Rapporto sulla sicurezza dell’AI di Check Point Research 2026: l’AI passa da assistente alla sicurezza a operatore attivo

Il Rapporto sulla sicurezza dell’AI di Check Point Research 2026, pubblicato da Check Point Software Technologies (CHKP ), descrive un panorama della sicurezza informatica in cui l’intelligenza artificiale non è più solo un aiuto per gli attaccanti nella ricerca di obiettivi, nella scrittura di email di phishing o nella generazione di frammenti di codice maligno. L’AI sta operando sempre più all’interno di catene di attacco live, eseguendo comandi, analizzando informazioni rubate, sviluppando malware di produzione e coordinando attacchi su più sistemi. Allo stesso tempo, l’adozione aziendale sta esponendo dati sensibili, ampliando i rischi della catena di approvvigionamento del software e indebolendo molti dei segnali tradizionalmente utilizzati per verificare l’identità.

L’AI sta entrando nella catena di attacco live

La scoperta più importante del rapporto non è che l’AI abbia inventato nuove forme di cybercrime. Invece, ha drasticamente ridotto il tempo, l’esperienza e il costo necessari per condurre attacchi già stabiliti.

L’AI svolge ora un ruolo nell’ingegneria sociale, sviluppo di malware, ricerca di vulnerabilità, ricognizione, raccolta di credenziali, movimento laterale e analisi dei dati. Gli operatori a più alto rischio non sono necessariamente quelli che utilizzano i modelli più avanzati, ma quelli che hanno imparato a collegare diversi strumenti AI e automatizzare più fasi di un’intrusione.

Una campagna di spionaggio legata alla Cina ha utilizzato Claude Code per eseguire circa l’80% – 90% del lavoro tattico in circa 30 organizzazioni bersaglio. L’AI ha gestito la ricognizione, lo sfruttamento, la raccolta di credenziali, il movimento laterale e la triage dei dati, lasciando all’operatore umano la direzione strategica più ampia.

Un esempio ancora più chiaro ha coinvolto il compromesso di nove agenzie governative messicane tra la fine di dicembre 2025 e metà febbraio 2026. L’operazione ha esposto circa 400 milioni di record che coprono dati fiscali, registri civili, veicoli, pazienti ed elettorali. I ricercatori hanno ricostruito l’attacco dalle infrastrutture dell’operatore e hanno scoperto che 1.088 istruzioni scritte dall’uomo hanno generato 5.317 comandi eseguiti dall’AI in 34 sessioni.

L’attaccante ha utilizzato Claude Code per esplorare e compromettere i sistemi, mentre GPT-4.1 ha analizzato i dati rubati e generato istruzioni per sessioni successive. Quando Claude ha rifiutato di assistere, l’operatore ha inserito istruzioni di test di penetrazione in un file di configurazione CLAUDE.md attendibile. Ogni sessione successiva ha ereditato automaticamente il comportamento alterato, eliminando la necessità di ripetere il jailbreak.

Ciò punta a un problema più ampio. Molti agenti AI si fidano automaticamente dei file di progetto e delle configurazioni del sistema. Un file avvelenato può influenzare le sessioni future, trasformando ciò che era una volta una tecnica di manipolazione dei prompt temporanea in un compromesso persistente.

Gli strumenti AI mainstream rimangono l’opzione preferita

Gli attaccanti accedono generalmente all’AI attraverso servizi commerciali, modelli open-source self-hosted o piattaforme criminali create appositamente. Nonostante la crescente discussione sui modelli locali non restrittivi, gli strumenti commerciali mainstream rimangono la scelta più pratica.

Gli attaccanti utilizzano account legittimi o rubati per servizi come ChatGPT, Gemini, Claude, DeepSeek, Kimi e Qwen. Spesso dividono le richieste maliziose in compiti più piccoli che appaiono inoffensivi quando visti individualmente, guidando gradualmente il modello verso un risultato proibito.

I credenziali AI sono quindi diventati obiettivi preziosi. La campagna Bissa Scanner ha rubato dettagli di accesso per Anthropic, OpenAI, Google e altri provider da più di 30.000 file di ambiente di sviluppo esposti. I conti AI sono stati il tipo di credenziale più comune raccolta.

Gli account rubati possono essere rivenduti attraverso una pratica nota come LLMjacking. Gli acquirenti guadagnano accesso alle risorse AI di un’altra organizzazione, evitano i costi di utilizzo, raggiungono potenzialmente le informazioni archiviate e fanno apparire la loro attività come se provenisse da un utente legittimo. In un caso, una chiave API di Google Gemini rubata ha generato circa 82.000 dollari di addebiti in soli due giorni.

I modelli self-hosted offrono meno restrizioni e meno monitoraggio del provider, ma gli attaccanti riportano frequentemente che richiedono hardware costosi, competenze tecniche e una lunga fase di fine-tuning. I servizi criminali come WormGPT hanno anche perso credibilità a causa delle prestazioni scarse. WormGPT stesso è stato violato, esponendo i dettagli di pagamento di oltre 19.000 clienti.

Il gruppo di ransomware-as-a-service noto come The Gentlemen illustra come i gruppi criminali comuni stanno approcciando l’AI. L’operazione aveva più di 330 vittime pubblicate entro maggio 2026, eppure i suoi membri hanno ammesso di non sapere come eseguire i propri modelli. Invece, hanno confrontato le piattaforme AI commerciali in base a quali avevano le protezioni più deboli. L’amministratore del gruppo ha utilizzato l’AI per creare uno strumento di gestione in soli tre giorni.

Il malware costruito con l’AI raggiunge la qualità professionale

Lo sviluppo di malware assistito dall’AI è andato oltre i prototipi grezzi. In molti casi, il malware completato non contiene alcun AI. Il modello viene utilizzato durante lo sviluppo per scrivere, testare, debuggere e raffinare il codice, lasciando poco evidenza visibile del suo coinvolgimento una volta che il malware viene distribuito.

VoidLink è l’esempio più forte del rapporto. La framework di comando e controllo modulare Linux includeva capacità di furtività e persistenza, oltre a più di 30 plugin post-exploitation. La sua qualità inizialmente suggeriva che un team di sviluppatori avesse trascorso diversi mesi a costruirlo.

L’errore operativo del developer ha rivelato che VoidLink era stato creato da una persona utilizzando l’ambiente di codifica AI TRAE SOLO. Attraverso specifiche dettagliate e test ripetuti assistiti dall’AI, il developer ha prodotto circa 88.000 righe di codice funzionale in meno di una settimana.

Altri gruppi hanno adottato metodi simili. Transparent Tribe, noto anche come APT36, ha utilizzato una linea di montaggio guidata dall’AI per produrre malware usa e getta destinato ai sistemi governativi indiani. Il gruppo GREYVIBE legato alla Russia ha utilizzato ChatGPT e Gemini per creare malware personalizzato per operazioni contro l’Ucraina, mentre il gruppo KONNI legato alla Corea del Nord ha utilizzato l’AI per generare un backdoor PowerShell.

Il malware che comunica con un modello AI mentre è in esecuzione rimane meno comune. LAMEHUG ha utilizzato Qwen attraverso l’API Hugging Face per generare comandi su richiesta, mentre PromptLock ha applicato un concetto simile al ransomware. Questi esempi rimangono limitati, ma dimostrano che il comportamento malizioso generato dinamicamente è tecnicamente possibile.

Il tempo disponibile per patch sta diminuendo

L’AI sta accelerando la scoperta di vulnerabilità sia per i difensori che per gli attaccanti. Ciò sta riducendo la finestra di tempo tra la divulgazione pubblica, lo sfruttamento e il rimedio.

Il rapporto descrive Anthropic’s Project Glasswing, che ha utilizzato un modello non rilasciato chiamato Claude Mythos Preview per identificare oltre 10.000 vulnerabilità zero-day di gravità alta e critica in sistemi operativi e browser principali durante il suo primo mese. Il modello ha prodotto uno sfruttamento funzionante al primo tentativo nel circa 83% dei casi.

Anthropic ha ritirato il modello dalla release pubblica a causa delle preoccupazioni che potesse essere utilizzato in modo improprio, ma ha impegnato 100 milioni di dollari in crediti di utilizzo per organizzazioni selezionate. Il caso dimostra come la scoperta di vulnerabilità stia diventando più economica e sempre più automatizzata.

Le linee guida governative riflettono già questo ambiente più veloce. L’Agenzia per la sicurezza informatica e delle infrastrutture degli Stati Uniti ha richiesto alle agenzie civili federali di risolvere determinate vulnerabilità ad alto rischio entro tre giorni. Il CERT-In dell’India ha consigliato alle organizzazioni di affrontare alcune debolezze critiche che affrontano Internet entro 12 ore.

La scoperta tecnica delle vulnerabilità potrebbe non essere più il collo di bottiglia principale. La revisione umana, il test, l’approvazione e la distribuzione potrebbero diventare le parti più lente e vulnerabili del processo.

Le applicazioni AI stanno diventando bersagli

Mentre le organizzazioni incorporano l’AI nei browser, piattaforme di posta elettronica, documenti e flussi di lavoro aziendali, la tecnologia ottiene l’accesso a dati sensibili e la capacità di agire utilizzando le autorizzazioni utente esistenti.

L’iniezione di prompt rimane una delle minacce più importanti. L’iniezione di prompt diretta si verifica quando un attaccante comunica con un modello e tenta di sovrascrivere le sue regole. L’iniezione di prompt indiretta nasconde istruzioni maliziose all’interno del contenuto che l’AI elabora in seguito, come una pagina web, un invito al calendario, un campo di metadati o un documento.

Uno studio citato nel rapporto ha scansionato 1,2 miliardi di URL e ha identificato circa 15.300 payload di iniezione di prompt indiretta. Circa il 70% era nascosto in HTML non renderizzato, tra cui commenti, header e metadati che i visitatori umani non avrebbero normalmente visto.

La telemetria di Check Point ha registrato un aumento netto dei payload maliziosi più lunghi. Tra marzo e maggio 2026, le rilevazioni sono aumentate di circa cinque volte e si sono avvicinate all’1% dei prompt osservati a maggio. I payload più lunghi sono particolarmente rilevanti per gli agenti che elaborano pagine web complete, documenti e output da strumenti connessi.

I browser alimentati da AI creano ulteriore rischio perché operano all’interno di sessioni autenticate. In un test controllato, un invito al calendario malizioso ha causato al browser Comet di Perplexity la rivelazione delle password salvate. In un altro esperimento, un browser AI ha completato un intero flusso di phishing in meno di quattro minuti senza coinvolgimento umano.

La catena di approvvigionamento agente sta ampliando la superficie di attacco

Gli agenti AI guadagnano capacità attraverso server del protocollo di contesto del modello, estensioni, file di configurazione, hub di modelli e abilità scaricabili. Questi componenti sono spesso fidati automaticamente e installati con una revisione umana limitata.

Check Point Research ha identificato vulnerabilità nei file di progetto Claude Code che potevano eseguire comandi controllati dall’attaccante quando un developer apriva un repository avvelenato. Problemi simili sono apparsi in Gemini CLI, Cursor, Windsurf e altri ambienti di codifica, suggerendo una debolezza architettonica più ampia piuttosto che un problema isolato del fornitore.

Il malware GlassWorm si è diffuso attraverso pacchetti del protocollo di contesto del modello in oltre 150 repository. I ricercatori hanno anche esaminato circa 46.500 pacchetti software pubblicati e hanno scoperto che 428 contenevano accidentalmente un file di impostazioni locali di Claude Code. Circa uno su 13 di quei file includeva credenziali live come token NPM, chiavi GitHub o chiavi Hugging Face.

Una revisione separata di 10.000 server del protocollo di contesto del modello ha rilevato debolezze di sicurezza nel 40% di essi. Dei 221 skill dell’agente OpenClaw esaminati, il 70% ha richiesto più credenziali del necessario e il 43% conteneva modelli di iniezione di comandi.

La campagna ClawHavoc ha posizionato 44 abilità maliziose in un marketplace, dove sono state scaricate più di 12.500 volte. Altrove, le estensioni di codifica Trojanizzate hanno presumibilmente raccolto codice da circa 1,5 milioni di sviluppatori, mentre un modello Hugging Face malizioso mascherato da filtro di privacy OpenAI ha ricevuto 244.000 download prima della rilevazione.

L’identità sintetica sta minando la fiducia digitale

L’AI generativa ha reso più facile fabbricare voci, volti, documenti e personaggi online e più difficile verificarli. Una voce familiare, una videochiamata live o un documento di identità del governo non possono più servire come prova indipendente che qualcuno sia genuino.

La piattaforma ATHR utilizza presumibilmente agenti vocali autonomi per effettuare chiamate di recupero account e rubare codici a uso singolo. Un operatore può gestire più conversazioni simultaneamente senza impiegare chiamanti umani.

Lo scambio di volti in tempo reale sta anche apparendo nel furto di criptovalute, truffe sentimentali, frodi di investimento e operazioni legate allo stato. Le autorità europee hanno smantellato una rete che presumibilmente utilizzava video deepfake di celebrità e organizzazioni di notizie per promuovere investimenti falsi e riciclare oltre 700 milioni di euro.

I ricercatori hanno anche identificato oltre 23.000 domini che dirottavano le vittime in gruppi di messaggistica in cui i chatbot AI impersonavano consulenti finanziari. Il servizio OnlyFake ha venduto oltre 10.000 documenti di identità generati dall’AI che coprono gli Stati Uniti e circa 56 altri paesi, consentendo ai clienti di bypassare la verifica presso banche e scambi di criptovalute.

Gli schemi di lavoro remoto legati alla Corea del Nord sono andati oltre, utilizzando curriculum vitae fabbricati, documenti di identità alterati, fotografie generate e personaggi personalizzati per ottenere un impiego legittimo all’interno di aziende occidentali. Le autorità statunitensi hanno collegato una rete a quasi 800 milioni di dollari di entrate per i programmi di armi della Corea del Nord.

Gli esseri umani non sono particolarmente affidabili nel rilevamento di questi falsi. In uno studio controllato, i super-riconoscitori addestrati hanno identificato correttamente solo il 41% dei volti generati dall’AI. Gli spettatori comuni hanno rilevato circa il 30%.

L’uso aziendale dell’AI sta creando un’esposizione dei dati persistente

L’organizzazione media utilizza ora 10 diverse applicazioni AI ogni mese. Il numero medio di prompt per dipendente è aumentato da 56 a dicembre 2025 a 70 a maggio 2026, rappresentando una crescita del 25%.

Tra l’87% e il 93% delle organizzazioni hanno sperimentato almeno un’interazione di generazione di AI ad alto rischio ogni mese. La quota di prompt che contengono informazioni aziendali, personali o normative sensibili è raddoppiata dal 2% al 4%, spostandosi da circa un prompt rischioso su 50 interazioni a uno su 25.

L’Europa ha registrato il tasso regionale più alto al 3,95%, seguito dall’America Latina al 3,76%, dal Nord America al 3,33% e dall’Asia-Pacifico al 2,88%. I servizi aziendali hanno avuto il tasso di settore più alto al 5,91%, o circa un’interazione rischiosa su 17 prompt. A maggio, il suo tasso mensile era salito al 6,98%, vicino a uno su 14 prompt.

Molti leak derivano dall’uso normale piuttosto che dall’attività maliziosa. In una dimostrazione, una connessione legittima tra ChatGPT e Google Drive ha recuperato oltre 400 file interni sensibili in meno di un secondo dopo una singola domanda.

I fornitori di terze parti introducono un’esposizione aggiuntiva. Un’app di consumo chiamata Chat & Ask AI ha presumibilmente esposto circa 300 milioni di messaggi appartenenti a oltre 25 milioni di utenti. Un chatbot di supporto clienti utilizzato da Sears Home Services ha esposto 3,7 milioni di record, inclusi registrazioni di chiamate, trascrizioni e informazioni personali.

Implicazioni future

Il Rapporto sulla sicurezza dell’AI di Check Point Research 2026 presenta un ambiente di sicurezza in cui l’AI rafforza gli attaccanti, crea nuove debolezze nella catena di approvvigionamento del software, mina la verifica dell’identità remota e aumenta il rischio quotidiano di esposizione dei dati confidenziali. Il suo avvertimento centrale è che le organizzazioni non possono gestire la sicurezza dell’AI attraverso politiche e revisioni annuali sole. Hanno bisogno di una visibilità continua nelle applicazioni AI, agenti, infrastrutture, autorizzazioni, fornitori di terze parti e dati condivisi dai dipendenti. Mentre l’AI inizia a operare alla velocità della macchina, i team di sicurezza dovranno rilevare, verificare e rispondere a un ritmo paragonabile.