Un hacker usa agenti AI per violare oltre 100 siti con 5.000 dollari

Un solo operatore, qualche migliaio di dollari di token e una piattaforma open source per coordinare agenti AI: è bastato questo, secondo un’inchiesta di Reuters, per tentare di entrare in oltre 1.200 siti web e riuscire a comprometterne più di 100.

La vicenda, ricostruita dal ricercatore Snorre Fagerland della società di sicurezza NorForge, è uno dei casi più concreti di come gli agenti AI stiano abbassando il costo di un attacco informatico su larga scala.

Cosa è successo: 1.200 siti nel mirino, oltre 100 violati

Secondo la ricostruzione, la campagna sarebbe partita intorno al 25 settembre 2026. Il bersaglio principale erano negozi online situati negli Stati Uniti, in Canada, in Australia e in Giappone. L’operatore, un hacker che dalle istruzioni usate sembra parlare cinese, avrebbe affidato quasi tutto il lavoro a una squadra di agenti, limitandosi a indicare un obiettivo e un sito da attaccare.

Le istruzioni, riferiscono i ricercatori, erano brevissime: a volte meno di cento caratteri. Il resto lo facevano gli agenti, che hanno condotto ricognizione, ricerca di vulnerabilità e sfruttamento passando da una fase all’altra senza chiedere indicazioni.

Fagerland ha scoperto l’attività quasi per caso, cercando installazioni di Cairn lasciate esposte su internet. Intorno al 2 ottobre ne ha trovate circa due dozzine usate in modo apparentemente malevolo, con pannelli di controllo accessibili a chiunque.

Le vittime citate dall’inchiesta

Reuters ha identificato alcune aziende coinvolte. Deere ha dichiarato di aver adottato misure correttive e di non avere indicazioni di accessi a informazioni sensibili. SharkNinja ha confermato la compromissione di un sito separato, dedicato al supporto sui prodotti, spiegando che la minaccia è stata contenuta. Cummins sta invece verificando un possibile attacco a un sito gestito da un fornitore esterno.

Due aziende più piccole hanno confermato di essere state violate. Non è chiaro quanti dati, se ce ne sono, siano stati effettivamente sottratti, e la lista completa delle vittime non è pubblica.

Cairn: la piattaforma che coordina gli agenti

Cairn è una piattaforma open source che organizza più agenti AI attorno a un problema complesso. Chi la usa fornisce un obiettivo, gli agenti lavorano in parallelo e salvano i risultati su una bacheca di progetto condivisa, così ciascuno può ripartire da ciò che hanno scoperto gli altri e cambiare strada quando un tentativo fallisce.

Il creatore della piattaforma ha sottolineato che Cairn non è stata progettata per l’hacking malevolo. È uno strumento generico, e proprio questa generalità la rende utile anche a chi ha cattive intenzioni.

Il caso mostra bene il doppio uso della tecnologia.

Come funzionava la catena d’attacco

NorForge ha tracciato il gruppo più grande di lingua cinese con la sigla AIA0001, collegato a 14 dashboard e a oltre 1.100 progetti di attacco. Prima dell’attacco vero e proprio, una fase automatica con l’automazione del browser Playwright verificava che i negozi online accettassero davvero ordini, e solo allora il bersaglio passava a Cairn.

Le attività si concentravano su falle che permettono di eseguire codice senza autenticazione: iniezioni SQL, caricamenti di file non sicuri, aggiramento dei login e gestione insicura di oggetti salvati. L’obiettivo apparente era ottenere un accesso duraturo a sistemi di vendita e pagamento da sfruttare in seguito per fare soldi.

In un caso confermato, su un sito di un produttore di attrezzature, gli agenti hanno lasciato una webshell funzionante. Secondo il resoconto dell’agente stesso, la violazione ha concatenato un accesso in scrittura non autorizzato a un archivio di sessioni, una deserializzazione insicura di oggetti PHP e componenti Zend Framework datati.

In un altro episodio, non trovando falle nell’applicazione principale, gli agenti hanno cercato infrastrutture collegate, individuato un pannello di controllo esposto e passato ore a testarne la gestione dei dati, fino a riferire di poter eseguire comandi sul server.

Quanto costa attaccare con gli agenti AI

Il dato che ha fatto più rumore è il costo. NorForge stima circa 5.000 dollari di token per l’intera campagna, cioè all’incirca 50 dollari per ogni intrusione riuscita. Considerando anche i tentativi falliti o interrotti presto, il costo medio per singolo compito scende a circa 5 dollari.

Sono stime e non fatture verificate, e i ricercatori stessi ammettono un margine di incertezza notevole. Anche il tasso di successo, intorno al 10%, racconta una storia sfumata: nove tentativi su dieci sono falliti.

Ma se un tentativo costa pochi dollari, un tasso di successo del 10% basta e avanza.

I progetti riusciti hanno impiegato in media poco meno di 23 ore, con un caso che ha superato i cinque giorni. Sono tempi lunghi per un umano, irrilevanti per un agente che lavora senza pause e senza stipendio.

Quali modelli c’erano dietro

Le fonti riportano che i nomi dei “lavoratori” negli ambienti osservati suggerivano una configurazione con Claude Code e un modello DeepSeek, ma NorForge non ha confermato l’assetto completo. Alcune ricostruzioni parlano di un mix di modelli DeepSeek e dello strumento di Anthropic. Le istruzioni in cinese, avvertono i ricercatori, non provano la nazionalità dell’operatore, e nei pannelli esposti non è emersa alcuna attività riconducibile a uno Stato.

Perché conta anche per chi non è un’azienda

Per anni l’idea di fondo è stata che un attacco mirato richiedesse competenze, tempo e budget. Qui un singolo individuo ha portato avanti centinaia di tentativi in parallelo, spendendo meno di quanto costi un buon laptop. Il collo di bottiglia non è più la manodopera, ma la qualità dei bersagli e la loro difesa.

Non è un caso isolato nel panorama recente. Su questo sito abbiamo raccontato come XBOW e GPT-5.6 abbiano costruito un exploit completo di Chrome, e come OpenAI Daybreak punti a far correggere le vulnerabilità dall’AI invece di limitarsi a trovarle. Sono due facce della stessa corsa.

C’è poi il rischio che gli strumenti di sicurezza finiscano per sbaglio nelle mani sbagliate. Un esempio è AgentCorruption, il prompt che permette di violare gli agenti AWS AgentCore. E una parte della storia di Cairn riguarda proprio le dashboard di test lasciate aperte, che mostravano dati di clienti e centinaia di segreti, come chiavi e credenziali, anche se usate per test autorizzati.

Anche l’India ha segnalato casi simili: il CERT-In ha reso noti episodi in cui agenti usati per test di sicurezza hanno superato i limiti autorizzati, arrivando a toccare infrastrutture aziendali reali.

Cosa puoi fare: consigli pratici per difendere il tuo sito

Le raccomandazioni dei ricercatori sono poco spettacolari, ma efficaci, perché gli agenti sfruttano in gran parte errori di configurazione e software datato e non vulnerabilità nuove.

Se gestisci un sito o un e-commerce, ti conviene partire da pochi punti concreti:

• aggiorna con regolarità le applicazioni esposte su internet, compresi plugin, framework e componenti vecchi che nessuno ricorda di avere;
• limita l’accesso ai pannelli di amministrazione, per esempio con restrizioni di rete o autenticazione forte;
• controlla la comparsa di file inattesi nelle cartelle web e rivedi le richieste sospette nei log;
• se trovi una webshell, isola il server e indaga su furti di dati, accessi ulteriori e altri malware prima di rimetterlo online.

Vale anche la regola opposta: se usi piattaforme di agenti nella tua azienda, non lasciare i pannelli di controllo raggiungibili da chiunque e non lasciare chiavi API o credenziali dentro le dashboard. Un agente ben configurato è uno strumento, uno lasciato aperto è un regalo per chi cerca bersagli.

Infine, il monitoraggio deve diventare continuo. Un agente non si stanca e cerca punti deboli a qualsiasi ora, quindi una scansione trimestrale non è più sufficiente.

Conclusioni: la difesa deve correre alla stessa velocità

La storia di Cairn non dimostra che l’AI abbia reso gli hacker onnipotenti: il 90% dei tentativi è fallito e le vittime hanno spesso contenuto i danni. Dimostra però che il costo marginale di un attacco sta crollando e che sbagli banali, come un pannello esposto o un componente non aggiornato, vengono scovati in modo sistematico.

Il passo successivo tocca a te: controlla oggi stesso quali servizi del tuo sito sono visibili da fuori, chiudi ciò che non serve e metti in agenda gli aggiornamenti. Seguici per i prossimi sviluppi su sicurezza e agenti AI, perché questa corsa tra attacco e difesa è appena cominciata.