L’integrazione pervasiva dell’intelligenza artificiale generativa all’interno dei processi operativi quotidiani ha radicalmente modificato l’ecosistema informatico globale, introducendo straordinarie opportunità ma anche nuove sfide nell’ambito della cybersecurity. Mentre la comunità scientifica e i responsabili della sicurezza concentrano spesso la propria attenzione sulle vulnerabilità strutturali dei modelli linguistici di grande dimensione (LLM) o sui rischi legati all’invenzione di codice vulnerabile, si sta delineando una minaccia decisamente più subdola e pragmatica. I cybercriminali non stanno cercando di bucare gli algoritmi di apprendimento profondo, bensì sfruttano la reputazione e l’affidabilità dei domini ufficiali legati all’IA per superare i tradizionali controlli di sicurezza. La fiducia cieca che gli utenti e i filtri di protezione ripongono nei brand tecnologici viene come spesso accade sfruttato per veicolare malware e sottrarre dati sensibili.
A evidenziare questa preoccupante tendenza è una recente analisi dell’azienda di cybersecurity Huntress, che ha mostrato come gli attaccanti abbiano iniziato ad “infettare” funzionalità legittime pensate per la collaborazione, come gli Artifacts di Claude e i link di condivisione pubblica. Un caso emblematico riguarda la campagna denominata FakeAgent, che nel mese di luglio ha preso di mira oltre 29 organizzazioni. Sfruttando la possibilità di pubblicare interfacce dinamiche e anteprime di codice sul dominio ufficiale claude.ai, gli attori malevoli hanno ricreato una finta pagina di download per l’applicazione desktop di Claude. Gli utenti, guidati da ricerche sui motori di ricerca famosi come Bing, sono atterrati su una risorsa ospitata direttamente sui server di Anthropic, la quale appariva del tutto autentica. Cliccando sul pulsante di download, le vittime venivano reindirizzate verso server esterni che scaricavano il trojan SectopRAT, dimostrando come la percezione di trovarsi su una piattaforma certificata azzeri ogni dubbio all’utente.
Il fenomeno non si limita alle false interfacce di download, ma si estende alla manipolazione delle guide tecniche e della risoluzione dei problemi. In altre operazioni documentate, le vittime che cercavano istruzioni per l’installazione di software su sistemi Apple venivano reindirizzate, tramite annunci sponsorizzati o posizionamento organico, verso URL di condivisione come claude.ai/share presentati falsamente come guide ufficiali del supporto Apple. La mancanza di red flag visivi, come URL sospetti o avvisi di certificati SSL non validi, ha indotto gli utenti a fidarsi del testo generato dall’IA. Questo conteneva istruzioni dettagliate che chiedevano di copiare e inpaste un comando curl direttamente nel Terminal di macOS. L’esecuzione del comando attivava una catena d’infezione a sei stadi capace di installare lo stealer MacSync, un malware progettato per esfiltrare credenziali di accesso, token di sessione, chiavi SSH e dati dei portafogli digitali direttamente dal sistema.
Un’ulteriore evoluzione di queste tattiche sfrutta il cosiddetto SEO poisoning, tecnica che manipola i motori di ricerca per posizionare link malevoli tra i primi risultati di Google, combinato con le conversazioni pubblicate su ChatGPT e Grok. Gli attaccanti creano chat contenenti soluzioni tecniche apparentemente utili per problemi comuni, come la pulizia del disco rigido, e le rendono pubbliche sui domini chatgpt.com e grok.com. Indicizzando massicciamente queste pagine, i criminali riescono a posizionarle tra i primi risultati del motore di ricerca. La tecnica, nota nel panorama della sicurezza come approccio ClickFix, spinge la vittima a eseguire script di sistema mascherati da comandi correttivi, inoculando minacce come AMOS stealer. Da un punto di vista analitico, questo schema rappresenta una sofisticata forma di Living off the Trust, ovvero l’abuso dei confini di reputazione aziendali: i filtri web aziendali e i gateway di sicurezza, programmati per considerare sicuri e prioritari i domini delle principali aziende di IA, lasciano passare il traffico senza sollevare allerte, vanificando parte delle architetture tradizionali di perimetrazione della rete.
Poiché questi attacchi non violano la sicurezza informatica dei fornitori di IA ma sfruttano esclusivamente la reputazione dei loro domini, la risposta aziendale deve concentrarsi sulla prevenzione e sulla gestione del rischio. I responsabili della cybersecurity devono considerare pericolosi l’esecuzione di comandi copiati negli appunti e l’uso dell’IA per la risoluzione di problemi tecnici, applicando misure come la restrizione del caricamento di script tramite copia-incolla, l’uso di liste di applicazioni autorizzate e il monitoraggio di nuovi task pianificati o eccezioni negli antivirus. Inoltre, è fondamentale educare gli utenti a riconoscere le trappole di tipo ClickFix e segnalare rapidamente ai fornitori i contenuti sospetti ospitati sulle piattaforme. Sebbene queste campagne malevole abbiano una durata ridotta nel tempo, l’adozione di difese multilivello e la tempestività nelle segnalazioni consentono di ridurre significativamente il margine di manovra degli attaccanti, trasformando la consapevolezza in una protezione concreta per l’intero ecosistema digitale.