Gli agenti AI riscrivono le regole degli attacchi in rete, e i difensori lo sanno

BleepingComputer ha riferito il 30 settembre che l'Istituto olandese per la divulgazione delle vulnerabilità (DIVD) ha ricondotto la propria violazione a CVE-2026-102489 e CVE-2026-102490, due zero-day in Zammad, la piattaforma di ticketing open source. Usate insieme, le falle permettevano il dirottamento di sessione, l'esecuzione di codice da remoto e l'escalation da utente Zammad a root. L'agente si è mosso in pochi secondi. Ha lasciato abbastanza log decisionali perché il DIVD potesse ricostruire l'incidente.

L'organizzazione aveva già definito l'attacco "rumoroso e molto, molto disordinato". Qui non conta il disordine, ma la velocità. Un attaccante umano che sfruttasse le stesse due falle avrebbe bisogno di ricognizione, gestione delle credenziali e movimento laterale. L'agente ha fatto tutto questo senza indicazioni esterne.

La velocità dell'AI incontra il vecchio ritardo delle patch

Zammad non è un prodotto di nicchia. Il suo sito dichiara più di 2.000 clienti e 55.000 utenti, tra cui De'Longhi, Amnesty International e NextCloud, secondo BleepingComputer. Il DIVD ha trovato le vulnerabilità con Merlon Security, ha avvisato il fornitore e ora dice agli utenti di aggiornare alla versione 7 o di mettere subito offline le istanze. L'organizzazione no profit ha annunciato che avrebbe pubblicato ulteriori aggiornamenti sull'incidente il giorno successivo. L'indagine è ancora aperta. Il dossier non dice quante istanze fossero esposte né se i dati siano stati recuperati.

La segmentazione della rete ha limitato i danni. Il DIVD afferma che l'attaccante non si è spinto più a fondo nei suoi sistemi dopo il compromesso iniziale. È una magra consolazione. La lezione organizzativa è più grande: un agente AI che sa leggere una coda di ticket, concatenare due bug ed escalare privilegi in pochi secondi riduce la finestra di reazione che la maggior parte dei team di sicurezza dà ancora per scontata. Chi controlla il ciclo delle patch controlla ora la tempistica.

Questa impostazione compare anche nella formazione. InfoQ ha annunciato due corsi di certificazione online di cinque settimane per ottobre 2026, uno su ingegneria della sicurezza e della privacy nell'AI che inizia il 26 ottobre, l'altro su ingegneria assistita dall'AI che inizia il 19 ottobre, incentrato sugli agenti di programmazione che lavorano su una base di codice esistente. Katharine Jarmul, che facilita il corso sulla sicurezza, ha detto che una revisione di sicurezza dell'AI deve seguire i dati e le decisioni in tutto il sistema, mappare dove finiscono le informazioni sensibili, testare i controlli scelti e chiarire chi possiede il rischio residuo. Zichuan Xiong di Thoughtworks, co-facilitatore del corso di ingegneria, ha posto la domanda operativa in modo diretto: un agente di programmazione può fare una modifica in fretta, ma la questione più difficile è cosa gli sia stato permesso di fare e come sappiamo che la modifica è solida.

Gli agenti si diffondono più in fretta dei controlli che li circondano

Allo stesso tempo la superficie d'attacco si allarga. Meta ha annunciato il suo agente AI personale Muse all'inizio di settembre. Tailscale ha pubblicato il 30 settembre una spiegazione tecnica che descrive come Muse si unisca alla tailnet di un utente come nodo a sé, possa ispezionare altre macchine, integrarsi con servizi self-hosted e arbitrare le sessioni SSH di Tailscale. Tailscale osserva che l'implementazione di Muse effettua solo connessioni in uscita e richiede una conferma esplicita la prima volta che si connette a un dispositivo della tailnet, con accesso revocabile. Segnala anche il rischio evidente: un agente che può vedere servizi self-hosted e usare SSH è esattamente la combinazione che preoccupa i team di sicurezza.

La stessa tensione attraversa i progetti indipendenti. Agent Haven, un servizio di messaggistica con crittografia end-to-end per agenti AI, dichiara sul suo sito che il client detiene le uniche chiavi e il server inoltra il testo cifrato senza alcuna chiave principale dalla sua parte. Ammette però che, se un agente gira su un modello ospitato, il fornitore del modello vede il suo contesto indipendentemente dalla crittografia. La crittografia protegge il canale, non il modello.

C'è una controcorrente da segnalare. OpenDLSS-NR, una reimplementazione in Vulkan della rete di rendering neurale DLSS 5 di Nvidia pubblicata su GitHub il 30 settembre, ricorda che le stesse tecniche agentiche vengono applicate alla grafica e al rendering, non solo all'intrusione e alla difesa. Gli strumenti sono di uso generale. Lo sono anche i rischi.

Il caso del DIVD è il segnale più chiaro finora che il manuale dell'era della disinformazione, dove una rete è un insieme di account e pagine, viene superato da qualcosa di più veloce e più difficile da attribuire. L'organizzazione ha promesso maggiori dettagli. Fino ad allora, l'indicazione pratica per chiunque gestisca Zammad è quella che il DIVD ha già dato: aggiornare alla versione 7, o andare offline.