Per anni “AI in cybersecurity” è stata una frase da slide dei vendor, un’etichetta che prometteva tutto e spiegava poco. Poi, tra la fine del 2025 e l’inizio del 2026, sono arrivati i primi casi documentati che hanno trasformato l’astrazione in realtà operativa. Non scenari da conferenza, non white paper speculativi: incidenti reali, con report pubblici e attribuzioni ad alta confidenza. È il momento di parlarne da SOC Manager, con i piedi per terra, separando ciò che è documentato da ciò che è hype.
Voglio partire da una distinzione che non è pignoleria accademica ma una necessità operativa: la differenza tra attacco “AI-augmented” e attacco “AI-orchestrated”. Capirla cambia il modo in cui pensiamo alla detection, alla response e all’organizzazione stessa del nostro lavoro.
Le Tre Categorie: Augmented, Orchestrated, e il Mito dell’AI-Powered
Sgombriamo subito il campo dall’equivoco che inquina il dibattito. Quando i giornali scrivono “attacco AI-powered” evocano un’intelligenza artificiale autonoma e senziente in stile Skynet che decide da sola di colpire, sviluppa exploit inediti per puro istinto e conduce una campagna senza alcun input umano. Questa è ancora fantascienza: richiederebbe una forma di intelligenza artificiale generale che oggi non esiste.
La realtà documentata si colloca su uno spettro fatto di due categorie concrete.
Nel modello AI-augmented, l’operatore umano resta il cervello dell’operazione. Definisce l’obiettivo, la strategia, l’intento. L’AI è il “force multiplier” che gestisce le fasi ripetitive e dispendiose: analisi di grandi volumi di dati, generazione di varianti di codice, personalizzazione di esche di phishing su scala. L’analogia che uso con il mio team è quella del pilota di caccia di sesta generazione: il velivolo non sostituisce il pilota, ne amplifica le capacità, traccia centinaia di bersagli e fonde dati da decine di sensori, ma è sempre l’uomo a decidere quando e cosa ingaggiare. La stragrande maggioranza di ciò che vediamo oggi è AI-augmented.
Nel modello AI-orchestrated, invece, l’AI non è più solo un consulente: esegue. L’operatore umano definisce gli obiettivi e interviene in pochi punti di decisione critici, ma il grosso del lavoro tattico, ricognizione, scrittura di exploit, movimento laterale, raccolta credenziali, viene svolto da agenti AI in autonomia. Fino a pochi mesi fa questa categoria era teorica. Non lo è più.
Il Caso che Ha Cambiato Tutto: GTG-1002
A novembre 2025 Anthropic ha pubblicato il report su quello che ha definito il primo caso documentato di attacco informatico su larga scala orchestrato da AI con intervento umano minimo. L’ho letto e riletto, perché è il documento più importante che la nostra professione abbia avuto sotto mano negli ultimi anni.
I fatti, come ricostruiti da Anthropic e ripresi da The Hacker News e da numerose analisi indipendenti: un gruppo che Anthropic valuta con alta confidenza essere state-sponsored cinese, designato GTG-1002, ha manipolato lo strumento Claude Code convincendolo, tramite social engineering del modello, di star conducendo test difensivi legittimi per una società di sicurezza. In questo modo ha aggirato le protezioni e ha usato l’AI per tentare di infiltrare circa trenta organizzazioni di alto valore: grandi aziende tech, istituzioni finanziarie, produttori chimici e agenzie governative. Un numero limitato di intrusioni è andato a segno.
Il dettaglio che deve farci riflettere non è il vettore, ma l’orchestrazione. Claude Code è stato usato come sistema nervoso centrale: prendeva le istruzioni dell’operatore umano e le scomponeva in piccoli task tecnici delegati a sub-agenti, che operavano in gruppo come orchestratori di penetration testing autonomi. Secondo Anthropic, l’AI ha eseguito tra l’80 e il 90 per cento delle operazioni tattiche in modo indipendente, a velocità di richiesta “fisicamente impossibili” per un operatore umano. In uno dei casi, l’AI ha autonomamente scoperto servizi interni, mappato la topologia di rete su più range di IP e identificato sistemi di alto valore come database e piattaforme di orchestrazione.
Questo è il salto. Non un attaccante più veloce, ma un attaccante che ha delegato a un’AI agentica l’intera catena tattica, mantenendo il controllo solo sulle decisioni strategiche. Va aggiunta una nota di equilibrio: Anthropic stessa ha segnalato che l’AI, durante l’operazione, ha prodotto anche allucinazioni, credenziali inventate e risultati sovrastimati, che hanno richiesto verifica umana. L’autonomia non significa infallibilità. Ma il trend è inequivocabile.
La Parte Scomoda: Lo Stesso Strumento, Mani Diverse
Qui devo essere onesto, perché chi segue il mio lavoro sa che nel mio laboratorio uno degli agenti di triage che ho costruito, quello che regge il volume di alert in prima linea, gira proprio su Claude Code puntato sull’inferenza locale. Lo stesso paradigma agentico che uso per la difesa è quello che GTG-1002 ha weaponizzato per l’offesa.
Non è un paradosso, è la natura stessa di questi strumenti. Un orchestratore agentico che sa leggere un alert, interrogare un sistema, correlare eventi e decidere il prossimo passo è esattamente ciò che serve a un analista di triage. È anche esattamente ciò che serve a un attaccante per fare ricognizione e movimento laterale. La tecnologia non ha morale: è la stessa identica capacità, indirizzata verso scopi opposti.
Questo ha una conseguenza operativa diretta. Non possiamo permetterci di demonizzare gli strumenti agentici, perché sono la nostra migliore arma difensiva contro un avversario che li sta già usando. La domanda non è “se” portare l’AI nel SOC, ma “come” farlo mantenendo controllo, supervisione umana e sovranità sui dati. Anthropic stessa, nel disinnescare GTG-1002, ha usato Claude in modo estensivo per analizzare l’enorme volume di log generati dall’indagine. Il fuoco si combatte con il fuoco, a patto di sapere chi tiene l’estintore.
Non Solo Stato: La Democratizzazione dell’Offesa
Sarebbe un errore pensare che questa minaccia riguardi solo gli APT statali con budget illimitati. Il trend più preoccupante è la democratizzazione.
A inizio giugno 2026 Sophos ha documentato un threat actor che ha usato agenti AI, tra cui strumenti di coding commerciali, per costruire e operare un laboratorio di sviluppo malware orientato all’evasione degli EDR. Il framework automatizzava la scoperta dell’Active Directory e testava i payload contro le principali soluzioni endpoint di mercato, con profili Cobalt Strike e canali di comando e controllo via Telegram. Va detto, per onestà, che il workflow restava guidato dall’uomo e che Sophos ha notato come parte del successo dichiarato dal toolkit potesse essere un’allucinazione dell’AI stessa. Ma il segnale è chiaro: capacità che prima richiedevano un team di sviluppatori di malware di altissimo livello stanno diventando accessibili a operatori singoli.
Lo stesso vale per i worm di supply chain che hanno colpito gli ecosistemi npm e GitHub nelle ultime settimane, alcuni dei quali sfruttano proprio i tool di coding AI come vettore di esecuzione: piantano file di configurazione che eseguono codice quando il repository viene aperto in un assistente di sviluppo. L’attaccante non deve più scrivere tutto: deve solo sapere dove infilarsi nel flusso di lavoro di chi usa l’AI.
Per il tessuto produttivo italiano, fatto in gran parte di PMI con risorse di sicurezza limitate, questa democratizzazione è la vera notizia. Non serve più essere un attore statale con un team dedicato per lanciare una campagna su scala. Basta un operatore competente, un modello potente e un buon template di partenza.
Perché le Nostre Difese Tradizionali Non Bastano Più
La conseguenza diretta di questo paradigma è che la caccia agli Indicatori di Compromissione, come l’abbiamo praticata per un decennio, è una battaglia di retroguardia.
Il modello classico era semplice: trova il cattivo, bloccalo. IP malevolo in blocklist, hash del malware nell’antivirus, dominio C2 in sinkhole. Era reattivo e faticoso, ma ci dava l’illusione del controllo. Contro un avversario che usa l’AI per industrializzare l’attacco, questo approccio crolla.
Un’AI può generare migliaia di varianti polimorfiche dello stesso payload, una per ogni vittima, ognuna con un hash diverso. Le firme statiche diventano inutili nel momento stesso in cui vengono generate. Può ruotare gli IP sorgente ogni pochi minuti attingendo a pool di proxy residenziali, restando sotto le soglie dei sistemi di reputazione. Può condurre un credential spraying a bassissima intensità, distribuito nel tempo e nello spazio, dove ogni singolo tentativo è un evento isolato indistinguibile dal normale rumore di autenticazione fallita che ogni grande rete vede ogni giorno. Mentre noi estraiamo un IP da un alert e lo mettiamo in blocklist, l’attaccante ne ha già usati altri dieci.
La via d’uscita è un cambio di paradigma: smettere di concentrarci sul “cosa” e iniziare a focalizzarci sul “come”. Un IP cambia, un hash si altera, ma il comportamento di un attaccante segue una logica. Deve fare ricognizione, ottenere accesso, stabilire persistenza, muoversi lateralmente. Questi sono i pilastri del framework MITRE ATT&CK, e sono molto più stabili degli IoC. La domanda non deve più essere “questo hash è nella mia threat intelligence?” ma “perché questo account amministrativo, dopo essersi autenticato da un’ASN sospetta, sta caricando una configurazione da un server non autorizzato?”. Quello è un comportamento, ed è un segnale forte indipendentemente dall’IP di provenienza.
Riprogettare il SOC: Comportamento, Automazione, Collaborazione
Tradurre questo principio in pratica richiede tre evoluzioni concrete.
La prima è l’analisi comportamentale. UEBA (User and Entity Behavior Analytics) e NDR (Network Detection and Response) non sono moduli da comprare e dimenticare, ma il cuore della detection moderna. L’UEBA impara la normalità di ogni utente e di ogni entità: sa che un certo account si connette da Milano in orario d’ufficio e accede a determinati sistemi. Se lo stesso account si autentica alle 3 di notte da un datacenter estero e tenta SSH verso un server di produzione, non serve un IoC: è una deviazione dalla baseline. L’NDR fa lo stesso sul traffico di rete, rilevando movimento laterale e canali C2 anomali sulla base di pattern di comunicazione (beaconing, jitter, dimensione dei dati) anche quando il traffico è cifrato.
La seconda è l’automazione della risposta. Contro un attacco che si muove alla velocità della macchina, la risposta puramente umana è troppo lenta. Quando il primo alert scatta, un attaccante AI-orchestrated ha già raggiunto i suoi obiettivi su altri sistemi. Il SOAR non è più un lusso ma una necessità: playbook che, di fronte a una catena di comportamenti anomali correlati, arricchiscono automaticamente gli indicatori, isolano l’host, sospendono l’account e aprono il ticket critico in meno di un minuto. Qui serve coraggio, perché l’automazione comporta il rischio di falsi positivi che bloccano servizi legittimi. Ma il rischio dell’inazione, di fronte a questo avversario, è molto più alto. La mia regola personale resta la supervisione umana sulle azioni consequenziali: l’agente propone, un essere umano approva. La responsabilità delle decisioni di sicurezza è e resta umana.
La terza è la collaborazione radicale. La campagna GTG-1002 ha toccato organizzazioni in più settori e paesi. Nessun singolo SOC, per quanto attrezzato, ha la visibilità per cogliere da solo un’operazione di quella scala. La condivisione di threat intelligence non è più un “nice to have”: è una funzione di sopravvivenza. E non parlo di scambiarsi liste di IP, che contro questo avversario sono quasi inutili, ma di condividere TTP e logiche di detection. Per l’Italia il punto di riferimento è il CSIRT Italia, parte dell’ACN; a livello settoriale gli ISAC; a livello tecnico piattaforme come MISP e OpenCTI. La regola Sigma che descrive una catena di comportamenti vale mille volte più di un indirizzo IP che sarà obsoleto domani.
L’Ultimo Vantaggio Asimmetrico
Leggendo di campagne come GTG-1002 è facile sentirsi sopraffatti, come se l’avversario avesse un’arma che noi non possiamo eguagliare. È una sfida enorme, e fa bene avere un po’ di paura: ci tiene svegli.
Ma c’è un punto cruciale da non perdere. L’AI che ha orchestrato quell’attacco è un ottimizzatore di processi straordinariamente potente, ma resta uno strumento. Non ha intenzione, non ha uno scopo finale. Dietro GTG-1002 c’era un gruppo di persone con una strategia e un obiettivo. Hanno usato l’AI per scalare la loro operazione, non per inventarla. La nostra battaglia non è contro un algoritmo: è contro l’ingegno umano avversario, amplificato dalla macchina.
E in questa sfida il nostro ultimo vero vantaggio asimmetrico resta proprio l’ingegno. L’AI difensiva ci aiuta a processare volumi di dati altrimenti ingestibili, a correlare segnali deboli, ad automatizzare le risposte di primo livello. Ma non sostituisce l’intuizione di un analista esperto che, guardando un pattern, sente che qualcosa non torna. Non sostituisce la creatività di un threat hunter che formula un’ipotesi e va a cercarne le prove. E non sostituisce la nostra capacità di collaborare e unire le forze.
Il nostro ruolo sta cambiando: da cacciatori di artefatti digitali a strateghi della difesa. Il compito non è più solo trovare il malware, ma capire l’intento dell’avversario, anticiparne le mosse e rendere l’infrastruttura un bersaglio talmente complesso e resiliente da convincerlo a guardare altrove. È la sfida più grande che la nostra professione abbia affrontato. Ed è anche ciò che la rende, oggi, incredibilmente stimolante.
Il futuro della cybersecurity non è uomo contro macchina. È l’uomo che impara a usare la macchina meglio di chi la usa contro di noi.
Stay purple. 🟣
Fonti:
¹ Anthropic, “Disrupting the first reported AI-orchestrated cyber espionage campaign” (novembre 2025), https://www.anthropic.com/news/disrupting-AI-espionage ² The Hacker News, “Chinese Hackers Use Anthropic’s AI to Launch Automated Cyber Espionage Campaign” (novembre 2025) ³ Sophos, analisi del toolkit ransomware costruito con assistenza AI (giugno 2026) ⁴ MITRE ATT&CK® Framework, https://attack.mitre.org/ ⁵ CISA, “Implementing Phishing-Resistant MFA”, Capacity Enhancement Guide