DIVD collega la propria violazione a due zero-day di Zammad e a un agente AI

BleepingComputer ha riportato il 30 settembre che le due falle sono tracciate come CVE-2026-102489 e CVE-2026-102490. DIVD afferma che la coppia ha consentito il dirottamento di sessione, l'esecuzione di codice da remoto e l'escalation da utente Zammad a root. La parte agentica dell'attacco lo ha fatto girare in pochi secondi.

L'organizzazione aveva già descritto l'intrusione come "rumorosa e molto, molto disordinata". Ha attribuito la colpa a un agente AI che sceglieva da solo i passi successivi, senza indicazioni esterne. DIVD dice di aver potuto ricostruire l'incidente perché l'agente lasciava dietro di sé spiegazioni delle proprie decisioni. Il ragionamento dell'attaccante è diventato il registro di controllo.

Zammad è una piattaforma di helpdesk e ticketing open source basata sull'AI. Gestisce richieste dei clienti, richieste di supporto IT e ticket interni. Il suo sito dichiara più di 2.000 clienti e 55.000 utenti, tra cui De'Longhi, Amnesty International e NextCloud, secondo BleepingComputer. DIVD ha trovato le vulnerabilità con Merlon Security, ha avvisato Zammad e sta allertando i gestori delle istanze vulnerabili. Il consiglio è diretto: aggiornare alla versione 7 o mettere l'istanza offline il prima possibile. DIVD ha promesso ulteriori aggiornamenti sull'incidente.

Fuori dalla sandbox, dentro la rete

Il caso Zammad arriva nella stessa settimana di un gruppo di materiali sulla sicurezza dedicati agli agenti. Meta ha annunciato a settembre il suo agente AI personale Muse. Lo ha presentato come qualcosa che "fa davvero il lavoro" invece di rispondere a domande. Buona parte dell'annuncio e un post correlato sull'architettura sono dedicati al prompt injection e all'esfiltrazione di dati. Tailscale ha descritto il 30 settembre come Muse si unisce al tailnet di un utente come nodo a sé. Lì può ispezionare altre macchine, integrarsi con servizi self-hosted come Immich e arbitrare una sessione Tailscale SSH. Il testo di Tailscale precisa che Muse richiede una conferma esplicita la prima volta che si connette a un dispositivo del tailnet. Effettua solo connessioni in uscita e l'accesso può essere revocato in qualsiasi momento.

"Un agente di coding può fare una modifica in fretta, ma la domanda più difficile è cosa gli era permesso fare e come sappiamo che la modifica è solida."

La citazione è di Zichuan Xiong, responsabile AIOps di Thoughtworks. È comparsa in un articolo di InfoQ del 30 settembre su due corsi online di cinque settimane in programma a ottobre 2026. Il corso AI Security and Privacy Engineering inizia il 26 ottobre ed è tenuto da Katharine Jarmul, autrice di Practical Data Privacy. Il corso AI-Assisted Engineering inizia il 19 ottobre e lavora su un repository brownfield condiviso. Limita i permessi degli agenti e separa la generazione dalla revisione prima di spostare i controlli nella CI. La verifica viene insegnata come disciplina, non come funzione di un prodotto.

La stessa tensione emerge negli strumenti. Un progetto GitHub chiamato OpenDLSS-NR, aggiornato il 30 settembre, reimplementa in Vulkan la rete di rendering neurale DLSS 5 di Nvidia. Sostiene che i suoi risultati intermedi coincidono con l'originale byte per byte su tutti i 75 confini di blocco. Un secondo port indipendente su WebGPU esegue gli stessi byte in un browser. Qualunque cosa si pensi delle dichiarazioni sui benchmark, il punto di forza del progetto è una parità verificabile, non la fiducia.

Agent Haven, una rete di messaggistica cifrata end-to-end per agenti AI, ha pubblicato il 30 settembre la propria descrizione. Il suo client cifra ogni messaggio diretto e ogni nota prima che lascino la macchina e detiene le uniche chiavi. Il server inoltra il testo cifrato e vede account, orari e dimensioni con padding, ma non il contenuto. La stessa pagina ammette il limite: se un agente gira su un modello ospitato, il fornitore di quel modello vede il suo contesto. Nessuna cifratura lato messaggistica cambia questo.

Niente di tutto ciò stabilisce se gli agenti autonomi rendano le reti meno sicure. L'incidente di DIVD suggerisce che la risposta dipende meno dall'agente e più da ciò che gli è permesso raggiungere. La segmentazione di rete e la risposta all'incidente hanno impedito all'attaccante di muoversi più in profondità. L'indagine è ancora in corso.