Attacchi a LLM, alla supply chain ed exploit sempre più rapidi: la nuova offensiva cyber corre sull’IA. Il punto di CrowdStrike

Quasi 200.000 richieste alle API di modelli di intelligenza artificiale in due minuti, usando l’accesso cloud di un’azienda compromessa. È uno dei casi descritti nel CrowdStrike Threat Hunting Report 2026: una campagna di LLMJacking, cioè l’abuso dell’accesso altrui ai modelli linguistici. Il picco si è ridotto quando sono intervenuti i limiti automatici alle richieste. Secondo l’analisi, gran parte del traffico era probabilmente costituita da richieste di clienti inoltrate dall’attaccante.

L’obiettivo economico è utilizzare servizi a pagamento scaricandone i costi sulla vittima. Come ci spiega Luca Nilo Livrieri, Director, Sales Engineering Southern Europe di CrowdStrike, l’accesso abusivo può alimentare un servizio commerciale parallelo, mentre il conto arriva all’azienda che possiede le credenziali. Il danno può quindi maturare anche senza sottrarre dati.

Il report raccoglie le osservazioni dei team di threat hunting tra luglio 2025 e giugno 2026. La piattaforma analizza oltre 7.000 miliardi di eventi giornalieri, i 7 trillion della notazione anglosassone, e produce oltre 14 milioni di piste da esaminare ogni giorno. Sono dati della telemetria CrowdStrike, riferiti agli ambienti monitorati dal fornitore.

Le dipendenze software propagano gli attacchi

I sistemi di sviluppo offrono agli attaccanti un modo per raggiungere molti bersagli attraverso un unico componente. Nel giugno 2026, secondo CrowdStrike, il gruppo nordcoreano Stardust Chollima ha inserito un pacchetto npm malevolo come dipendenza in almeno 131 pacchetti del framework per applicazioni IA Mastra. La compromissione dell’ambiente di pubblicazione era partita da un contatto su LinkedIn: un dipendente era stato indotto a cliccare su un link malevolo durante una videochiamata.

Altered Spider ha invece compromesso oltre 300 dipendenze software in un solo giorno durante le campagne di maggio 2026. A marzo lo stesso gruppo aveva colpito la GitHub Action pubblica aquasecurity/trivy-action, sostituendo il codice associato a più versioni. Le aziende che le utilizzavano nelle procedure automatiche di sviluppo e scansione eseguivano così un malware per il furto di credenziali. Gli accessi sottratti potevano poi aprire la strada agli ambienti cloud.

Vulnerabilità sfruttate in poche ore

Nel caso di vulnerabilità di cui esiste una PoC (Proof of Concept) pubblica, l’88% degli sfruttamenti osservati da CrowdStrike nella prima metà del 2026 è avvenuto entro 48 ore dalla pubblicazione della PoC stessa. I gruppi legati alla Cina Vault Panda e Genesis Panda hanno sfruttato React2Shell entro 24 ore dalla divulgazione. Nei primi quattro giorni CrowdStrike OverWatch ha gestito oltre 800 piste investigative relative a sospetti sfruttamenti di React2Shell presso più di 80 vittime.

Umbral Bison, gruppo bielorusso, ha invece utilizzato l’exploit Linux CopyFail contro un ente governativo ucraino poco più di 20 ore dopo la divulgazione pubblica. In questo caso la vulnerabilità serviva a elevare i privilegi fino a root su un sistema già accessibile. La rapidità di adozione degli exploit riduce il tempo disponibile per aggiornare i sistemi e rende decisivo individuare anche i comportamenti successivi allo sfruttamento.

Proteggere identità e consumi dei modelli

L’ingegneria sociale continua a fornire accessi agli attaccanti. Secondo il report, le intrusioni tramite vishing, il phishing telefonico, sono raddoppiate nella prima metà del 2026; i tentativi mensili di device code phishing sono aumentati di 15 volte. Questa tecnica induce la vittima ad autorizzare l’accesso dell’attaccante tramite un flusso di autenticazione legittimo. Monitorare ciò che accade dopo il login diventa quindi essenziale.

Livrieri indica alcune priorità operative: censire applicazioni IA, modelli, chiavi API e dipendenze; assegnare agli agenti solo i privilegi necessari; sorvegliare chiamate e anomalie di spesa. Per chi sviluppa software, a questi controlli si aggiungono la protezione delle identità degli sviluppatori e l’analisi di repository e pacchetti utilizzati.

La risposta automatizzata deve mantenere una supervisione umana. Per le PMI prive di risorse sufficienti, Livrieri suggerisce il ricorso a partner capaci di assicurare una copertura continua: "non è più concepibile non avere qualcuno che lavora al 24x7". Il caso LLMJacking mostra perché questa copertura debba includere i consumi: un’identità compromessa può accumulare richieste e costi mentre i servizi aziendali continuano a funzionare.