Un rapporto di IRONSCALES rileva che gli agenti IA stanno diventando un nuovo bersaglio del phishing

Un messaggio di phishing non deve più convincere il dipendente titolare della casella di posta: può prendere di mira il software che la legge al suo posto. È questo l’avvertimento centrale del nuovo rapporto di IRONSCALES, Dai deepfake ai doppi agenti: il nuovo volto del rischio informatico guidato dall’IA, secondo cui l’adozione in azienda di strumenti in grado di agire ha superato la velocità con cui sono state sviluppate le misure di sicurezza che dovrebbero proteggerli.

Nel sondaggio Censuswide commissionato dall’azienda, il 77% degli intervistati ha dichiarato che, nell’anno precedente, un agente o uno strumento di IA della propria organizzazione aveva agito sulla base di contenuti dannosi, fuorvianti o non autorizzati. Una quota inferiore, ma comunque considerevole, pari al 57%, ha segnalato almeno un caso confermato. Queste cifre descrivono gli incidenti riferiti dagli intervistati, compresi gli eventi sospetti inclusi nel totale più ampio; non rappresentano un conteggio verificato in modo indipendente delle violazioni riuscite.

I risultati si accompagnano a uno sviluppo più incoraggiante: gli investimenti nelle difese contro i deepfake sono aumentati, mentre le perdite finanziarie segnalate sono diventate meno gravi. Nel loro insieme, i dati evidenziano una sfida concreta per i responsabili della sicurezza: estendere la protezione ai sistemi automatizzati che prendono decisioni senza rinunciare alle difese concepite per le persone.

Gli agenti IA hanno accesso a sistemi importanti

Censuswide ha intervistato 501 professionisti statunitensi dell’IT e della cybersicurezza, con ruoli di middle management o superiori, che lavorano in aziende con un organico compreso tra 1.000 e 10.000 dipendenti. I partecipanti avevano un’età compresa tra 25 e 55 anni e la rilevazione si è svolta dal 9 al 17 settembre 2026. I risultati descrivono quindi questo campione di aziende, non tutte le imprese che utilizzano l’IA.

All’interno del campione, il 96% ha dichiarato che la propria organizzazione utilizza agenti o strumenti di IA in grado di agire per conto dei dipendenti, e il 52% ha definito diffuso il ricorso a questi strumenti. Il rapporto adotta una definizione ampia, che include strumenti capaci di leggere e rispondere ai messaggi, accedere ai file e avviare flussi di lavoro.

Tra le organizzazioni che utilizzano questi strumenti, il 67% consente l’accesso ai sistemi di gestione dei ticket o di assistenza, il 56% ai servizi di archiviazione cloud e il 49% alla posta elettronica o ai sistemi di messaggistica. Un altro 30% consente l’accesso ai sistemi finanziari, di fatturazione, approvvigionamento o pagamento. Solo il 19% ha dichiarato che i propri strumenti erano limitati al Web pubblico, senza accesso ai sistemi interni.

La differenza tra rispondere a una domanda ed eseguire un’azione è rilevante. Un riepilogo errato può indurre in errore chi lo legge; uno strumento collegato ai sistemi aziendali può anche trasferire informazioni o avviare un flusso di lavoro. I permessi associati allo strumento contribuiscono a determinare fino a che punto può propagarsi un errore.

Anche per gli agenti, la casella di posta è una porta d’accesso

Tra gli intervistati che hanno segnalato un incidente correlato agli agenti IA, il 42% ha dichiarato che uno strumento di IA aveva riassunto o elaborato un’e-mail o un messaggio dannoso. Un altro 41% ha riferito che un aggressore aveva utilizzato uno strumento di IA per attività di phishing o ingegneria sociale. Queste categorie possono sovrapporsi e la seconda comprende l’uso dell’IA da parte dell’aggressore, senza implicare necessariamente la compromissione dell’agente della vittima.

Questa precisazione è importante. Il sondaggio riunisce in un unico quadro diverse tipologie di incidenti legati all’IA, ma non dimostra che tutti siano riconducibili alla stessa tecnica di attacco. Mostra comunque perché le organizzazioni debbano esaminare sia i contenuti elaborati dagli agenti sia le azioni consentite dalle loro integrazioni.

Un modo utile per comprendere il rischio consiste nel distinguere le informazioni dall’autorità. Un messaggio può contenere istruzioni, ma il fatto che arrivi in una casella di posta non le rende autorizzate. Quando il software può agire attraverso sistemi collegati, mantenere questa distinzione diventa parte integrante del controllo degli accessi e della progettazione dei flussi di lavoro.

La piattaforma di sicurezza delle e-mail di IRONSCALES riflette l’attenzione dell’azienda verso questa porta d’accesso. L’azienda descrive un approccio basato su API che combina analisi tramite IA, indagini automatizzate e informazioni sulle minacce raccolte da esperti, oltre a simulazioni di phishing e protezione dai deepfake per Microsoft Teams. Queste funzionalità aiutano a inquadrare il punto di vista dello sponsor della ricerca; il sondaggio non valuta in modo indipendente l’efficacia dei suoi prodotti.

Esistono procedure di approvazione, ma raramente è la sicurezza a guidarle

Tra i 479 intervistati le cui organizzazioni utilizzano strumenti di IA in grado di agire, il 78% ha indicato il reparto IT come principale responsabile dell’approvazione di agenti, assistenti, plugin e connettori. Solo il 6% ha indicato il reparto sicurezza, mentre il 14% ha descritto l’approvazione come una responsabilità condivisa tra più gruppi.

Essere il principale responsabile dell’approvazione non equivale a essere coinvolti in qualsiasi modo. I dati non dimostrano che il reparto sicurezza sia escluso da tutte le altre procedure di approvazione. Mostrano però che le decisioni sugli strumenti dotati di ampi accessi sono solitamente guidate da altri reparti.

Tra le organizzazioni che hanno segnalato un incidente, il 39% ha dichiarato che un dipendente aveva concesso a uno strumento di IA un accesso che il reparto sicurezza non avrebbe approvato. Questo dato rende concreta la questione della governance: chi valuta i permessi prima che venga abilitato un connettore e chi può revocarli se lo strumento si comporta in modo imprevisto?

Il rapporto rileva inoltre una discrepanza tra fiducia e attuazione. Sebbene il 93% abbia dichiarato che i piani di risposta agli incidenti contemplano gli agenti IA e l’84% si sia detto fiducioso di poter identificare un incidente causato dall’IA, solo il 52% ha affermato che fossero già in vigore tutte le politiche formali, le misure di controllo e le procedure di risposta agli incidenti. Un altro 35% ha riferito di disporre di politiche accompagnate da controlli tecnici limitati.

Le perdite dovute ai deepfake sono diminuite, ma la minaccia persiste

I risultati sui deepfake offrono un confronto più positivo con il sondaggio condotto da Censuswide nel 2025 su 500 intervistati con lo stesso profilo. Gli investimenti attivi nelle difese sono aumentati dal 37% al 48%. Tra le organizzazioni che hanno segnalato perdite finanziarie, la quota di quelle che hanno perso almeno 100.000 dollari è scesa dal 63% al 49%, mentre quella di chi ha perso 1 milione di dollari o più è diminuita dal 6% al 3%.

Le perdite medie stimate tra le organizzazioni che hanno subito danni finanziari sono scese da circa 280.000 a 225.000 dollari. Le stime si basano sui punti medi degli intervalli di perdita segnalati. Poiché i sondaggi ponevano domande diverse sulle perdite, il confronto esclude le risposte che indicavano perdite pari a zero, incertezza o la preferenza per non rispondere.

Il rapporto avverte esplicitamente che l’aumento degli investimenti e la diminuzione delle perdite, verificatisi nello stesso periodo, non dimostrano che l’uno abbia causato l’altra. Né gli incidenti sono scomparsi: l’84% ha segnalato almeno un incidente legato ai deepfake, rispetto all’85% nel 2025. La definizione adottata è ampia e comprende immagini manipolate ed e-mail contraffatte, fino all’impersonificazione in tempo reale tramite voce e video.

Esiste anche un problema di priorità concorrenti. La quota di chi considera la difesa dai deepfake una priorità assoluta è scesa dal 71% al 60%, mentre l’IA capace di agire introduce un’ulteriore voce di spesa per i budget di sicurezza. Le minori perdite sono un motivo per esaminare ciò che funziona, anziché presumere che la minaccia sia passata.

Proteggere le azioni, non solo la conversazione

IRONSCALES raccomanda di coinvolgere il personale addetto alla sicurezza nell’approvazione degli agenti, limitare le autorizzazioni, monitorare le azioni e testare la risposta agli incidenti con attacchi rivolti sia ai dipendenti sia agli agenti. Queste raccomandazioni collegano i due temi del rapporto: i contenuti ingannevoli restano pericolosi, ma i software autorizzati ad agire cambiano il modo in cui l’inganno può produrre conseguenze.

Per un team aziendale, questo significa sapere quali agenti esistono, a quali sistemi può accedere ciascuno e quali azioni richiedono la revisione umana. I registri devono consentire di ricostruire ciò che lo strumento ha letto e fatto. I test dovrebbero verificare se un messaggio non attendibile può influenzare un flusso di lavoro autorizzato, anziché limitarsi a valutare se i dipendenti riconoscono un’e-mail sospetta.

Il contributo più importante del rapporto è la descrizione della distanza tra adozione, fiducia e controlli effettivamente implementati. I lettori possono consultare le domande del sondaggio, le precisazioni metodologiche e le raccomandazioni nel rapporto completo Dai deepfake ai doppi agenti: il nuovo volto del rischio informatico guidato dall’IA.