La scoperta di JadePuffer, il primo caso documentato di ransomware “agentico”, ha riaperto una delle discussioni più delicate dell’era dell’intelligenza artificiale: quando un sistema AI smette di essere semplicemente uno strumento nelle mani di un attaccante e diventa un esecutore capace di pianificare, adattarsi e completare autonomamente una sequenza operativa complessa. La ricerca pubblicata da Sysdig rappresenta un punto di svolta non perché dimostri l’esistenza di hacker robot completamente indipendenti, una visione cinematografica che spesso accompagna ogni nuova ondata tecnologica, ma perché evidenzia qualcosa di più concreto e forse più preoccupante: la progressiva industrializzazione del cybercrime attraverso agenti intelligenti.
La prima comunicazione sul caso aveva alimentato titoli molto forti, parlando di un attacco condotto “senza supervisione umana” e “senza nessuno alla tastiera”. Una descrizione suggestiva, ma parzialmente imprecisa. Come chiarito successivamente da Michael Clark, senior director of threat research di Sysdig, una componente umana era ancora presente. Un operatore aveva preparato l’infrastruttura, configurato i server di comando e controllo, predisposto l’ambiente per la raccolta dei dati rubati e selezionato il bersaglio. L’intelligenza artificiale non aveva quindi deciso autonomamente chi colpire né aveva creato da zero l’intera campagna criminale.
Questo dettaglio cambia la prospettiva, ma non ridimensiona necessariamente la portata dell’evento. La vera novità non è la scomparsa dell’essere umano dal cyberattacco, bensì la trasformazione del suo ruolo. Il criminale informatico potrebbe progressivamente spostarsi da esecutore tecnico a orchestratore di sistemi autonomi, esattamente come un manager coordina processi industriali senza intervenire su ogni singola operazione. L’AI non elimina il criminale; ne aumenta la capacità produttiva.
Secondo la ricostruzione di Sysdig, l’agente utilizzato in JadePuffer è riuscito a sfruttare una vulnerabilità nota di Langflow, un ambiente utilizzato per costruire applicazioni basate su modelli linguistici, penetrando successivamente in un database MySQL e sfruttando ulteriori falle per ottenere privilegi amministrativi. L’operazione avrebbe portato alla cifratura di oltre 1.300 record di configurazione e alla generazione automatica di una richiesta di riscatto con tanto di indirizzo Bitcoin.
L’aspetto più interessante non riguarda però le tecniche utilizzate, che appartengono ancora al repertorio classico del cybercrime. Vulnerabilità note, credenziali compromesse, movimento laterale nella rete e cifratura dei dati sono strumenti conosciuti da anni. La differenza sta nella velocità e nella capacità dell’agente di adattarsi. Secondo i ricercatori, il sistema è riuscito a correggere un errore di autenticazione in appena 31 secondi, descrivendo contemporaneamente il proprio processo attraverso commenti in linguaggio naturale all’interno del codice.
Questa caratteristica introduce una nuova categoria di rischio. Gli attacchi tradizionali richiedono competenze, tempo e coordinamento umano; un agente AI può comprimere molte di queste attività in un flusso continuo, riducendo il costo marginale di ogni nuova operazione. La domanda strategica per il settore della sicurezza non è quindi soltanto se un’intelligenza artificiale possa condurre un attacco autonomo, ma quanto velocemente il mercato criminale riuscirà a trasformare questi strumenti in servizi scalabili.
Un elemento emerso successivamente riguarda i modelli linguistici utilizzati. Inizialmente la presenza di chiavi API appartenenti a diversi fornitori, tra cui OpenAI, Anthropic, DeepSeek e Google, aveva fatto ipotizzare l’impiego di più modelli durante l’attacco. Successivamente Sysdig ha chiarito che quelle chiavi erano semplicemente parte dei dati rubati dall’agente durante l’esplorazione del sistema compromesso e non indicavano quali modelli avessero guidato l’operazione.
Il modello preciso alla base di JadePuffer non è stato identificato. Questo lascia aperta una delle questioni più importanti: il livello di sicurezza dei modelli utilizzati. Geoff McDonald, ricercatore di Microsoft, aveva ipotizzato che potesse trattarsi di un modello open-weight privato dei meccanismi di sicurezza normalmente presenti nei sistemi commerciali più avanzati. Una possibilità plausibile, considerando che molti esperimenti di red teaming mostrano come i modelli frontier abbiano ancora barriere significative contro determinati comportamenti offensivi.
La discussione sul futuro del ransomware agentico deve quindi evitare due estremi opposti: il panico tecnologico e il falso senso di sicurezza. Non siamo ancora davanti a eserciti digitali completamente autonomi capaci di scegliere obiettivi e colpire indiscriminatamente il pianeta. La presenza umana rimane un elemento centrale. Tuttavia, anche una supervisione minima può diventare sufficiente quando il lavoro operativo viene delegato a sistemi capaci di analizzare ambienti, correggere errori e completare attività in tempi incompatibili con le capacità umane.
Il punto critico per aziende e governi sarà prepararsi a una nuova economia degli attacchi informatici, dove il vantaggio competitivo non sarà soltanto nelle capacità tecniche degli hacker, ma nella disponibilità di infrastrutture AI economiche e facilmente replicabili. La cybersecurity entra così in una fase simile a quella vissuta dal cloud computing: ciò che prima richiedeva grandi risorse diventa accessibile a un numero crescente di operatori, compresi quelli con intenzioni criminali.
La Silicon Valley ha spesso presentato gli agenti AI come assistenti personali capaci di aumentare la produttività, automatizzare processi e liberare tempo umano. La stessa architettura, però, può essere utilizzata per automatizzare attività ostili. La differenza tra un assistente intelligente e un operatore criminale artificiale potrebbe dipendere meno dalla tecnologia in sé e molto di più da chi controlla l’obiettivo, l’infrastruttura e i vincoli imposti al sistema. La prossima battaglia della sicurezza digitale non sarà quindi soltanto contro gli hacker, ma contro la possibilità che il cybercrime diventi una fabbrica automatizzata.