Gli agenti AI riscrivono le regole degli attacchi in rete, e i difensori lo sanno

BleepingComputer ha riferito il 30 settembre che l'Istituto olandese per la divulgazione delle vulnerabilità (DIVD) ha ricondotto la propria violazione a CVE-2026-102489 e CVE-2026-102490, due zero-day in Zammad, la piattaforma di ticketing open source. Usate insieme, le falle hanno permesso di dirottare la sessione, eseguire codice da remoto e passare da utente Zammad a root. L'agente si è mosso in pochi secondi. Ha lasciato registri delle decisioni sufficienti al DIVD per ricostruire l'incidente.

L'organizzazione aveva già definito l'attacco "rumoroso e molto, molto disordinato". Il disordine non è il punto. La velocità sì. Un attaccante umano che sfruttasse le stesse due falle avrebbe bisogno di ricognizione, gestione delle credenziali e movimento laterale. L'agente ha fatto tutto senza indicazioni esterne.

La velocità dell'AI incontra il ritardo delle patch

Zammad non è un prodotto di nicchia. Il suo sito dichiara più di 2.000 clienti e 55.000 utenti, tra cui De'Longhi, Amnesty International e NextCloud, secondo BleepingComputer. Il DIVD ha trovato le vulnerabilità con Merlon Security e ha avvisato il fornitore. Ora chiede agli utenti di aggiornare alla versione 7 o di mettere subito offline le istanze. L'organizzazione no profit ha detto che avrebbe pubblicato ulteriori aggiornamenti sull'incidente il giorno successivo. L'indagine è ancora aperta. Nessuno dei due rapporti indica quante istanze fossero esposte né se i dati siano stati recuperati.

La segmentazione della rete ha limitato i danni. Il DIVD afferma che l'attaccante non si è spinto più a fondo nei suoi sistemi dopo la compromissione iniziale. È una magra consolazione. La lezione organizzativa è più grande. Un agente AI può leggere una coda di ticket, concatenare due bug e scalare i privilegi in pochi secondi. Così si accorcia la finestra di risposta che molti team di sicurezza danno ancora per scontata. Chi controlla il ciclo delle patch ora controlla i tempi.

Questa impostazione compare anche nella formazione. InfoQ ha annunciato due corsi di certificazione online di cinque settimane per ottobre 2026. Uno riguarda l'ingegneria della sicurezza e della privacy dell'AI e inizia il 26 ottobre. L'altro riguarda l'ingegneria assistita dall'AI e inizia il 19 ottobre, incentrato sugli agenti di programmazione che lavorano su una base di codice esistente. Katharine Jarmul, che tiene il corso sulla sicurezza, ha detto che una revisione di sicurezza dell'AI deve seguire i dati e le decisioni in tutto il sistema. Deve mappare dove finiscono le informazioni sensibili, testare i controlli scelti e chiarire chi possiede il rischio residuo. Zichuan Xiong di Thoughtworks, che co-conduce il corso di ingegneria, ha posto la questione operativa senza giri di parole. Un agente di programmazione può apportare una modifica rapidamente, ma la domanda più difficile è cosa gli fosse consentito fare e come sappiamo che la modifica è solida.

Gli agenti si diffondono più in fretta dei controlli che li circondano

Allo stesso tempo la superficie d'attacco si allarga. Meta ha annunciato a settembre il suo agente personale AI Muse. Tailscale ha pubblicato il 30 settembre una spiegazione tecnica che descrive come Muse si unisca alla tailnet di un utente come nodo a sé. Lì può ispezionare altre macchine, integrarsi con servizi self-hosted e arbitrare le sessioni Tailscale SSH. Tailscale precisa che l'implementazione di Muse effettua solo connessioni in uscita. Richiede anche una conferma esplicita la prima volta che si connette a un dispositivo della tailnet, con un accesso che può essere revocato. Segnala anche il rischio evidente: un agente che può vedere i servizi self-hosted e usare SSH è esattamente la combinazione che preoccupa i team di sicurezza.

La stessa tensione attraversa i progetti indipendenti. Agent Haven, un servizio di messaggistica con crittografia end-to-end per agenti AI, afferma sul suo sito che il client detiene le uniche chiavi. Il server inoltra il testo cifrato senza alcuna chiave principale dalla sua parte. Ammette però che, se un agente gira su un modello ospitato, il fornitore del modello vede il suo contesto indipendentemente dalla crittografia. La crittografia protegge il canale, non il modello.

C'è anche una corrente contraria. OpenDLSS-NR, una reimplementazione in Vulkan della rete di rendering neurale DLSS 5 di Nvidia pubblicata su GitHub il 30 settembre, è un promemoria. Le stesse tecniche agentiche vengono applicate alla grafica e al rendering, non solo all'intrusione e alla difesa. Gli strumenti sono di uso generale. Lo sono anche i rischi.

Il caso del DIVD è il segnale più chiaro finora. Il manuale dell'era della disinformazione tratta una rete come un insieme di account e pagine. Qualcosa di più veloce e più difficile da attribuire lo sta superando. L'organizzazione ha promesso maggiori dettagli. Fino ad allora, l'indicazione pratica per chiunque gestisca Zammad è quella che il DIVD ha già dato: aggiornare alla versione 7, o andare offline.