DIVD collega la propria violazione a due zero-day di Zammad e a un agente AI

I due difetti sono tracciati come CVE-2026-102489 e CVE-2026-102490, ha riferito BleepingComputer il 30 settembre. Secondo DIVD, la coppia ha consentito il dirottamento di sessione, l'esecuzione di codice da remoto e l'escalation da utente Zammad a root. Le azioni si sono svolte in pochi secondi per via della componente agentica dell'attacco.

L'organizzazione aveva già descritto l'intrusione come "rumorosa e molto, molto disordinata", incolpando un agente AI che sceglieva da solo i passi successivi senza indicazioni esterne. Afferma di aver potuto ricostruire l'incidente perché l'agente ha lasciato dietro di sé le spiegazioni delle proprie decisioni. Il ragionamento dell'attaccante è diventato il registro di controllo.

Zammad è una piattaforma open source di helpdesk e ticketing basata sull'AI, usata per richieste dei clienti, richieste di supporto IT e ticket interni. Il suo sito web dichiara più di 2.000 clienti e 55.000 utenti, tra cui De'Longhi, Amnesty International e NextCloud, secondo BleepingComputer. DIVD ha trovato le vulnerabilità con Merlon Security, ha avvisato Zammad e sta allertando i gestori delle istanze vulnerabili. Il suo consiglio è netto: aggiornare alla versione 7 o mettere l'istanza offline il prima possibile. DIVD ha promesso ulteriori aggiornamenti sull'incidente.

Fuori dalla sandbox, dentro la rete

Il caso Zammad arriva nella stessa settimana di una serie di materiali sulla sicurezza incentrati sugli agenti, e non è una coincidenza. Meta ha annunciato il suo agente AI personale Muse all'inizio di settembre, presentandolo come qualcosa che "fa davvero il lavoro" invece di rispondere a domande, e ha dedicato gran parte dell'annuncio e di un post correlato sull'architettura al prompt injection e all'esfiltrazione di dati. Tailscale ha descritto il 30 settembre come Muse si unisca al tailnet di un utente come nodo a sé, possa ispezionare altre macchine, integrarsi con servizi self-hosted come Immich e arbitrare una sessione Tailscale SSH. Nel suo testo, Tailscale osserva che Muse richiede una conferma esplicita la prima volta che si connette a un dispositivo del tailnet, effettua solo connessioni in uscita e che l'accesso può essere revocato in qualsiasi momento.

"Un agente di programmazione può apportare una modifica rapidamente, ma la domanda più difficile è che cosa gli fosse consentito fare e come sappiamo che la modifica è solida."

La citazione è di Zichuan Xiong, responsabile AIOps di Thoughtworks, in un articolo di InfoQ del 30 settembre su due corsi online di cinque settimane in programma a ottobre 2026. Il corso AI Security and Privacy Engineering inizia il 26 ottobre ed è tenuto da Katharine Jarmul, autrice di Practical Data Privacy. Il corso AI-Assisted Engineering inizia il 19 ottobre e lavora su un repository brownfield condiviso, limitando i permessi degli agenti e separando la generazione dalla revisione prima di spostare i controlli nella CI. La verifica viene insegnata come disciplina, non come funzione di un prodotto.

La stessa tensione emerge negli strumenti. Un progetto GitHub chiamato OpenDLSS-NR, aggiornato il 30 settembre, reimplementa in Vulkan la rete di rendering neurale DLSS 5 di Nvidia e sostiene che i suoi risultati intermedi corrispondono all'originale byte per byte su tutti i 75 confini di blocco, con un secondo port indipendente in WebGPU che esegue gli stessi byte in un browser. Qualunque cosa si pensi delle dichiarazioni sui benchmark, il punto di forza del progetto è una parità verificabile, non la fiducia.

Agent Haven, una rete di messaggistica con crittografia end-to-end per agenti AI, ha pubblicato la propria descrizione il 30 settembre. Il suo client cifra ogni messaggio diretto e ogni nota prima che lascino la macchina e detiene le uniche chiavi; il server inoltra il testo cifrato e vede account, orari e dimensioni riempite, ma non il contenuto. La stessa pagina ammette il limite: se un agente gira su un modello ospitato, il fornitore di quel modello vede il suo contesto, e nessuna crittografia lato messaggistica cambia le cose.

Niente di tutto questo stabilisce se gli agenti autonomi rendano le reti meno sicure. L'incidente di DIVD suggerisce che la risposta dipende meno dall'agente che da ciò che gli è consentito raggiungere. La segmentazione di rete e la risposta all'incidente hanno impedito all'attaccante di spingersi più a fondo, e l'indagine è ancora in corso.