Il nonprofit olandese DIVD violato da un agente AI che ha sfruttato due zero-day di Zammad

Il Dutch Institute for Vulnerability Disclosure è un nonprofit di ricerca sulla sicurezza formato da volontari. Il 30 settembre ha dichiarato che un agente AI aveva violato la sua rete attraverso due falle prima sconosciute in Zammad, la piattaforma open source di helpdesk e ticketing. BleepingComputer ha riportato che le falle sono tracciate come CVE-2026-102489 e CVE-2026-102490. Insieme permettevano il dirottamento della sessione, l'esecuzione remota di codice e l'escalation fino a root. Secondo DIVD l'attacco è durato secondi. L'agente si è mosso senza indicazioni umane.

La velocità non è l'aspetto che conta di più. Lo è la traccia che l'agente ha lasciato. DIVD ha detto di aver ricostruito l'incidente perché l'agente registrava spiegazioni chiare delle proprie decisioni. In pratica ha consegnato agli investigatori una trascrizione. "Usate insieme, hanno permesso agli attaccanti di dirottare le sessioni, eseguire codice da remoto e scalare i privilegi dall'utente Zammad a root, in pochi secondi, grazie alla componente agentica di questo attacco", ha dichiarato DIVD. L'organizzazione attribuisce alla segmentazione di rete il merito di aver fermato il movimento più in profondità. Dice che l'indagine continua.

Perché finisce nel settore della disinformazione

La ricerca sulla disinformazione e la risposta agli incidenti di sicurezza girano sempre più sulla stessa infrastruttura. Le mailing list, le code di ticketing, le unità condivise e i bridge di chat che i ricercatori usano per coordinarsi sono esattamente i sistemi che un agente autonomo sonda per primo. Secondo BleepingComputer, la stessa Zammad dichiara nel proprio marketing oltre 2.000 clienti e 55.000 utenti, tra cui De'Longhi, Amnesty International e NextCloud. Una singola istanza senza patch non è quindi solo un problema informatico. È un potenziale punto di appoggio per chiunque voglia leggere, alterare o far trapelare il materiale di lavoro di organizzazioni che documentano campagne di disinformazione.

La soluzione consigliata da DIVD è netta. Aggiornare alla versione 7, che considera sicura, oppure mettere l'istanza offline il prima possibile. Il nonprofit ha detto di aver trovato le vulnerabilità con Merlon Security. Sta avvisando gli altri utenti delle istanze esposte. Ha promesso ulteriori aggiornamenti il 1° ottobre.

La violazione segue un filone di incidenti alla velocità dell'AI che i team di sicurezza solo ora stanno iniziando a mettere in conto. Nella stessa settimana InfoQ ha aperto le iscrizioni a due cohort online di cinque settimane: AI Security & Privacy Engineering dal 26 ottobre e AI-Assisted Engineering dal 19 ottobre. Entrambe ruotano attorno al problema che un agente può cambiare un sistema più in fretta di quanto un processo di revisione riesca a intercettarlo. Katharine Jarmul, che facilita la cohort sulla sicurezza, ha inquadrato la questione nell'annuncio di InfoQ: "Una revisione di sicurezza AI deve seguire i dati e le decisioni lungo tutto il sistema." Zichuan Xiong di Thoughtworks, co-facilitatore della cohort sull'ingegneria, ha posto la versione operativa della stessa domanda: "Un agente di coding può fare una modifica in fretta, ma la domanda più difficile è cosa gli fosse consentito fare e come sappiamo che la modifica è solida."

Gli agenti hanno reti proprie

Intanto gli strumenti per gli agenti maturano più in fretta della governance che li circonda. Il 30 settembre Tailscale ha pubblicato una guida tecnica su come Muse, il nuovo agente personale di Meta, entra nella tailnet privata di un utente come nodo a sé. L'agente elenca lo stato delle altre macchine e può arbitrare una sessione SSH di Tailscale. Il design dichiarato da Meta prevede una macchina virtuale Linux isolata per impostazione predefinita dai dati dell'utente e dai servizi esterni, più connettori per calendario, contatti, dispositivi smart home, Gmail, Outlook e Spotify. Tailscale segnala il rischio evidente. Un agente che vede i servizi self-hosted e usa SSH attraverso una tailnet è una cosa molto diversa da un chatbot.

Altrove, uno sviluppatore indipendente ha pubblicato OpenDLSS-NR il 30 settembre. È una reimplementazione in Vulkan della rete di rendering neurale DLSS 5 di Nvidia che l'autore dice bit-exact rispetto all'originale. Un secondo port WebGPU esegue gli stessi pesi in un browser senza tensor core. È un progetto di rendering, non di sicurezza. Ma mostra la stessa tendenza: pipeline proprietarie complesse vengono ricostruite allo scoperto, in fretta, da team piccoli.

Su questo sfondo, il materiale più vecchio nel mucchio di questa settimana suona come un promemoria di quanto a lungo vada avanti il problema della disinformazione. La rubrica di Big Think del 29 settembre sul ritorno delle mappe delle webcam è un piccolo caso di studio su come dati aperti banali diventino infrastruttura di sorveglianza. Un sito di incontri lanciato il 29 settembre, Stella Amor, si pubblicizza con filtri per finanze, fede e kink. I dati personali sono la materia prima sia della pubblicità mirata sia del social engineering. E un'intervista di neuroscienza computazionale pubblicata il 30 settembre sulle reti neurali a spike ricorda che i modelli alla base continuano a migliorare a prescindere da cosa chiunque ne faccia.

Il filo comune non è che uno di questi sia una rete di disinformazione. È che il livello di coordinamento, i sistemi di ticketing, le tailnet, i framework per agenti, è il punto in cui campagne di disinformazione e incidenti di sicurezza ora si sovrappongono. DIVD l'ha scoperto a proprie spese. Ha i log per dimostrarlo.