The Pulse
Symantec scopre l’agente «Skynet», che prende di mira modelli di IA esposti
Secondo i ricercatori di Symantec, un agente chiamato «Skynet» è stato creato per prendere il controllo degli endpoint esposti dei modelli di IA e usarli per attacchi informatici e mining di criptovalute. Il loro rapporto descrive un arsena
AI.info Team · Scritto con l’IA · verificato ·
«Il proprietario del modello dirottato paga la potenza di calcolo, mentre i server in cui l’agente si introduce vengono privati dei dati e messi a lavorare nel mining.»
Priti More e Susmit Yenkar, ricercatori di IA e cybersicurezza, team dati e ML per la sicurezza aziendale, ESG Broadcom
I ricercatori di Symantec affermano di aver acquisito le istruzioni di un agente progettato per dirottare servizi di modelli di IA esposti e usarli per condurre attacchi informatici. Il rapporto, pubblicato il 21 ottobre 2026, definisce l’operazione «LLMjacking»: gli aggressori rubano l’accesso a un modello o una chiave API, scaricando i costi dell’inferenza sul proprietario e usando il modello per pianificare attacchi altrove.
Gli operatori dell’agente chiamavano una delle direttive operative «Skynet mode». Ordinava a un modello di cercare bersagli, sfruttare le vulnerabilità dei sistemi, raccogliere credenziali e database, installare software per il mining di criptovalute e ripetere il processo, fino a 100.000 passaggi senza richiedere l’approvazione umana. La cifra indica il numero di passaggi autorizzato dalle istruzioni, non un numero verificato di passaggi completati dall’agente.
Un honeypot ha acquisito le istruzioni dell’agente
Symantec afferma di aver raccolto l’intero insieme di istruzioni nell’estate 2026 tramite un honeypot per l’IA: un servizio costruito per sembrare l’endpoint di un modello non protetto e attirare tentativi di utilizzo dell’infrastruttura di IA. Gli operatori hanno inviato il prompt aspettandosi che un modello funzionante lo eseguisse. L’honeypot non ha eseguito né gli strumenti né gli attacchi descritti nel prompt.
La richiesta comprendeva circa 74 definizioni di strumenti offensivi, tra cui funzioni per individuare risorse su tutta internet, estrarre il contenuto di database e sfruttare vulnerabilità di software come VS Code, Django, Jupyter, Laravel, Supabase e Flask/Werkzeug. Altri strumenti erano descritti come destinati a prendere di mira i servizi di metadati cloud tramite falsificazione delle richieste lato server e a gestire le attività di una botnet. Secondo Symantec, l’elenco degli strumenti era più ampio del breve riepilogo incluso nella richiesta.
La sessione acquisita si è fermata prima di un attacco
Il prompt conteneva la registrazione di tre precedenti chiamate a strumenti contro una piattaforma di formazione presa di mira: un tentativo di sondare una vulnerabilità alla falsificazione delle richieste lato server, un passaggio di fingerprinting e una scansione delle vulnerabilità. La cronologia fornita non mostrava alcuna vulnerabilità rilevata. Quando l’honeypot ha restituito una risposta generica di ripiego anziché una chiamata a uno strumento, la sessione si è conclusa; Symantec afferma che nessuna delle chiamate elencate è stata eseguita sull’honeypot.
Il giorno seguente è arrivata una richiesta separata da un indirizzo diverso, usato a rotazione. Chiedeva a un modello di decodificare una stringa codificata che si è rivelata uno script di shell compresso. Lo script era configurato per scaricare o compilare XMRig, un software per il mining di Monero, e comprendeva passaggi per nascondere il software di mining e cancellare i log dei servizi locali. Anche in questo caso, l’honeypot ha acquisito la richiesta senza eseguirla.
Gli endpoint esposti scaricano i costi sui proprietari
Symantec afferma che, nel periodo considerato, il suo honeypot ha registrato più di 127.000 richieste esterne provenienti da decine di migliaia di indirizzi distinti. L’azienda descrive gran parte di questo traffico come attività di ricognizione degli endpoint dei modelli, tentativi di usare chiavi API rubate e ricerche di file di configurazione esposti. Queste cifre riguardano l’attività osservata dall’honeypot; il rapporto non le presenta come un conteggio delle infezioni da Skynet.
Gli endpoint non protetti possono dare accesso gratuito a modelli ospitati in proprio o a servizi commerciali a pagamento, mentre le chiavi rubate possono trasferire i costi dell’inferenza al titolare dell’account. Il rapporto osserva inoltre che un servizio compromesso può garantire l’anonimato agli aggressori e consentire loro di tentare di aggirare i controlli di sicurezza di un modello commerciale. Il piano degli operatori abbinava questa capacità di ragionamento presa in prestito a strumenti separati per la scansione, lo sfruttamento delle vulnerabilità e il mining.
L’autenticazione è la prima difesa
Le raccomandazioni di Symantec partono dal non esporre su internet le API dei modelli, i server ospitati in proprio e gli endpoint Model Context Protocol, a meno che non richiedano l’autenticazione su ogni percorso, compresi quelli per i controlli dello stato e gli elenchi dei modelli. L’azienda consiglia inoltre di limitare rigorosamente l’ambito delle chiavi API e di cambiarle periodicamente, di monitorare l’utilizzo dell’inferenza e la spesa, e di limitare l’accesso alla rete in uscita dai sistemi su cui operano gli agenti.
Per gli agenti che possono usare strumenti, Symantec raccomanda accessi basati sul principio del privilegio minimo e l’approvazione umana per le azioni sensibili, oltre all’applicazione di aggiornamenti di sicurezza o alla rimozione dei servizi esposti al pubblico citati nell’insieme di strumenti. Le richieste acquisite mostrano il rischio immediato: un endpoint lasciato aperto su internet può diventare la sessione con un modello di qualcun altro, lasciando al proprietario il conto della potenza di calcolo.