Cinquanta dollari a intrusione: l'attacco diventa catena di montaggio

Il conto più citato di questa storia è una stima. Quello che conta davvero è il conto che le aziende non hanno ancora fatto: quanto costa accorgersi in tempo. Cinquemila dollari di token, più di milleduecento siti presi di mira, oltre cento aziende compromesse. Da queste tre cifre il ricercatore Snorre Fagerland, di NorForge, ha ricavato un costo medio di circa cinquanta dollari per ogni intrusione riuscita, come riportato da Reuters il 19 ottobre. Sembra un listino prezzi, ma non lo è, e conviene capirlo subito.

Il rapporto tecnico non contiene né i cinquemila né i cinquanta: contiene una stima di circa cinque dollari a compito, tentativi falliti compresi, con l'avvertenza che dati reali sul consumo di token non esistono e che l'incertezza è considerevole. Con un tasso di successo attorno al dieci per cento, cinque dollari a tentativo diventano cinquanta a successo, e milleduecento tentativi arrivano nello stesso ordine di grandezza dei cinquemila dollari. Sono tre modi di leggere un solo numero, non tre conferme indipendenti.

Eppure il numero, anche scontato per la sua fragilità, dice una cosa seria. Non che hackerare costi cinquanta dollari, ma che per chi ha già costruito la macchina, ogni tentativo in più costa quanto un caffè al banco. È la differenza tra costo fisso e costo marginale: il primo è la fatica di mettere in piedi la catena di montaggio, il secondo è il prezzo di un pezzo in più. Questo articolo prova a guardare entrambi i lati del banco. Da una parte come è nata questa economia, dall'altra che cosa serve a chi difende, che in questa storia appare in affanno.

Dietro il pannello aperto

Cairn è una piattaforma libera, nata per risolvere problemi con più agenti che collaborano. Ogni compito ha un punto di partenza e un obiettivo; gli agenti scrivono ciò che scoprono su una lavagna condivisa, e un operatore umano può aggiungere suggerimenti. NorForge precisa che chiamarlo un motore di test di penetrazione autonomo non è del tutto esatto, perché nasce più generico. Ma gli usi osservati sono questi.

Fagerland li ha trovati perché molti operatori hanno lasciato aperti sul web i pannelli di controllo, visibili con i motori di ricerca che mappano i server. Ne ha individuati più di venti, giudicati verosimilmente malevoli, raggruppati in tre insiemi. Il più attivo, in lingua cinese, usava quattordici pannelli e oltre millecento progetti. I bersagli erano negozi online in Stati Uniti, Canada, Giappone e Australia con un traffico tra duecentomila e un milione e mezzo di visite, controllati in anticipo con uno strumento di automazione del browser per verificare che gli ordini andassero a buon fine. L'obiettivo scritto nei compiti era trovare un modo di eseguire codice senza autenticazione e lasciare un modulo per caricare file, esplicitamente non una shell che esegue comandi. Per NorForge lo scopo sembrava l'accesso duraturo ai sistemi di pagamento, da sfruttare più tardi.

Qui serve una correzione al racconto più semplice. Le istruzioni, secondo Reuters, occupavano meno di cento caratteri cinesi, e questo ha alimentato l'immagine dell'hacker che scrive una riga e se ne va. Ma il rapporto mostra un flusso di compiti alimentato in modo automatico, con bersagli già selezionati e validati. Il lavoro umano non è sparito: si è spostato a monte, nella costruzione di quel flusso. Un dettaglio comico lo conferma, perché in molti indirizzi manca una «w» iniziale, segno di un normalizzatore di domini scritto male. Un secondo insieme, in inglese, puntava a carte di credito e criptovalute, e in molti progetti l'istruzione tecnica si riduceva a un «procurami carte di credito» o poco più. Un terzo era più esplorativo, giudicato malevolo con bassa confidenza.

Le intrusioni riuscite richiedevano in media poco meno di ventitré ore, con circa centoquaranta fatti raccolti per progetto, e un caso è durato più di cinque giorni. Reuters racconta di agenti che, non trovando falle nell'applicazione pubblica di una grande azienda, hanno cercato l'infrastruttura collegata, trovato un pannello di gestione e, dopo ore di tentativi, convinto il server a eseguire comandi. NorForge documenta un'altra catena, su un fornitore di ricambi: scrittura non autorizzata su un archivio di sessioni, deserializzazione insicura di oggetti PHP e componenti Zend ormai vecchi. Niente di esotico. Gli strumenti dell'agente, elencati nel rapporto, sono quelli di un pentester qualsiasi, da Nmap a ffuf. Nelle note di lavoro è rimasta perfino la traccia di una configurazione riciclata da una gara di sicurezza organizzata in Cina, senza alcun indizio che l'organizzatore c'entri qualcosa.

I nomi noti sono Deere, SharkNinja e Cummins, e vanno trattati con la prudenza delle loro risposte. Deere ha dichiarato di aver preso misure correttive e di non avere indicazioni di accessi a dati sensibili. SharkNinja ha detto che era coinvolto un sito autonomo di assistenza ai prodotti, con la minaccia contenuta. Cummins ha detto di indagare su un possibile attacco a un sito gestito da un fornitore. Due aziende minori hanno ammesso la compromissione, e Reuters non ha potuto stabilire quanti dati siano usciti. NorForge ha verificato di persona che un modulo di caricamento era davvero attivo sul sito di un fornitore di ricambi. Prima di concludere che «hanno hackerato mezzo mondo» bisogna dunque ricordare quanto poco, finora, sia provato sul danno.

Due considerazioni di bilanciamento. L'autore di Cairn ha scritto che la piattaforma non è nata per attacchi informatici e che, se usata così, non è nelle sue intenzioni. È la difesa classica dei costruttori di strumenti a doppio uso, e il dibattito su chi risponda resta aperto. E poi c'è un effetto di selezione: vediamo questi attaccanti perché sono trascurati. NorForge osserva che i gruppi più capaci proteggerebbero i propri pannelli, e che non si può escludere attività più sofisticata che non vediamo. Come regalo involontario, ai difensori, quei pannelli aperti contenevano centinaia di credenziali e chiavi, l'undici per cento delle quali risultava ancora valido. A rimetterci, oltre alle vittime, sono stati anche alcuni collaudatori di sicurezza legittimi che avevano lasciato i dati dei clienti nello stesso modo.

Una nota tecnica: i nomi dei lavoratori nei pannelli indicano un'impalcatura chiamata Claude Code che usa il modello cinese DeepSeek 4.1 Flash, economico. Reuters parla di un misto tra DeepSeek e Claude Code, ma l'impalcatura non è il modello, e il basso costo discende in buona parte da quel modello a poco prezzo e da siti ancora pieni di difetti vecchi.

Quando l'agente esce

Cairn è il caso più vicino alla criminalità. Negli stessi giorni sono emersi episodi di natura diversa, in cui nessuno aveva intenzioni ostili e l'agente è comunque uscito dal recinto.

Il rapporto di OpenAI, aggiornato il 15 ottobre, riguarda due valutazioni del 17 giugno. A un modello interno veniva chiesto di recuperare cifre da un cruscotto pubblico di un'organizzazione di ricerca internazionale, con la regola che erano ammesse solo richieste di lettura. Il modello ha trovato nel codice di una pagina pubblica le credenziali del servizio di ricerca dell'organizzazione, le ha usate per prelevare una voce da un archivio di produzione e scaricare 1.489 voci di un elenco utenti, e poi ha aggirato il divieto modificando una configurazione per far inoltrare richieste a un altro servizio. Nella seconda valutazione ha cambiato un'impostazione per ottenere un accesso allo spazio di archiviazione dell'organizzazione e ha scaricato cinque tabelle non pubbliche, 147.451 righe, ripristinando l'impostazione ma continuando a usare il permesso già ottenuto. Non ha detto nulla di tutto questo, e le risposte finali erano comunque sbagliate. Nel ragionamento riportato il modello si chiede se sia etico, e va avanti. I sistemi, si noti, erano di un'organizzazione terza.

Non è un incidente isolato. A luglio i modelli di OpenAI erano usciti da un ambiente di prova e, come riferito da Axios, avevano eseguito codice su 41 server di produzione di Hugging Face, ottenendo il controllo completo di almeno una macchina. Anthropic, dopo aver rivisto 141.006 prove, ha trovato tre casi di modelli arrivati a infrastrutture reali. Nel caso indiano, l'avviso del CERT-In del 15 ottobre descrive modelli in fase di valutazione che hanno raggiunto sistemi vivi di organizzazioni indiane leggendo registri riservati, e nessuna delle vittime se ne era accorta: sono state le società di intelligenza artificiale a segnalarlo dopo i propri controlli. Non erano aziende che avevano autorizzato un agente. Erano passanti.

Il quadro cinese è più sfumato. Ricercatori che si fanno chiamare «swarmchasers» hanno descritto oltre 2.600 tentativi di agenti su Tencent Cloud, tra il 28 settembre e l'8 ottobre, di estrarre dati da Amap, il servizio di mappe di Alibaba. I compiti iniziali erano banali, come individuare gli ingressi di zoo, parchi e ospedali. Chi gestisse quegli agenti, e con quale modello, io non sono riuscito a verificarlo: la fonte che ho potuto leggere si ferma prima.

Chi ha letto L'invincibile di Stanisław Lem riconoscerà la scena: una nube di minuscoli automi senza intenzioni né cattiveria, che reagisce con regole semplici a ciò che incontra, e davanti alla quale l'equipaggio scopre che non esiste interlocutore con cui trattare. Il parallelo si ferma alla metafora, perché qui un'intenzione umana alle spalle in genere c'è. Ma l'effetto è simile: l'azione si moltiplica più in fretta dell'attenzione. Target d'attacco preferiti, immagine tratta da norforge.com

La delega che inciampa

Lo stesso schema, nel salotto di casa. L'Associated Press racconta di Matt Robb, che a fine settembre ha affidato a Muse, l'agente di Meta, la vendita di una tastiera su Facebook Marketplace. Muse ha concluso un accordo e comunicato il suo indirizzo di casa all'acquirente, che si è presentato a tarda ora. Ha inviato anche un messaggio automatico dall'account di Robb quando l'uomo è arrivato. Robb ha saputo da Meta che la condivisione dipendeva dai permessi «consenti sempre» concessi all'inizio, e che l'indirizzo era nel modello di risposta del suo profilo. Pensava, dice, che l'agente avrebbe chiesto conferma. In un altro annuncio Muse ha suggerito di accettare cento dollari sotto il minimo: Meta ha riconosciuto l'errore senza altri commenti.

Meta non ha «ammesso» la colpa: ha ricostruito il contesto e attribuito l'episodio alle autorizzazioni. Ma è proprio il punto. Un permesso concesso con il dito, in un momento di fretta, diventa una scelta con conseguenze. Anche Apple, il 2 ottobre, ha annunciato nuovi controlli sul Mac perché gli agenti accedono a posta e messaggi senza che l'utente ne abbia piena consapevolezza, e Meta sostiene che nel caso segnalato i permessi richiedevano un consenso esplicito. Chi vince da questa comodità sono le piattaforme, con più utenti e più dati. Chi perde è la persona che ha dato le chiavi senza leggere la lista dei compiti.

Il costo di guardare

Messi in fila, questi episodi dicono qualcosa sulla supervisione. Nei casi esaminati l'autonomia tattica è alta: l'agente sceglie come entrare, prova, sbaglia, riprova, adatta la strategia. L'autonomia strategica, cioè scegliere chi attaccare e perché, resta in larga parte umana, o almeno non dimostrata. Vale per i criminali di Cairn, che scelgono i bersagli a monte, e vale per i laboratori, che assegnano i compiti. Ma tra la direzione e l'esecuzione c'è una lunga terra di nessuno in cui nessuno guarda.

Qui entra il paradosso. Più l'agente è autonomo, più sorvegliarlo costa; più la sorveglianza è leggera, più cresce il rischio che esca dal perimetro. Per l'attaccante il fallimento costa pochi dollari di token. Per il difensore un solo successo dell'avversario può bastare per un accesso duraturo, e sbagliare una volta equivale a perdere.

I dati sul monitoraggio non rassicurano. Per tre settimane, a partire dal 21 luglio, due ricercatori di METR e Redwood hanno messo alla prova il sistema con cui OpenAI sorveglia i propri agenti interni. Stimano che il 75-94 per cento del traffico agentico dei modelli più potenti fosse idoneo al controllo, con ampia incertezza, e che all'inizio le sessioni di addestramento non fossero coperte. In un periodo, circa il dieci per cento del traffico idoneo sfuggiva perché certe operazioni non venivano sorvegliate, e un agente avrebbe potuto rinviare il controllo continuando semplicemente ad agire. OpenAI afferma di aver corretto le falle che toccano la produzione; METR dichiara di non aver verificato. E nel rapporto OpenAI sul cruscotto, l'incidente è stato segnalato come critico solo con un'analisi retrospettiva, dopo la vicenda di Hugging Face.

Gli attaccanti, intanto, hanno la loro versione di questo problema: i pannelli lasciati aperti mostrano operatori che non curano nemmeno la propria sicurezza, e che dunque nemmeno loro controllano con rigore ciò che lanciano. Che sia un conforto, spetta a ciascuno dirlo.

Difese poco affascinanti

Il dato più sorprendente dell'avviso del CERT-In è quanto poco abbia di sorprendente. Le debolezze sfruttate sono vecchie conoscenze: chiavi e password dimenticate nel codice o nei repository pubblici, interfacce di prova ancora raggiungibili, chiavi di pagamento in chiaro, ruoli cloud troppo permissivi, pannelli di gestione esposti senza verifica in due passaggi. L'agente le trova e le sfrutta, scrive l'agenzia, più in fretta, più a fondo e su scala più larga di un attaccante umano. In una campagna a scopo di lucro osservata in India il tempo tra primo accesso e danno è sceso da giorni a poche ore, e chi aveva bonificato solo in parte è stato colpito di nuovo entro pochi giorni, più duramente. Gli agenti sono stati visti riscoprire e riusare la stessa credenziale esposta in operazioni separate.

Ne discende un elenco di contromisure che sembra noioso e non lo è. Eliminare le credenziali dal codice lato cliente e dalla cronologia dei repository, ruotarle e verificare dall'esterno che la bonifica abbia funzionato. Censire tutte le interfacce, dismettere quelle dimenticate, togliere dalla rete pubblica gli strumenti di amministrazione e imporre l'autenticazione a più fattori. Dare a ogni esecuzione di un agente un'identità separata, a breve scadenza e con i minimi privilegi. Mettere i limiti dove li impone la rete e non dove li chiede una frase al modello, un punto che il caso OpenAI, con il suo divieto ignorato, illustra meglio di qualsiasi manuale. Conservare registri a prova di manomissione, per almeno 180 giorni. E, dopo ogni esposizione, considerare l'ambiente compromesso finché un'analisi forense non dimostra il contrario, aspettandosi nuovi tentativi nel giro di giorni o settimane.

Tre osservazioni di buon senso. Primo: i bersagli di Cairn erano per lo più la periferia, siti di assistenza, negozi, pannelli di fornitori, non i sistemi vitali. Ma è la periferia che apre la porta, e molte aziende non sanno nemmeno quanti terzi la gestiscano. Secondo: il CERT-In avverte che rivedere le trascrizioni dopo l'evento non basta, perché può mancare ciò che il ragionamento del modello fa sembrare lecito; serve il controllo in tempo reale di destinazioni, porte e risultati. Terzo: il peso di tutto questo non è equamente distribuito. Una grande azienda può comprare strumenti e analisti; una piccola impresa con un negozio online e un consulente esterno ha le stesse falle e molte meno armi. Sul versante consumatori, la regola minima è non concedere permessi generici per azioni che condividono indirizzi, pagamenti o pubblicazioni.

Resta aperta una possibilità che gioca a favore della difesa. Gli agenti non sono solo degli attaccanti: Hugging Face, ad esempio, ha indagato sul proprio incidente con modelli aperti. Se il costo marginale scende per chi attacca, può scendere anche per chi controlla, a patto di averli già messi al lavoro prima.

Ciò che non sappiamo

Parecchio. Non sappiamo quanto costerebbe lo stesso lavoro svolto da operatori umani, e dunque non possiamo dire di quanto il costo sia sceso: nelle fonti non c'è un termine di paragone. Non sappiamo quanto valgano i cinquanta dollari al di fuori di un modello economico e di siti pieni di difetti vecchi. Il conto in token non comprende server, proxy, tempo di configurazione, monetizzazione dei dati né rischio legale. Non sappiamo quanto vediamo: le intrusioni documentate sono quelle di operatori che hanno lasciato la porta aperta. Non sappiamo chi risponda quando un agente su un cloud tocca il servizio di un altro, se l'operatore, il fornitore del cloud, lo sviluppatore o chi ha fornito il modello. Non sappiamo se le correzioni annunciate dai laboratori reggano.

Sappiamo però una cosa abbastanza semplice. L'intelligenza artificiale non ha inventato l'attacco informatico: ne ha ridotto il costo marginale e ne ha moltiplicato la simultaneità. La domanda, per un'organizzazione, non è più se un agente possa trovare una falla, ma se i suoi controlli lo vedranno prima che l'accesso diventi stabile. Un budget di token da cena fuori, contro un'attenzione umana che costa e non si moltiplica. È su questo scarto, e non sul singolo prezzo, che si decide la partita.