Proteggere l'infrastruttura contro armi che pensano autonomamente

Quanto del vostro piano di risposta agli incidenti presuppone che l'avversario sia una persona che commette errori? Per decenni, la nostra postura di sicurezza si è basata sul fatto che un attaccante fosse umano. Gli esseri umani si stancano. Perdono la concentrazione. Hanno una larghezza di banda limitata per gestire più compiti complessi contemporaneamente. Questa limitazione umana è stata il partner silenzioso nelle nostre strategie di difesa. L'IA agentica ha rimosso questo vincolo. Stiamo entrando in un'era in cui l'arma non ha più bisogno di un guerriero per essere impugnata. Si tratta di un passaggio da strumenti che assistono a strumenti che agiscono.

Ho osservato questa evoluzione in prima linea. Nel 2023, ho pubblicato un whitepaper presso il SANS Technology Institute. Dimostrava come anche utenti non esperti potessero indurre i chatbot a generare malware funzionale. All'epoca, l'IA era una penna sofisticata. Aiutava a scrivere il codice, ma un essere umano doveva ancora copiare, incollare ed eseguire l'attacco. Entro il 2025, questa dinamica è cambiata con l'introduzione degli agenti autonomi. Oggi, nel 2026, il guinzaglio non c'è più. L'agente è l'operatore.

Il guinzaglio è spezzato

La differenza fondamentale tra l'IA di tre anni fa e i modelli agentici di oggi è il ciclo di feedback. Le precedenti iterazioni dell'IA offensiva erano reattive. Si forniva un prompt e si otteneva una risposta. L'IA agentica è proattiva. Riceve un obiettivo e poi sceglie quali strumenti utilizzare per raggiungerlo. Può navigare sul web, eseguire comandi da terminale, scansionare porte e riscrivere il proprio codice quando incontra un errore. Questo è un ciclo che non richiede alcun intervento umano.

Questo cambiamento sta rimodellando le operazioni offensive in due direzioni. Conferisce capacità agli attaccanti che non possiedono competenze tecniche e conferisce velocità a coloro che sono già letali. Se il vostro mestiere è il lavoro offensivo, dovete rendervi conto che gli strumenti che un avversario rivolge contro di voi sono gli stessi strumenti che dovete usare per difendervi. Il terreno si è spostato. Non ci stiamo più difendendo da una serie di eventi discreti. Ci stiamo difendendo da un processo continuo e pensante che risiede nella rete.

La morte silenziosa dei segnali di phishing

Uno degli impatti più immediati è la totale automazione dell'ingegneria sociale. In uno scenario tipico, un attaccante distribuisce un agente per raccogliere informazioni pubblicamente disponibili su un obiettivo specifico. L'agente analizza i profili LinkedIn, guarda le registrazioni delle conferenze per imitare i modelli di linguaggio e legge i comunicati stampa recenti. Usa questa intelligenza per costruire una persona. Un secondo agente gestisce quindi la conversazione. Invia il messaggio, gestisce le risposte e guida l'obiettivo verso un link malevolo o una richiesta di credenziali.

Questa è la morte dei segnali di cui eravamo soliti fidarci. Per anni, la nostra formazione sul phishing si è concentrata su segnali evidenti. Cercavamo una grammatica approssimativa, modelli generici e un senso di urgenza. L'IA agentica cancella questi indicatori. Ogni messaggio è fluente e unico. Si basa su fatti reali riguardanti il destinatario. La nostra rilevazione deve ora affidarsi interamente ai segnali dell'infrastruttura come la reputazione del mittente e l'autenticazione. Stiamo assistendo al crollo del firewall linguistico. Il phishing è un cavallo di Troia digitale che ora appare identico a una consegna legittima.

L'ascesa dello script kiddie come servizio

Mi riferisco spesso a questo stato attuale come "script kiddie come servizio". Storicamente, un attore non esperto era limitato dalla propria mancanza di competenza. Doveva aspettare che qualcun altro rilasciasse un exploit. Ora, i limiti sono definiti dalle capacità del modello di IA. Poiché molti attori non addestrati utilizzano gli stessi modelli di frontiera, vediamo una monocoltura comportamentale. Gli attacchi sono competenti, ma seguono schemi riconoscibili.

Questo è un raro vantaggio per il difensore. Quando migliaia di attaccanti usano lo stesso modello sottostante per generare una catena di exploit, lasciano impronte simili. Possiamo costruire rilevamenti per questi comportamenti predefiniti. Tuttavia, questo funziona solo per la maggioranza. Gli avversari esperti si adattano oltre questi standard. Usano agenti per eseguire campagne in parallelo. Un compito che un tempo richiedeva un team di tre persone per due settimane ora richiede a una persona e un agente quattro ore. Il volume di attacchi di alta qualità è il nuovo standard di base.

Automazione nella catena di exploit

L'automazione si è spostata in profondità nella fase di sfruttamento. Man mano che i modelli sono diventati più bravi a concatenare le chiamate agli strumenti, la barriera per produrre un exploit funzionante si è abbassata. Lo abbiamo visto chiaramente quando il governo federale è intervenuto per far rimuovere dal mercato Anthropic Fable 5. I timori riguardo alle sue capacità non erano infondati. Quando si collega un modello capace a un database di vulnerabilità note, esso esegue la propria ricognizione. Giudica a cosa un obiettivo sia probabilmente esposto e attinge l'exploit corrispondente dalla sua libreria.

Agisce come un segugio che ha fiutato una traccia. Riferisce all'operatore solo quando è pronto a colpire. Anche il malware sta diventando agentico. Stiamo vedendo ceppi che riscrivono le proprie firme per sfuggire ai controlli che riconoscevano la versione precedente. Questa è l'evoluzione naturale dei concetti di Guided Network Access Weapon (GNAW) di cui ho discusso per la prima volta anni fa. Il malware non è più un file statico. È un pezzo di software in grado di ragionare sul proprio ambiente e cambiare il proprio comportamento per rimanere furtivo.

La sicurezza di un falso oracolo

C'è un pericolo nell'affidarsi troppo a questi agenti. Parlano con un'autorità incrollabile, ma non cercano la verità. Un agente cerca un compito completato. Vuole fornire una risposta che sembri corretta. Non ha una visione privilegiata del fatto che un host sia veramente vulnerabile. Abbina gli indicatori a una conclusione. Se si sposa un agente con un archivio di recupero delle vulnerabilità, esso farà emergere ciò che è correlato, non ciò che è vero. Spesso ignora i numeri di versione o le specifiche di configurazione.

Questo è il problema del falso oracolo. L'agente indicherà un bersaglio che non esiste e chiederà il permesso di colpire. Per il professionista, questo significa che il giudizio è ora la competenza primaria. Le parti meccaniche del mestiere sono ora compiti delle macchine. La capacità di distinguere un vero risultato da una bugia sicura è dove risiede il valore. Ogni volta che un agente suggerisce un percorso, un essere umano deve comunque verificare la logica. Se seguite ciecamente un agente, alla fine vi porterà nel baratro.

Dimostrare la difesa attraverso l'utilità

Il SANS Secure AI Blueprint, sviluppato da Rob T. Lee, fornisce un quadro di riferimento per questa nuova realtà. Divide la sfida in tre percorsi: Proteggere l'IA, Utilizzare l'IA e Governare l'IA. La governance riguarda la politica e la supervisione. La protezione riguarda l'irrobustimento dei sistemi. L'utilizzo è dove mettiamo l'IA al lavoro per entrambe le parti. Le operazioni offensive vivono nel percorso "Utilizzare".

Molti leader pensano che la sicurezza dell'IA riguardi solo i faldoni delle policy. Si sbagliano. L'utilizzo è l'unico percorso che produce prove. Un'organizzazione può scrivere tutte le linee guida che vuole, ma finché qualcuno non rivolge uno strumento agentico contro la rete, quelle linee guida sono solo teorie. Una difesa conta solo quando entra in contatto con un attacco. Il ruolo del professionista offensivo è portare quel contatto in superficie. Siamo noi a dimostrare se la policy e l'irrobustimento funzionano effettivamente.

Se volete comprendere il vostro vero rischio, dovete condurre una valutazione del rischio che includa la simulazione di attacchi autonomi. Il pen testing tradizionale non è più uno specchio sufficiente per il panorama delle minacce. Dovete vedere come il vostro SOC gestisce un avversario che non dorme e non segue un programma umano. Verificate i vostri fornitori terzi per il loro uso di strumenti agentici. L'arma è cambiata. La mano sull'arma si è allontanata, ma la scelta di sparare rimane nostra. Il nostro giudizio è l'unica cosa che la macchina non può sostituire.

Fonti

• SANS Technology Institute: Whitepaper on Generative AI and Malware (2023)
• SANS Secure AI Blueprint: Developed by Rob T. Lee
• MITRE ATT&CK Framework: For AI-specific adversary tactics and techniques
• NIST AI Risk Management Framework (AI RMF 1.0)

Dichiarazione di non responsabilità: Questo articolo è solo a scopo informativo ed educativo. Le informazioni fornite non sostituiscono un audit professionale di cybersecurity o un servizio di risposta agli incidenti. L'autore non fornisce istruzioni per attività illegali.