// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
Un attacco automatico raccoglie migliaia di credenziali aziendali in meno di sei ore
Un attaccante con motivazione finanziaria ha compromesso un'infrastruttura cloud e, in meno di sei ore, ha pianificato, costruito ed eseguito da solo una campagna automatica di raccolta massiva di credenziali, usando un chatbot di coding AI istruito come un agente autonomo. Lo documenta un rapporto pubblicato l'8 settembre 2026 da Google Threat Intelligence Group, che segna il passaggio degli attaccanti dal prompting manuale a flussi di lavoro agentici capaci di gestire da soli scansione delle vulnerabilità, troubleshooting in tempo reale e rotazione degli indirizzi IP.
Un framework collegato a quella campagna, chiamato Recon, ha organizzato oltre 23.800 credenziali raccolte in un'unica dashboard, comprese chiavi d'accesso a servizi cloud e AI. Il rapporto documenta anche un gruppo distinto, UNC6780, che ha compromesso pacchetti usati dagli strumenti di coding AI, fra cui una versione modificata di tiktoken_mcp distribuita su PyPI e un'estensione MCP per Azure Functions alterata su un repository GitHub ufficiale, in modo da far entrare codice malevolo negli ambienti degli sviluppatori al semplice download.
Il rapporto, intitolato GTIG AI Threat Tracker, arriva con un commento diretto di John Hultquist, capo analista di Google Threat Intelligence Group: i criminali che hanno condotto una campagna come questa, in appena sei ore, si orienteranno verso attacchi più veloci di quanto chi difende riesca a rispondere. UNC6780 non si è limitato a rubare credenziali: ha nascosto i propri strumenti dentro cartelle di sviluppo come .claude, .cursor e .vscode, mascherando le attività malevole sotto nomi innocui nei sistemi di CI/CD e cancellando i log per non lasciare tracce.
Google risponde mettendo in campo un'architettura di difesa che chiama AI Threat Defense, che unisce il ragionamento dei modelli Gemini alla definizione delle priorità di rischio, oltre a un nuovo modello, Gemini 3.8 Flash Cyber, dedicato specificamente a individuare vulnerabilità e produrre patch in automatico. È la stessa corsa già vista negli attacchi gestiti da agenti IA senza supervisione umana: chi difende costruisce strumenti altrettanto autonomi, nella speranza di restare al passo.
Il caso di tiktoken_mcp si somma a una serie di episodi simili nell'ultimo anno, dai pacchetti fantasma installati da agenti AI mal configurati fino ai rischi di sicurezza del protocollo MCP che gli stessi strumenti di coding usano per parlare con i sistemi esterni. Ogni nuovo strato di autonomia, sia per chi attacca sia per chi difende, sposta il collo di bottiglia più a monte: non basta più controllare cosa fa un programma, bisogna controllare cosa può decidere di fare da solo un agente che lo scrive e lo distribuisce.
Aggiungi Tom's Hardware alle tue fonti preferite su Google
Un agente autenticato può perdere il controllo, esporre dati o subire un avvelenamento della memoria, e la difesa sta in sei livelli.