Un aggressore che parla cinese ha collegato il modello DeepSeek a un framework per agenti autonomi e lo ha usato come "cervello" per condurre attacchi informatici quasi senza intervento umano. A ricostruire il caso è stata Unit 42, la divisione di ricerca sulle minacce di Palo Alto Networks, in un rapporto diffuso a cavallo tra il 30 luglio e il 1º agosto 2026. È uno dei primi casi documentati di un'IA commerciale trasformata in operatore offensivo su larga scala, e arriva a pochi giorni dalle rivelazioni di Anthropic sui propri modelli capaci di individuare e sfruttare vulnerabilità in ambienti di test.
Come funziona l'attacco: DeepSeek dentro Hermes Agent
L'attore, identificato con gli alias "knaithe" e "KnYuan" e collocato da Unit 42 nella città di Zhuhai, ha inserito DeepSeek dentro Hermes Agent, un framework open source che dà a un modello accesso al terminale, orchestrazione di "skill" e integrazioni tramite il protocollo MCP (Model Context Protocol). In questo schema DeepSeek non si limita a rispondere a domande: agisce. Genera le query di ricognizione sui motori di scansione come FOFA, interpreta i risultati per capire quali servizi sono esposti, valuta le vulnerabilità note (le CVE) associate a quei servizi, sceglie i bersagli più promettenti e adatta la logica di attacco in base a ciò che trova. È il modello a decidere il passo successivo, non un operatore che scrive ogni comando.
Il tutto veniva pilotato via Telegram: l'aggressore inviava istruzioni di alto livello da una chat — "cerca sistemi con questa vulnerabilità", "prova a sfruttarli" — e l'agente traduceva quelle richieste in enumerazione dei bersagli, ricerca degli exploit ed esecuzione degli attacchi in modo non interattivo. Un'interfaccia che chiunque sa usare, sopra un motore capace di ragionare sui passaggi tecnici: è questa combinazione a preoccupare i ricercatori.
460 bersagli, tre organizzazioni violate via NetScaler
La campagna ha preso di mira oltre 460 sistemi esposti su internet. Unit 42 ha confermato l'esfiltrazione di dati da tre organizzazioni sfruttando CVE-2026-3055, una falla di lettura oltre i limiti di memoria (memory over-read) in NetScaler ADC e Gateway di Citrix, presente quando le appliance sono configurate come identity provider SAML. Una vulnerabilità di questo tipo permette di leggere porzioni di memoria che dovrebbero restare riservate, dove possono finire token di sessione e credenziali. I ricercatori precisano una sfumatura importante: gli attacchi autonomi osservati in diretta non sempre andavano a segno contro i server presi di mira, segno che l'automazione totale è ancora imperfetta. Ma l'insieme dimostra un flusso di lavoro offensivo capace di scoprire, valutare e colpire sistemi vulnerabili con un intervento umano ridotto al minimo.
Perché ha scelto DeepSeek e non Claude o GPT
Il dettaglio più significativo è la motivazione della scelta. Secondo il rapporto, l'aggressore è passato a DeepSeek dopo aver constatato che i controlli di sicurezza di modelli come Claude di Anthropic e quelli di OpenAI bloccavano gli usi offensivi: quando gli veniva chiesto di generare exploit o pianificare intrusioni, quei sistemi si rifiutavano. DeepSeek, con protezioni più deboli, si è prestato al compito. È, paradossalmente, la prova sul campo che i "guardrail" dei laboratori occidentali hanno un valore difensivo misurabile: non sono solo prudenza formale o cautela per gli investitori, ma un ostacolo concreto per chi vuole automatizzare un attacco. Alcuni analisti la definiscono la prima dimostrazione operativa che investire in sicurezza dei modelli produce un beneficio di cybersicurezza reale.
Resta il rovescio della medaglia: i modelli con meno filtri esistono, sono spesso open source o a basso costo, e chi vuole abusarne può scaricarli o richiamarli via API a poche frazioni di centesimo per migliaia di token. La disponibilità di capacità offensive potenti si sta democratizzando, e la difesa non può contare solo sul fatto che il modello "più bravo" dica di no.
Cosa dice sul futuro degli attacchi automatici
Il caso segna un punto di svolta rispetto agli attacchi "assistiti" dall'IA visti finora, in cui un umano chiedeva al modello qualche riga di codice o un consiglio. Qui il modello è parte del ciclo decisionale: enumera, ragiona, sceglie, esegue e riprova. Per i difensori significa aspettarsi campagne più veloci, più economiche e capaci di adattarsi in tempo reale alle contromisure. La ricognizione automatizzata può scandagliare l'intera superficie esposta di un'organizzazione in minuti, provando decine di combinazioni prima che un analista umano si accorga di qualcosa.
Come proteggersi subito
Per le aziende le indicazioni operative sono chiare. Va applicata al più presto la patch per CVE-2026-3055 su tutte le appliance NetScaler, con particolare attenzione a quelle che fanno da identity provider SAML. Vanno ridotte le superfici esposte su internet, disattivati i servizi non necessari, monitorati gli accessi anomali e riviste le regole di rilevamento, perché un agente automatico può tentare migliaia di combinazioni in poco tempo e va intercettato dai pattern di traffico più che dal singolo comando. Utile anche segmentare la rete, imporre l'autenticazione a più fattori sugli accessi critici e tenere log dettagliati per ricostruire eventuali intrusioni.
Sul piano più generale, il caso rafforza un'idea che AI Notizie ha già raccontato in altri contesti: la sicurezza dei modelli — chi può usarli, per cosa e con quali limiti — non è un tema etico astratto, ma una componente concreta della cybersicurezza di tutti. La stessa capacità che rende un'IA utile a un difensore, per trovare falle prima degli aggressori, la rende pericolosa in mani ostili quando mancano i freni. La regolamentazione, gli standard di settore e le scelte dei singoli laboratori su cosa consentire diventano così parte integrante della difesa collettiva.
