un cambiamento di direzione. I suoi numeri dovrebbero orientare le indagini, non sostituirsi alle prove di ciascuna organizzazione.

Tre segnali mostreranno se l'AI ha cambiato per sempre i cyberattacchi

Il prossimo test è stabilire se l'uso osservato dell'AI diventi ripetibile nelle fasi di attacco, nelle supply chain e negli incidenti aziendali reali.

Il primo segnale è la prova di un'automazione sostenuta dopo la compromissione. I ricercatori dovrebbero osservare se gli aggressori usino ripetutamente i modelli per l'escalation dei privilegi, la scoperta degli account, il movimento laterale e la raccolta dei dati.

Il solo volume di phishing rafforzerebbe soltanto la versione più debole dell'argomentazione di CrowdStrike. Un'orchestrazione documentata dopo l'accesso sosterrebbe l'affermazione che l'AI sia diventata un livello operativo.

La ricerca di Anthropic indica già questa direzione. Le prove più solide arriveranno da più fornitori che osservano la stessa progressione in campagne non correlate.

Se l'uso dopo la compromissione rimane raro, l'affermazione di centralità di CrowdStrike apparirà prematura. L'AI resterebbe comunque rilevante, ma soprattutto come strumento di produttività per attacchi già noti.

Il secondo segnale è la frequenza e l'impatto delle compromissioni della supply chain AI. I 131 pacchetti avvelenati identificati da CrowdStrike costituiscono una base di riferimento, non una tendenza consolidata.

I team di sicurezza dovrebbero monitorare registri di pacchetti pubblici, hub di modelli, marketplace di connettori e repository di configurazione degli agenti. Dovrebbero inoltre tracciare quanto spesso componenti AI compromessi creino accesso a sistemi aziendali più ampi.

Più incidenti che coinvolgono pacchetti affidabili rafforzerebbero l'argomento secondo cui l'AI sia sia uno strumento di attacco sia un obiettivo di valore. Un impatto a valle limitato indebolirebbe l'interpretazione più allarmistica.

Il terzo segnale è se i difensori riducano i tempi di risposta senza creare nuovi fallimenti. I fornitori continueranno ad aggiungere funzionalità AI per l'indagine e il contenimento, ma la sola adozione dimostra poco.

Le organizzazioni hanno bisogno di prove che questi sistemi correlino attività tra domini, riducano i tempi di contenimento convalidato ed evitino azioni automatizzate dannose. Devono inoltre dimostrare che gli aggressori non possano manipolare gli stessi agenti tramite input avvelenati.

Questa misurazione dovrebbe includere il tempo dal primo segnale al contenimento, non solo il tempo dall'avviso alla revisione dell'analista. Dovrebbe distinguere le azioni completamente automatizzate dalle risposte approvate da esseri umani.

Una riduzione dei tempi di contenimento indicherebbe che i difensori stanno acquisendo lo stesso vantaggio di velocità degli aggressori. Ritardi persistenti mostrerebbero che i processi organizzativi rimangono il fattore limitante.

Per i lettori che arrivano tramite Google News, il messaggio duraturo è semplice. CrowdStrike ha documentato un aumento significativo dell'attività avversaria correlata all'AI, ma la tecnologia non ha sostituito i fondamenti della cybersecurity.

Le credenziali richiedono ancora protezione. Le dipendenze software richiedono ancora verifica. Identità, servizi cloud, endpoint e connettori AI necessitano ancora di un monitoraggio coordinato.

La differenza è il tempo. Gli aggressori possono ora ricercare, adattare e ripetere porzioni del proprio lavoro più rapidamente. Le imprese stanno anche collegando l'AI a sistemi che detengono accessi insolitamente ampi.

I responsabili della sicurezza dovrebbero porsi una domanda immediata: la loro organizzazione è in grado di identificare e contenere un'intrusione dall'aspetto affidabile prima che attraversi un altro dominio? La risposta rivelerà più di qualsiasi titolo su una corsa agli armamenti dell'AI.