Il rapporto di Kaspersky e la sua portata
Il 2 novembre 2026 Kaspersky ha rilasciato su Securelist il documento “CyberStrikeAI in the wild: the use of AI in real‑world attacks on organizations”, firmato da Kirill Antonov, Vladislav Vlasov e Dmitry Chizhmak del Threat‑Research‑Team. In contemporanea è stata pubblicata una press release che riassume i risultati chiave.
Il rapporto descrive intrusioni in “organizzazioni del settore educativo in più paesi dell’Africa e dell’America Latina”. Non vengono indicati i nomi delle istituzioni, il numero esatto di vittime né i paesi specifici, ma Kaspersky afferma di aver osservato l’attività tra settembre e ottobre 2026 grazie a una “monitoraggio proattivo delle minacce”.
Il documento è inserito nell’Orca AI Incident Archive con una valutazione di gravità, un punteggio di confidenza e una lista completa di fonti. Il livello di fiducia “A” dell’archivio indica che i due documenti (rapporto e press release) sono coerenti e forniscono dettagli tecnici, ma non costituisce una verifica indipendente da parte di altre organizzazioni.
Come è stata ricostruita l’attacco
Secondo Kaspersky, l’attacco è iniziato con un operatore umano che ha compromesso un server Microsoft SQL. Dopo una pausa di due settimane, l’attaccante ha avviato l’agente CyberStrikeAI. Nei successivi tre‑quattro giorni sono stati compromessi account di dominio amministratore, e la fase finale – movimento laterale, dump massivo di credenziali e esportazione di database – è stata completata in meno di un’ora.
Il rapporto non menziona alcuna conferma da parte di università, ministeri dell’istruzione o team nazionali di risposta agli incidenti. Al 9 novembre 2026 nessuna delle presunte vittime ha riconosciuto pubblicamente l’intrusione, e Kaspersky ha deciso di non divulgare le identità per proteggere le parti coinvolte.
Riferimenti a campagne correlate
- Team Cymru ha correlato l’infrastruttura di CyberStrikeAI a una campagna di gennaio‑febbraio 2026 contro più di 600 dispositivi FortiGate, osservando 21 indirizzi IP distinti tra il 20 gennaio e il 26 febbraio.
- Trend Micro (TrendAI) ha pubblicato una ricerca il 23 ottobre 2026 che descrive un operatore con 44 agenti CyberStrikeAI attivi, colpendo almeno 19 organizzazioni, di cui 16 in Giappone, in un breve periodo di validazione.
- La Cloud Security Alliance, nella sua nota del 28 ottobre 2026, ha concluso che nessuna fonte pubblica aveva collegato le diverse campagne di CyberStrikeAI a un unico attore, ma ha confermato l’uso del framework in attacchi reali.
Il funzionamento di CyberStrikeAI
CyberStrikeAI è una “piattaforma modulare open‑source scritta in Go per automatizzare i penetration test”. La caratteristica distintiva è la separazione delle funzioni intelligenti dal componente di compromissione.
Il server di comando e controllo (C2) ospita il modello linguistico (LLM). Questo modello ha accesso a tutti gli strumenti di ricognizione, exploit, gestione delle web‑shell e assegnazione dei compiti agli agenti, tutti presentati come “MCP‑Tools” all’interno di un unico processo server. Il modello decide quale strumento eseguire successivamente, generando i comandi da inviare.
L’implant, d’altra parte, è deliberatamente “stupido”. Kaspersky lo descrive come “un classico agente C2 senza funzionalità di IA: nessuna chiave API, nessuna chiamata a servizi di IA esterni e nessuna logica autonoma”. L’agente interroga il listener via HTTP/S, TCP o WebSocket, esegue comandi di shell e accede al file system, ma non esegue alcun modello AI sul network della vittima.
Questa divisione è sintetizzata da Kaspersky con la frase: “Le decisioni sono distribuite su due livelli: l’operatore definisce il compito in forma generale, mentre il modello determina come eseguirlo”.
Ruolo dell’intervento umano
Nonostante l’automazione avanzata, la presenza di un operatore umano è fondamentale. L’operatore imposta gli obiettivi, fornisce al modello il contesto iniziale (ad esempio, “ottenere accesso amministrativo al dominio”) e supervisiona il processo, intervenendo quando necessario. Il modello non è autonomo; agisce solo entro i limiti dei compiti definiti dall’operatore.
Implicazioni per la sicurezza informatica
L’uso di un LLM per orchestrare attacchi evidenzia una nuova frontiera delle minacce: l’automazione basata su intelligenza artificiale può ridurre i tempi di esecuzione e aumentare la precisione delle operazioni. In questo caso, l’intera catena – dalla ricognizione al dump di credenziali – è stata completata in poche ore, con una rapidità che sarebbe difficile da replicare manualmente.
Le organizzazioni educative, spesso con budget limitati per la sicurezza, risultano particolarmente vulnerabili. L’attacco dimostra come un semplice compromesso iniziale (ad esempio, un server SQL) possa essere amplificato da un framework AI, trasformando una vulnerabilità di livello medio in un compromesso di dominio completo.
Inoltre, la natura open‑source del tool rende più facile per gli attori maligni reperire, modificare e distribuire il framework, aumentando il rischio di diffusione su larga scala.
Raccomandazioni operative
- Monitorare le comunicazioni C2: identificare traffico anomalo verso server che potrebbero ospitare LLM, soprattutto su protocolli HTTP/S, TCP e WebSocket.
- Rafforzare la segmentazione di rete: limitare i privilegi di servizio e isolare i database critici per impedire movimenti laterali rapidi.
- Implementare il controllo delle credenziali: utilizzare soluzioni di password vault e MFA per gli account di dominio amministratore.
- Audit dei componenti open‑source: verificare le versioni di strumenti pen‑test open‑source presenti nell’infrastruttura e valutarne l’eventuale abuso.
- Formazione del personale: sensibilizzare gli amministratori sui rischi di AI‑assisted attacks e sulle procedure di risposta rapida.
Conclusioni
Il caso CyberStrikeAI, documentato da Kaspersky, dimostra che i grandi modelli linguistici non sono più confinati a scenari di generazione di testo, ma possono essere impiegati per dirigere operazioni di compromissione a livello di dominio. La separazione tra il “cervello” AI sul server C2 e l’agente “muscolo” sul host vittima consente di mantenere il controllo centralizzato, riducendo al minimo la superficie di attacco del modello stesso.
Le evidenze raccolte da altre organizzazioni – Team Cymru, Trend Micro e la Cloud Security Alliance – confermano che CyberStrikeAI è già stato utilizzato in campagne diverse, sebbene non siano state collegate direttamente alle intrusioni nel settore educativo riportate da Kaspersky. Questo suggerisce un ecosistema di attori che condividono strumenti, ma operano in contesti distinti.
Per le istituzioni educative e per le organizzazioni in generale, la lezione è chiara: la protezione non può più limitarsi a difendere le vulnerabilità note, ma deve includere una vigilanza attiva contro l’automazione AI‑driven, con monitoraggio continuo, segmentazione rigorosa e risposta rapida alle anomalie. Solo così sarà possibile contenere la velocità e la sofisticazione di attacchi come quelli orchestrati da CyberStrikeAI.