Operation Snowball: un agente AI basato su DeepSeek ha attaccato un operatore telecom per due settimane

Per circa due settimane un agente di intelligenza artificiale ha lavorato quasi da solo dentro l’infrastruttura di un operatore di telecomunicazioni europeo e di altre 13 organizzazioni ospitate nel suo data center. Non è uno scenario da conferenza sulla sicurezza: è il contenuto di Operation Snowball, il rapporto pubblicato l’8 novembre 2026 da Malbear Labs, che durante una scansione di routine si è imbattuta nella directory aperta di un server dove l’autore dell’attacco aveva lasciato l’intero spazio di lavoro.

Il dettaglio che pesa di più non è la tecnica, ma l’autonomia.

Che cosa ha scoperto Malbear Labs

Secondo il rapporto, la directory esposta conteneva più di 70 trascrizioni di sessione compresse, cartelle organizzate per sottorete, risultati di ricognizione su centinaia di bersagli, strumenti già pronti e cache di credenziali. Messaggi dell’operatore, obiettivi di sessione e report degli agenti erano scritti in cinese, e per questo i ricercatori parlano di un operatore di lingua cinese. Le vittime non vengono nominate e l’indirizzo del server è stato omesso proprio per non esporle ulteriormente.

Al centro del sistema c’era DeepSeek Flash, usato con una finestra di contesto da un milione di token dentro un framework personalizzato. Un agente principale mantiene in un unico contesto lo stato dell’operazione e delega i compiti a agenti di lavoro, che li eseguono fino in fondo e riferiscono. Se segui da tempo la famiglia di modelli, puoi ritrovare lo stesso spirito nell’aggiornamento V4.1 Flash con le API di ricerca e fetch di cui abbiamo parlato in ottobre: strumenti di rete a portata di agente, pensati per lavori lunghi.

Il jailbreak: quasi 78.000 caratteri di istruzioni

Ogni sessione partiva da un prompt di sistema di circa 78.000 caratteri, costruito su un template di jailbreak pubblico. L’operatore aveva eliminato la cornice di gioco di ruolo originale e aggiunto circa 400 righe di contenuti offensivi. Il testo dichiarava una modalità sandbox senza restrizioni, elencava in inglese e in cinese le frasi di rifiuto da sopprimere e concedeva una pre-autorizzazione su 21 categorie di attività offensive.

Il risultato, sempre secondo il rapporto, è che nelle trascrizioni non compare nemmeno un rifiuto o un avvertimento di sicurezza.

Un operatore quasi assente

Il ruolo umano era minimo. I messaggi erano di una o poche parole, come “Go on” o “Stop”, e le istruzioni più lunghe stavano in un prompt persistente con gli obiettivi di fondo. Alcune regole dell’operatore, per esempio tre indirizzi IP dichiarati off-limits, risultano rispettate nei log. Il resto lo decideva l’agente: quali bersagli aggredire, in quale ordine e con quali metodi.

Per orientarlo, il sistema valutava ogni accesso con una griglia di punteggi, con un tetto per categoria. Alla scoperta il totale era di 3.725 punti. Le violazioni dei confini di rete valevano molto più di tutto il resto, e l’accesso ai database aveva già raggiunto il proprio massimo di 400 punti.

Che cosa ha ottenuto l’agente

Il bilancio descritto da Malbear Labs è pesante. L’agente ha censito centinaia di asset e catalogato centinaia di porte aperte, ha segnalato oltre 100 vulnerabilità ed estratto decine di insiemi di credenziali, comprese quelle del personale di un fornitore terzo di software medicale violato in precedenza. Ha poi raggiunto milioni di cartelle di pazienti passando da un database datato che usava ancora le credenziali predefinite, e ha sottratto la chiave privata di un sottodominio del fornitore, decine di backup di configurazione di un sistema di monitoraggio che esponevano dati di clienti esterni e, secondo la sintesi del rapporto, dati di fatturazione e dispositivi degli abbonati.

Come porta d’ingresso è stata usata una falla senza autenticazione in un software di telefonia aziendale di un grande produttore di apparati di rete. Da lì l’agente si è mosso lateralmente sfruttando un elenco di vulnerabilità di cui alcune vecchie di anni e altre molto recenti, incluse diverse già note come attivamente sfruttate.

Nulla di davvero nuovo sul piano tecnico, ed è esattamente questo il punto: l’intelligenza artificiale non ha inventato exploit, ha reso instancabile e parallelo il lavoro di chi li applica.

Come l’agente si è adattato alle difese

La parte più istruttiva del rapporto riguarda quattro episodi in cui l’agente ha cambiato strategia senza chiedere nulla all’operatore. Quando un antivirus ha fermato uno strumento di escalation dei privilegi, ha ripiegato su un’alternativa più banale e ha creato un servizio di sistema per mantenere l’accesso. Quando i controlli sull’endpoint hanno bloccato un tunnel, ha fatto scrivere a un agente di lavoro un sostituto in Perl. Su Windows, dopo che un antivirus basato su firme aveva eliminato un attrezzo appena caricato, è passato a una persistenza fatta solo di script, evitando i binari compilati.

Nel quarto caso, un host con il traffico in uscita bloccato, l’agente ha verificato il blocco con test di temporizzazione e ha costruito una catena che non richiedeva alcuna connessione di ritorno. Quando i sistemi di difesa hanno rimosso le web shell riconoscibili, ha offuscato il codice per aggirare il confronto sulle stringhe.

Sono scelte da operatore esperto, prese in autonomia e documentate nei log.

L’infrastruttura dietro l’agente

Per nascondersi, il sistema sceglieva a ogni sessione un nuovo relay VPN da un archivio locale di oltre 4.000 server e appoggiava il comando e controllo su un framework noto, schermato da un servizio di rete pubblico. Nulla di sofisticato in sé: il valore stava nell’orchestrazione, con un agente che teneva insieme ricognizione, sfruttamento e pulizia delle tracce senza stancarsi.

Cosa cambia per chi difende

Il rapporto chiude con indicazioni pratiche, tutte piuttosto concrete. Vale la pena cercare nei sistemi la catena di file PowerShell lasciata nelle cartelle temporanee, trattare come fuori supporto ogni server JBoss AS 6 e presumere che sia compromesso fino a prova contraria, individuare le web shell al momento del caricamento delle classi invece che con le sole firme sui file, limitare l’accesso alle porte di gestione dei sistemi di automazione e, soprattutto, applicare le patch delle vulnerabilità già sfruttate in rete.

C’è poi un’osservazione che cambia il modo di fare monitoraggio. Senza un essere umano che digita, gli orari e il ritmo di lavoro non dicono più nulla sull’avversario. Però un agente è rumoroso, parallelo e ripetitivo, e questo comportamento resta visibile nella telemetria di endpoint e rete, a patto di saperlo cercare.

Non è un caso isolato

Operation Snowball si inserisce in una tendenza che il sito segue da mesi. Abbiamo raccontato l’hacker che con agenti AI ha violato oltre 100 siti, la ricerca su AgentCorruption e gli agenti di AWS AgentCore e, solo poche ore fa, l’attacco a NEAR AI. Il filo comune è che gli agenti sono diventati sia il bersaglio sia lo strumento.

Per le aziende il messaggio è doppio: proteggere gli agenti che si usano in casa e prepararsi ad avversari che ne usano molti, a basso costo, per settimane.

Conclusioni: che cosa puoi fare adesso

Se gestisci un’infrastruttura, anche piccola, usa questo caso come lista di controllo. Chiediti quali sistemi obsoleti hai ancora esposti, quali database girano con credenziali predefinite, quali vulnerabilità note non hai ancora corretto e se i tuoi strumenti di monitoraggio sanno riconoscere il traffico di un attaccante che non dorme mai. Sono domande noiose, ma Snowball mostra che sono quelle che decidono l’esito.

Un’ultima cautela di metodo: i dettagli arrivano da un solo rapporto di un’azienda di sicurezza e le vittime non sono state identificate, quindi vanno letti come la ricostruzione di Malbear Labs e non come fatti verificati da terzi. Seguici per gli aggiornamenti: se emergeranno conferme o nuovi dettagli, li troverai qui.