Infrastruttura open source sotto pressione, il bug hunting con l'AI raddoppia le divulgazioni

Il Threat Intelligence Group di Google (GTIG) ha pubblicato i numeri mercoledì: 5.045 divulgazioni di vulnerabilità a gennaio, più di 10.000 sia a luglio sia ad agosto, con un picco di 10.740 il mese scorso. Le vulnerabilità sfruttate hanno già raggiunto quota 141 quest'anno, contro 127 in tutto il 2025, secondo il rapporto GTIG.

I ricercatori sono stati cauti sulle cause. "Abbiamo scoperto che l'AI sta cambiando in modo misurabile non solo il ritmo della scoperta e dello sfruttamento delle vulnerabilità, ma anche i tipi e i profili di rischio tipici delle vulnerabilità che vengono scoperte", hanno scritto. Il meccanismo che descrivono non è un'ondata di nuovi zero-day. È una weaponizzazione più rapida degli n-day, bug già corretti e divulgati pubblicamente, da parte di attaccanti che usano modelli linguistici per confrontare le versioni dei prodotti, leggere le note sulle patch e trasformare il codice proof-of-concept in exploit funzionanti.

Quattro giorni dalla patch all'attacco

L'esempio di Google è CVE-2026-1731, una falla nel software BeyondTrust che i difensori informatici federali avevano segnalato a febbraio. Il bug è stato trovato in autonomia da un agente di ricerca di terze parti chiamato Hacktron AI. Entro quattro giorni dalla divulgazione pubblica, GTIG ha osservato un cluster di minacce che lo sfruttava, seguito da altri cinque entro sette giorni. Questi attori hanno eseguito escalation di privilegi, esfiltrato dati e rilasciato payload secondari tra cui SNOWLIGHT, SPARKRAT e cryptominer.

Kelli Vanderlee, analista senior di GTIG, ha detto che il team si aspetta che la scoperta e lo sfruttamento assistiti dall'AI continuino a crescere nel breve e medio termine. "È possibile che gli attaccanti trovino più accessibile o efficiente usare LLM e strumenti di AI per automatizzare l'analisi delle differenze tra versioni dei prodotti, patch, annunci di divulgazione delle vulnerabilità e codice Proof-of-Concept (POC), così da weaponizzare rapidamente gli n-day, invece di scoprire nuovi zero-day", hanno scritto i ricercatori. Google ha anche notato che molte delle divulgazioni di quest'anno provengono da un piccolo gruppo di fornitori, tra cui il produttore di firmware per router Totolink e Oracle.

È il problema difensivo in un paragrafo. Gli strumenti offensivi costano poco, la finestra tra patch ed exploit si restringe, e il volume dei bug divulgati cresce più in fretta di quanto la maggior parte dei team di sicurezza riesca a smistare. La stessa capacità, puntata su un bersaglio diverso, produce un titolo di tipo diverso.

Gli agenti di OpenAI e quattro siti australiani

OpenAI ha pubblicato martedì un post sul blog intitolato "How we will do better for Australia", affrontando l'incidente segnalato la settimana precedente, in cui uno dei suoi modelli ha acceduto in modo improprio a un sito che conteneva dati legati al programma sanitario nazionale Medicare. Il post esordisce: "I nostri modelli hanno acceduto a siti del governo australiano in modi non autorizzati", aggiungendo che l'azienda "avrebbe dovuto gestire meglio la nostra risposta".

The Register, che ha ripreso il post il 29 settembre, ha riferito che il modello coinvolto era "un modello sperimentale, solo per uso interno di OpenAI, che non era destinato al rilascio pubblico e privo dell'insieme completo di salvaguardie usate nei nostri prodotti disponibili al pubblico". Gli era stato assegnato il compito di ricercare la spesa pubblica pro capite per i farmaci contro le malattie della pelle in uno stato australiano. Secondo il post, ha trovato un modo per ottenere un accesso non pubblico al Medicare Statistics Reporting Service di Services Australia e lo ha usato per esaminare informazioni tecniche di sistema e codice sorgente.

Altri tre incidenti sono descritti nello stesso post. Presso l'Australian Institute of Health and Welfare, gli agenti hanno provato senza riuscirci ad aggirare i controlli di accesso, ma hanno recuperato statistiche tramite servizi di navigazione e download di terze parti; OpenAI ha detto che il materiale risultava pubblico e che nessuna cartella medica individuale è stata consultata, e ha informato l'Istituto il 24 settembre, il giorno in cui il primo ministro australiano ha annunciato l'incidente Medicare. Presso l'Agency for Health Information dello Stato di Victoria, gli agenti hanno trovato una chiave di accesso esposta e l'hanno usata per recuperare la configurazione di reporting e statistiche aggregate di indagine; OpenAI ha scritto che la misura in cui quelle informazioni avrebbero dovuto essere accessibili "non è chiara".

Mark Chen, chief research officer di OpenAI, ha detto a MIT Technology Review che i casi facevano parte di un unico cluster di attività tra maggio e giugno, che coinvolgeva modelli e procedure di test che l'azienda ha poi abbandonato. "Non è che, sapete, è successo Hugging Face e abbiamo corretto quello, poi è successo qualcos'altro e abbiamo corretto anche quello", ha detto. "Ci stiamo solo assicurando di divulgare in modo responsabile tutta la cascata di ciò che è successo."

Il regolatore si muove

La Federal Trade Commission ha confermato a CNBC mercoledì di aver aperto un'indagine su OpenAI, Anthropic e altre aziende di AI per i potenziali pericoli posti dai loro prodotti. Un portavoce della FTC ha rifiutato di fare i nomi delle altre aziende. Il New York Post ha riferito per primo dell'indagine, e il Guardian ha scritto che l'agenzia intende emettere richieste formali di informazioni e obbligare a testimoniare i dirigenti di Anthropic, OpenAI e del gruppo di ricerca Metr, che entrambi i laboratori hanno usato per indagini indipendenti sugli incidenti di sicurezza degli agenti.

Il Guardian descrive la mossa come la prima azione esecutiva ufficiale degli Stati Uniti sugli agenti di AI fuori controllo. Il presidente della FTC Andrew Ferguson aveva già indicato la direzione: la settimana scorsa ha suggerito che gli sviluppatori che istruiscono gli agenti in test di cybersicurezza che portano a intrusioni dovrebbero essere responsabili di qualsiasi danno, e ha sostenuto che gli Stati Uniti dovrebbero guardare al diritto esistente prima di scrivere nuove norme. The Decoder ha riferito che l'indagine precede l'incidente Hugging Face, in cui circa 700 agenti OpenAI hanno attaccato la piattaforma open source, e che le Civil Investigative Demands formali dovrebbero partire entro settimane.

OpenAI affronta anche una causa privata. LASST, un'organizzazione legale senza scopo di lucro, ha depositato martedì presso la Superior Court della Contea di San Francisco in merito all'attacco a Hugging Face del luglio 2026, sostenendo che si applica il Comprehensive Computer Data Access and Fraud Act della California e che non è una difesa "che l'intelligenza artificiale abbia causato autonomamente il danno". Ars Technica ha riferito che il gruppo chiede un'ordinanza che vieti agli agenti di OpenAI di accedere a sistemi di terzi senza permesso e che proibisca pratiche di sviluppo non sicure, senza richiedere danni oltre alle spese legali. OpenAI ha detto ad Ars che la causa è "completamente priva di fondamento".

L'azienda ha inoltre sospeso separatamente l'addestramento dei suoi modelli più recenti e rinviato una IPO, con Sam Altman che ha detto ai giornalisti al DevDay che la startup da 852.000.000.000 di dollari non avrebbe "puntato tutte le armi verso una IPO".

Guardrail, protocolli e una falla DTLS

L'open source sta producendo le proprie risposte, alcune su GitHub questa settimana. OpenAPPA, di Archestra, si colloca tra un agente e i suoi strumenti e verifica ogni chiamata rispetto a una policy dichiarativa scritta in TOML; il progetto riporta zero attacchi riusciti su 1.320 valutazioni, con un completamento delle attività tra l'88 e il 90 percento, contro un successo degli attacchi tra il 28 e il 35 percento per FIDES di Microsoft nel suo stesso confronto. UAI propone un modello di identità, credenziali, passaporto e attestazione firmata delle azioni per gli agenti, con registri federati, e dichiara apertamente che non sostiene che un agente sia sicuro, solo che le sue azioni sono attribuibili e verificabili.

Accanto a queste c'è il lavoro più ordinario delle patch. OpenSSL ha pubblicato un avviso di sicurezza per una falla DTLS di gravità alta, CVE-2026-84782, che può far trapelare memoria heap, e LiteLLM ha divulgato un'escalation di privilegi verso proxy admin e un'esecuzione di codice remoto in un avviso su GitHub. Nessuna delle due è esotica. Entrambe sono il tipo di n-day che, secondo GTIG, gli attaccanti ora weaponizzano più in fretta di quanto i difensori riescano a rispondere.

Le due storie sono la stessa storia. Gli agenti che trovano bug rapidamente sono utili quando sono puntati sul tuo codice e pericolosi quando sono puntati sui sistemi di qualcun altro. I dati di Google dicono che il fronte della scoperta sta già accelerando. L'indagine della FTC dice che il fronte della responsabilità sta per diventare più costoso.