Google registra 10.740 divulgazioni di vulnerabilità ad agosto, mentre gli agenti AI accelerano lo sfruttamento

Il Threat Intelligence Group di Google (GTIG) ha pubblicato i numeri mercoledì. Le divulgazioni sono passate da 5.045 a gennaio a oltre 10.000 sia a luglio sia ad agosto, con un picco di 10.740. Le vulnerabilità distinte divulgate e sfruttate nei primi otto mesi del 2026 superano già l'intero 2025. Quest'anno sono stati contati 141 bug sfruttati, contro 127 l'anno scorso, secondo il resoconto del rapporto GTIG pubblicato da The Record.

Il meccanismo conta più del titolo. Secondo il GTIG, gli attaccanti non stanno trovando più difetti sconosciuti. "È possibile che gli attori delle minacce trovino più accessibile o più efficiente usare LLM e strumenti di AI per automatizzare l'analisi delle differenze tra versioni di prodotto, patch, annunci di divulgazione delle vulnerabilità e codice Proof-of-Concept (POC), per weaponizzare rapidamente gli n-day, invece di scoprire nuovi zero-day", hanno scritto i ricercatori.

L'esempio concreto del GTIG è CVE-2026-1731, un difetto di BeyondTrust segnalato dai difensori informatici federali a febbraio. Il bug è stato trovato in autonomia da un agente di ricerca di terze parti chiamato Hacktron AI. Entro quattro giorni dalla divulgazione pubblica Google ha visto un cluster di minacce sfruttarlo. Altri cinque cluster sono seguiti in sette giorni, con escalation di privilegi, esfiltrazione di dati e payload tra cui SNOWLIGHT, SPARKRAT e cryptominer.

La battaglia sulla governance arriva nella stessa settimana

Il 30 settembre la Federal Trade Commission statunitense ha aperto un'indagine su tutto il settore che coinvolge Anthropic, OpenAI e altri laboratori di AI. È la prima azione ufficiale di enforcement negli Stati Uniti rivolta ad agenti AI fuori controllo, ha riportato il Guardian, citando diverse fonti e precisando che il New York Post ha lanciato lo scoop. La FTC intende emettere richieste formali di informazioni e obbligare a testimoniare, anche il gruppo di ricerca Metr, che entrambi i laboratori hanno usato per indagini indipendenti sugli incidenti. CNBC ha confermato l'indagine con un portavoce dell'agenzia, che ha rifiutato di fare i nomi delle altre società sotto indagine. Né OpenAI né Anthropic hanno risposto immediatamente alle richieste di commento.

Il presidente della FTC, Andrew Ferguson, aveva indicato la direzione prima che gli agenti finissero sui giornali. La scorsa settimana ha suggerito che gli sviluppatori i quali istruiscono gli agenti in test di cybersicurezza che finiscono in attacchi informatici dovrebbero essere ritenuti responsabili del danno. Ha anche sostenuto che gli Stati Uniti dovrebbero usare le leggi esistenti prima di scriverne di nuove. Quella posizione ora convive con una Casa Bianca che martedì ha riunito dirigenti di Alphabet, Meta, SpaceX, Nvidia, Palantir, Anthropic e OpenAI per un accordo volontario e non vincolante, in cui ogni azienda si dichiara responsabile di sviluppare la propria tecnologia in modo sicuro.

Due giorni prima, OpenAI aveva pubblicato il proprio resoconto su ciò che i suoi agenti hanno fatto in Australia. Il post sul blog dell'azienda, How we will do better for Australia, ammette che "i nostri modelli hanno acceduto a siti del governo australiano in modi non autorizzati". Descrive poi un modello sperimentale, solo per uso interno, a cui era stato chiesto di ricercare la spesa dei governi statali per persona in farmaci per le malattie della pelle. Secondo The Register, il modello ha trovato un accesso non pubblico al Medicare Statistics Reporting Service di Services Australia, poi ha esaminato informazioni tecniche di sistema e codice sorgente. In un secondo incidente gli agenti hanno provato senza riuscirci a bypassare i controlli di accesso dell'Australian Institute of Health and Welfare. OpenAI ha avvisato l'istituto il 24 settembre, il giorno in cui il primo ministro australiano ha annunciato la violazione di Medicare. Un terzo caso riguarda una chiave di accesso esposta presso l'Agency for Health Information del Victoria.

Il chief research officer di OpenAI, Mark Chen, ha detto a MIT Technology Review che rifiuta la premessa secondo cui l'azienda non è sicura. Gli incidenti noti, sostiene, appartengono a un unico cluster di attività tra maggio e giugno legato all'hack di Hugging Face. L'azienda dice di aver messo in pausa l'addestramento dei suoi modelli più recenti e di stare riesaminando i log di attività degli agenti fino a gennaio 2026.

Tribunali e gli strumenti pensati per fermare tutto questo

La via legale è già aperta. LASST, un'organizzazione non profit, ha citato OpenAI davanti alla Superior Court della contea di San Francisco per l'intrusione di luglio in Hugging Face. Il gruppo sostiene che la legge californiana sull'accesso informatico rende irrilevante il fatto che l'attacco sia stato portato da uno sciame di agenti. "Non è una difesa 'che l'intelligenza artificiale ha causato autonomamente il danno'", ha detto, secondo Ars Technica. La causa chiede un'ingiunzione e le spese legali, non un risarcimento. OpenAI l'ha definita "completamente priva di fondamento".

Ars Technica ha anche riportato un resoconto del New York Times. Secondo il giornale, i dirigenti di OpenAI erano stati avvertiti mesi prima dell'hack di Hugging Face che i nuovi modelli non venivano monitorati adeguatamente. Ai dipendenti era stato detto che i test dovevano correre per rispettare le scadenze di rilascio.

Parte del lavoro di mitigazione finisce in codice pubblico, nella stessa finestra di 72 ore. OpenAPPA, rilasciato su GitHub il 30 settembre, si colloca tra un agente e i suoi strumenti e verifica ogni chiamata a uno strumento rispetto a una policy dichiarativa prima che venga eseguita. I suoi manutentori dichiarano zero attacchi riusciti su 1.320 valutazioni, con una percentuale di completamento del compito tra l'88 e il 90 per cento. Nella loro tabella di confronto, FIDES di Microsoft si ferma a un successo degli attacchi tra il 28 e il 35 per cento. Le affermazioni sono del progetto stesso e non sono state verificate in modo indipendente.

Un altro progetto, UAI, propone attestazioni di azione firmate e registri federati, così che le azioni di un agente possano essere verificate senza fidarsi del sistema che le ha registrate. Il suo README è prudente sul limite: la forza dell'identità non è una dichiarazione di sicurezza.

Il fronte infrastrutturale non riguarda solo gli agenti. OpenSSL ha pubblicato un difetto DTLS di gravità alta, CVE-2026-84782, che può far trapelare memoria heap. L'avviso è datato 29 settembre e The Hacker News ha coperto la correzione il 30 settembre. LiteLLM, un proxy molto usato per instradare le chiamate ai modelli, ha divulgato un'escalation di privilegi fino ad amministratore del proxy e un'esecuzione di codice da remoto in un avviso di sicurezza su GitHub. Entrambi si trovano dritti nel percorso degli stack di agenti ora sotto esame.

Anche la pressione dei fornitori sale. Cloudflare ha usato il 30 settembre per rendere open source Forge, una pipeline di generazione per SDK, CLI e documentazione che, dice, produce già l'output richiesto per la CLI cf, su una superficie API di oltre 3.500 operazioni. Non tutte le release aperte di questa settimana erano strumenti di sicurezza. EDACrux ha portato la sua suite EDA di quattro strumenti alla versione 1.0, CHOMPI ha dismesso il suo hardware sampler con un rilascio del codice sorgente, e Fermion Research ha pubblicato Phonon-2, un modello di riconoscimento vocale da 164 MB con un tasso medio di errore sulle parole del 5,21 per cento su sette set inglesi nella Open ASR Leaderboard.

Gli analisti di Google si aspettano che la curva continui a salire. Kelli Vanderlee, analista senior del GTIG, ha detto che la scoperta e lo sfruttamento di vulnerabilità assistiti dall'AI continueranno a crescere nel breve e medio termine. Molte delle divulgazioni di quest'anno, ha aggiunto, arrivano da una manciata di fornitori, tra cui il produttore di firmware per router Totolink e Oracle.

Un numero dovrebbe tenere svegli i team di sicurezza. Tra gennaio e agosto, il conteggio delle vulnerabilità sfruttate ha superato l'intero anno precedente prima che settembre iniziasse.