I ricercatori di Symantec affermano di aver scoperto un agente IA offensivo progettato per prendere il controllo di modelli linguistici esposti e usarli per coordinare cyberattacchi. Chi lo gestiva chiamava la modalità a lunga durata «Skynet mode»: il prompt autorizzava fino a 100.000 passaggi senza conferma umana.
Il piano prevedeva di far cercare al modello altri servizi IA esposti, sfruttare server vulnerabili, sottrarre database e credenziali e installare software per il mining di criptovalute. Symantec afferma che, in caso di abuso di un account IA a pagamento, il titolare potrebbe anche ritrovarsi a pagare il conto per l’utilizzo del modello.
Un prompt studiato per aggirare i rifiuti
Gli aggressori hanno inviato il prompt completo a una honeypot di Symantec, un sistema-esca che imita un servizio IA esposto. Il prompt comprendeva cinque livelli pensati per indurre un modello commerciale a obbedire: una falsa identità, istruzioni per presentare il furto di credenziali come una normale attività di sviluppo, la persona fittizia di un compagno e indicazioni per ignorare gli avvisi di sicurezza. Il quinto livello conteneva 74 moduli con strumenti di attacco.
Il prompt descriveva un ciclo ripetuto di scansione, infezione dei server, installazione di un cryptominer e ritorno ai sistemi già presi di mira. Symantec ha inoltre registrato un comando separato, offuscato, che avrebbe scaricato XMRig, uno strumento per il mining di Monero, e preso di mira server di telecamere tramite go2rtc.
Cosa ha mostrato la honeypot e cosa no
Il sistema-esca non ha eseguito gli strumenti inclusi nel prompt né il comando successivo: li ha registrati. Symantec afferma che l’attività intercettata era un innocuo esercizio di programmazione, il che lascia pensare che gli operatori stessero forse testando l’agente su un obiettivo sicuro. L’analisi non dimostra che il prompt a più livelli riesca ad aggirare in modo affidabile le protezioni degli attuali modelli commerciali, né che l’agente intercettato abbia portato a termine un attacco.
Perché conta
Le organizzazioni che espongono servizi IA su Internet hanno un motivo concreto per proteggere questi endpoint: Symantec ha registrato scansioni e tentativi di usare modelli esposti e afferma che il proprietario del modello potrebbe ritrovarsi a pagare per l’uso non autorizzato. La honeypot, però, ha soltanto intercettato il materiale dell’attacco; non è ancora chiaro se questo agente possa davvero indurre i modelli commerciali a eseguire l’intero piano.
