Gli attori delle minacce stanno impiegando l'IA agentica in modi sempre più sofisticati per automatizzare aspetti delle loro campagne di hacking, secondo CrowdStrike. "Nel 2026, CrowdStrike Intelligence ha documentato diversi incidenti in cui gli attori delle minacce hanno utilizzato l'IA non solo per creare strumenti o artefatti, ma per condurre campagne agentiche in cui gli agenti IA prendono decisioni ed eseguono comandi", ha affermato l'azienda di sicurezza in un rapporto pubblicato mercoledì.

Il rapporto dettaglia le attività di quattro attori delle minacce, due dei quali utilizzano sofisticate "harness" IA — il software che collega un modello linguistico di grandi dimensioni a risorse esterne, fornendo capacità agentiche — e due che utilizzano harness più semplici. I due gruppi che hanno utilizzato harness semplici sono stati comunque in grado di hackerare "numerose organizzazioni", ha affermato CrowdStrike, "dimostrando che la principale barriera per scalare una campagna di intrusione orchestrata dall'IA non è la complessità ingegneristica, ma i budget di token".

Procedure elaborate per il hacking automatizzato

In un caso, CrowdStrike ha osservato un attore delle minacce che parlava spagnolo e inglese utilizzare un harness per test di penetrazione per prendere di mira organizzazioni sanitarie argentine. La campagna ha avuto successo nell'intrusione in almeno 15 organizzazioni e ha portato al furto di password, nonché di record medici e altri dati sensibili da almeno uno di questi obiettivi. Per eseguire gli attacchi, gli hacker hanno istruito un agente Anthropic Claude Code per agire come supervisore e assegnare compiti a un secondo agente. Gli hacker hanno modificato un framework open-source, PentestGPT, con ulteriori script e capacità di hacking. CrowdStrike ha affermato di aver osservato l'attività tra metà maggio e metà agosto.

Il rapporto descrive gli agenti IA dell'attore delle minacce che pivotano automaticamente da una rete vittima a un'altra, nonché il passaggio da una tecnica (un tentativo di riutilizzare una password hash rubata) a un'altra (utilizzare una funzione di Windows per aprire silenziosamente una connessione dal controller di dominio della vittima all'infrastruttura degli hacker, che ha portato al furto di cinque password).

Un altro attore delle minacce ha utilizzato Claude Code per orchestrare un framework di test di penetrazione, ma in una gamma più ampia di attacchi informatici. L'attore delle minacce, che CrowdStrike ha affermato parlava cinese, ha utilizzato due harness IA per compiti diversi. Un harness ha condotto automaticamente ricognizioni su potenziali obiettivi e ha assegnato compiti di hacking ad altri agenti. L'harness offriva diversi approcci a diverse operazioni di hacking a seconda delle circostanze — in alcuni casi, ha affermato CrowdStrike, Claude Code poteva seguire "una procedura operativa standard elaborata" per hackerare un obiettivo da solo. In altre situazioni, quell'agente poteva "delegare azioni" ad altri "agenti specializzati". Claude era lo strumento principale, ma gli hacker hanno anche costruito un'infrastruttura per utilizzare il servizio ChatGPT di OpenAI e altri.

Gli attacchi del secondo attore delle minacce hanno preso di mira agenzie governative brasiliane e colombiane e aziende brasiliane e americane in diversi settori, tra cui tecnologia, biotecnologia e retail.

Avvertenza ai difensori

Anche i due attori delle minacce che utilizzavano capacità di IA agentica di base sono stati riusciti. Uno di questi attori, un'entità che parlava indonesiano, ha utilizzato più di 800 competenze IA raccolte principalmente da repository GitHub pubblici per assegnare a Claude Code operazioni di hacking. A differenza degli attori più sofisticati, questo gruppo non ha applicato alcuna orchestrazione personalizzata alla configurazione, affidandosi esclusivamente a competenze preconfezionate. "Trova tu stesso il bypass, non contare sul mio aiuto", ha detto l'hacker a Claude, secondo il rapporto di CrowdStrike.

Questo approccio "mani libere" ha occasionalmente portato a problemi. L'attore delle minacce presumeva che le competenze avrebbero guidato con successo l'agente attraverso ogni intrusione, ha affermato CrowdStrike, ma a volte hanno dovuto intervenire per aggirare le guardrail di sicurezza o spingere l'agente a "superare una particolare barriera". Anche così, la campagna ha portato al compromesso di agenzie governative in Indonesia e Bangladesh, nonché di aziende private che CrowdStrike non ha descritto.

L'altro attore delle minacce che utilizzava capacità agentiche semplici parlava russo e ha dato a Claude Code una lista di compiti in sette parti per condurre attacchi. Gli hacker hanno dato all'agente "quasi totale autonomia" per selezionare i metodi di intrusione che riteneva migliori, e gli hanno dato solo istruzioni di alto livello su cosa fare dopo aver ottenuto capacità di esecuzione di codice remoto. Come l'attore che parlava indonesiano, l'attore che parlava russo non ha applicato ulteriori passaggi di orchestrazione.

CrowdStrike ha affermato che l'attore che parlava russo faceva probabilmente parte dell'ecosistema del cybercrimine, dato che il loro flusso di lavoro agentico istruiva Claude Code a inviare notifiche di attività a tre persone, tutte associate ad attività di cybercrimine. Gli attacchi dell'attore che parlava russo hanno portato al furto di "dati clienti aziendali" da una piattaforma di help-desk statunitense e al compromesso di diverse altre entità, tra cui un'agenzia governativa ucraina e società di software-as-a-service in diversi paesi.

Gli attacchi alimentati da IA agentica "aumenteranno quasi certamente in volume e sofisticazione" nei prossimi 12 mesi, ha avvertito CrowdStrike alle aziende. "Man mano che i costi di inferenza diminuiscono e le finestre di contesto del modello si espandono, anche i vincoli di budget dei token diminuiranno, consentendo a più attori delle minacce di scalare le operazioni", hanno scritto gli analisti di CrowdStrike nel rapporto.

L'azienda di sicurezza ha affermato che i suoi dati indicavano un aumento di tre volte delle intrusioni agentiche nella seconda metà del 2026 rispetto alla prima metà dell'anno. "Agosto 2026 ha visto più del doppio degli incidenti probabilmente agentici rispetto a luglio 2026, e settembre 2026 ha visto il doppio degli incidenti probabilmente agentici rispetto ad agosto 2026", ha affermato CrowdStrike.

Nei prossimi 12 mesi, l'IA agentica aiuterà anche gli hacker non qualificati a eguagliare le capacità dei gruppi di cybercrimine sofisticati e delle squadre di stati-nazione, secondo il rapporto. Le campagne risultanti continueranno a essere costellate di errori da dilettanti, hanno scritto gli analisti, ma "la loro scala stessa" renderà comunque l'ambiente delle minacce più pericoloso.