Microsoft ha appena pubblicato una ricerca che dovrebbe attirare l’attenzione di chiunque stia integrando agenti AI nei processi di sviluppo software. La vulnerabilità, nel frattempo corretta da Anthropic, riguardava Claude Code e il suo utilizzo all’interno delle pipeline GitHub Actions. In termini semplici, un attaccante poteva inserire istruzioni malevole all’interno di issue, pull request o commenti GitHub e convincere l’agente AI a recuperare credenziali sensibili presenti nell’ambiente di build, aggirando alcuni meccanismi di protezione e persino gli strumenti di secret scanning.

La notizia potrebbe sembrare l’ennesimo episodio della lunga storia delle vulnerabilità software. In realtà rappresenta qualcosa di più interessante. Non stiamo osservando un semplice difetto di implementazione, ma uno scontro diretto tra due paradigmi: da una parte la sicurezza tradizionale basata su confini ben definiti, dall’altra gli agenti AI che interpretano linguaggio naturale e prendono decisioni operative all’interno di sistemi critici.

Secondo i ricercatori Microsoft, il problema nasce dal fatto che gli agenti AI elaborano contenuti provenienti da utenti esterni e successivamente possono utilizzare strumenti privilegiati. In una pipeline CI/CD questo significa avere accesso a chiavi API, token cloud, credenziali di produzione e altri segreti aziendali. Fino a pochi anni fa un commento GitHub era semplicemente testo. Oggi potrebbe essere considerato codice eseguibile mascherato da linguaggio umano.

Questa è probabilmente la frase più importante dell’intera vicenda: il linguaggio naturale sta diventando un’interfaccia di esecuzione.

L’industria ha separato rigidamente dati e istruzioni. Un database conteneva dati. Un programma conteneva istruzioni. L’intera disciplina della sicurezza informatica si è sviluppata attorno a questa distinzione. Gli LLM stanno progressivamente demolendo quel confine. Un commento, una mail, una documentazione tecnica o una pagina web possono trasformarsi in vettori di comando per un agente autonomo.

Il caso Claude Code mostra quanto questa trasformazione sia ancora sottovalutata. Microsoft è riuscita a costruire una catena di attacco in cui istruzioni nascoste venivano recuperate da un dominio controllato dai ricercatori, inducendo il modello a leggere credenziali riservate, modificarle per evitare il rilevamento automatico e successivamente esfiltrarle attraverso commenti GitHub, log di workflow o richieste web.

Anthropic ha corretto il problema rapidamente, distribuendo la patch nella versione 2.1.128 dopo la segnalazione ricevuta tramite HackerOne. La velocità della risposta è stata adeguata. Tuttavia sarebbe un errore interpretare questa vicenda come un incidente isolato.

La ricerca Microsoft evidenzia una dinamica che probabilmente accompagnerà l’intera generazione di agenti AI. Più autonomia viene concessa ai modelli, maggiore diventa il valore economico di un prompt injection riuscito. Un attaccante non deve più compromettere direttamente un server. Può semplicemente convincere l’agente che gestisce il server a collaborare.

Nel frattempo emerge un’altra tendenza ancora più significativa. Gli stessi modelli stanno diventando straordinariamente efficaci nella ricerca di vulnerabilità. Anthropic sostiene che oltre l’80% del codice integrato nei propri sistemi venga ormai scritto da Claude. Parallelamente l’azienda sta ampliando il programma Project Glasswing, offrendo accesso controllato a modelli avanzati dedicati alla scoperta di bug e vulnerabilità.

Il settore della cybersecurity si trova quindi davanti a una curiosa inversione storica. Gli strumenti che difendono i sistemi sono gli stessi che rendono più efficaci gli attacchi.

L’ex ricercatore di Anthropic e DeepMind, Stanislav Fort, sostiene che limitare l’accesso ai modelli più avanzati sarebbe una forma di “security by obscurity”, una delle pratiche meno efficaci nella storia della sicurezza informatica. La sua osservazione merita attenzione. Le capacità di ricerca delle vulnerabilità stanno rapidamente diffondendosi tra modelli commerciali, open source e strumenti specializzati. Bloccare alcuni sistemi non elimina il problema; al massimo rallenta temporaneamente la sua diffusione.

Il fenomeno è particolarmente evidente nel mondo crypto. Un ricercatore indipendente ha recentemente utilizzato Claude Opus per individuare una vulnerabilità critica nel protocollo privacy di Zcash, un difetto che avrebbe potuto consentire la creazione illimitata di token contraffatti e che era rimasto nascosto per anni. Il bug è stato corretto, ma l’episodio dimostra come modelli AI avanzati possano individuare debolezze che erano sfuggite a intere comunità di sviluppatori e revisori.

Qui emerge una conseguenza economica spesso ignorata. L’intelligenza artificiale non sta semplicemente aumentando la produttività degli sviluppatori; sta aumentando la produttività degli attaccanti e dei difensori contemporaneamente. La differenza competitiva non sarà determinata dall’accesso all’AI, ma dalla velocità con cui le organizzazioni riusciranno a integrare queste capacità nei propri processi.

Nel mondo enterprise il rischio più grande non è che l’AI diventi malvagia. È molto più banale. Le aziende stanno delegando privilegi elevati a sistemi che interpretano testo non affidabile. Questa combinazione produce una superficie d’attacco completamente nuova.

Molti dirigenti tecnologici stanno osservando con entusiasmo i numeri sulla produttività generata dagli agenti di coding. Otto volte più codice prodotto. Pipeline accelerate. Costi ridotti. Tempi di sviluppo compressi. Sono metriche reali e rilevanti. Tuttavia ogni aumento di produttività introduce una nuova forma di rischio sistemico. La storia dell’informatica è piena di tecnologie che inizialmente sembravano semplici acceleratori e che successivamente hanno richiesto intere discipline dedicate alla loro messa in sicurezza.

Gli agenti AI sembrano destinati a seguire esattamente lo stesso percorso.

La vera lezione del caso Claude Code non riguarda Anthropic, Microsoft o una particolare vulnerabilità. Riguarda il fatto che stiamo costruendo sistemi in cui il linguaggio umano acquisisce progressivamente privilegi operativi. Quando un commento GitHub può influenzare direttamente un’entità capace di leggere segreti, eseguire codice e modificare infrastrutture, il concetto stesso di input non attendibile assume un significato completamente nuovo.

Per anni il mantra della cybersecurity è stato “mai fidarsi dell’utente”. Nell’era degli agenti AI occorrerà aggiornarlo: mai fidarsi del testo. Anche quando sembra una semplice richiesta di revisione del codice. Anche quando appare come un innocuo commento in una pull request. Soprattutto quando è scritto in un perfetto linguaggio naturale.