Gli agenti AI applicati ai cyberattacchi segnano il passaggio dall’automazione di singole operazioni alla delega di parti della catena decisionale dell’attacco. Anthropic ha documentato una campagna in cui l’AI avrebbe eseguito l’80-90% delle attività operative, mentre l’International AI Safety Report 2026 conferma una crescente automazione delle capacità cyber, pur senza evidenza di attacchi end-to-end completamente autonomi.   Per edifici e infrastrutture, BMS, IoT e sistemi IT/OT ampliano la superficie esposta: INGENIO analizza perché la cybersecurity diventa requisito di resilienza dell’opera e non più soltanto problema informatico.

---

Cyberattacchi con agenti AI: la previsione del 2025 sta diventando realtà

Quando il cyberattacco smette di essere soltanto automatizzato

Il 4 aprile 2025 MIT Technology Review pubblicava un articolo di Rhiannon Williams dal titolo “Cyberattacks by AI agents are coming”. Era un titolo volutamente netto, quasi una previsione più che una domanda, e partiva da un’osservazione che allora sembrava ancora confinata soprattutto nei laboratori: le stesse capacità che rendono gli agenti di Intelligenza Artificiale interessanti per il lavoro, l’industria e i servizi — pianificare attività, utilizzare strumenti, interpretare risultati e modificare autonomamente il proprio comportamento — potrebbero essere utilizzate anche per condurre attacchi informatici.

La fonte iniziale di questa analisi resta quindi l’articolo di MIT Technology Review, che descriveva un passaggio ancora in divenire: non più soltanto AI utilizzata per scrivere codice o assistere un hacker, ma sistemi capaci di assumersi progressivamente una parte delle decisioni operative che compongono un attacco. A distanza di oltre un anno, quell’intuizione merita di essere riletta perché alcune delle dinamiche allora descritte come possibili stanno cominciando a manifestarsi in casi reali, benchmark e sperimentazioni sempre più vicine agli ambienti operativi.

Il punto, tuttavia, non è immaginare una sorta di “hacker artificiale” completamente autonomo, capace di scegliere da solo un obiettivo e portare a termine un attacco senza alcun intervento umano. Sarebbe una rappresentazione suggestiva, ma oggi ancora troppo semplificata. La questione più concreta è un’altra: capire quanta parte del lavoro umano che rende possibile un cyberattacco possa essere delegata a un agente.

Ed è proprio qui che si trova la discontinuità.

Dal bot all’agente: cambia il livello decisionale

Internet è da molti anni attraversata da sistemi automatici ostili. Bot che provano credenziali, scanner che cercano porte aperte, malware che si propagano attraverso vulnerabilità note e script che scandagliano reti e server non sono certo una novità. L’automazione, nella cybersecurity offensiva, esiste da tempo.

Ciò che cambia con gli agenti AI è il livello a cui avviene questa automazione.

Un bot tradizionale esegue una procedura definita. Se la sequenza incontra una situazione non prevista, il programma tende a fermarsi o a fallire. Un agente basato su un Large Language Model può invece osservare ciò che accade, interpretare la risposta del sistema, formulare una nuova ipotesi e scegliere autonomamente quale strumento o quale azione utilizzare successivamente. In altri termini, non automatizza soltanto l’esecuzione di un compito: comincia ad automatizzare una parte della decisione.

Nell’articolo di MIT Technology Review, Dmitrii Volkov di Palisade Research riassumeva questa prospettiva con una frase estremamente semplice: “This is your target. Go and hack it.”

La forza della frase sta proprio nella sua semplicità. L’essere umano continua a stabilire il bersaglio e l’obiettivo, ma tutto ciò che sta tra quella decisione e l’esito finale può essere progressivamente delegato: ricognizione, individuazione dei servizi esposti, ricerca di vulnerabilità, generazione o adattamento di codice, verifica dei risultati, tentativi successivi, raccolta delle informazioni e, nei casi più avanzati, concatenazione di più azioni.

È questo passaggio che trasforma il problema da puramente tecnologico a industriale ed economico.

Il vero rischio è la scalabilità dell’attaccante

Tra le osservazioni più importanti contenute nel pezzo del MIT c’era quella di Mark Stockley, esperto di Malwarebytes, secondo il quale potremmo arrivare a vivere in un mondo nel quale una parte molto rilevante degli attacchi informatici viene condotta da agenti. La previsione può apparire estrema, ma diventa più comprensibile se si guarda alla questione non dal punto di vista dell’intelligenza della macchina, bensì da quello del costo del lavoro.

Gli attacchi sofisticati sono oggi limitati anche dalla disponibilità di competenze. Analizzare una rete, comprendere l’architettura di un sistema, adattare un exploit, modificare una strategia quando il primo tentativo non funziona richiede tempo, esperienza e persone qualificate. Questa scarsità pone un limite naturale al numero di attacchi realmente personalizzati che un singolo gruppo può condurre.

Un agente AI modifica proprio questo equilibrio. Non deve necessariamente inventare tecniche completamente nuove. È sufficiente che riesca a svolgere in autonomia una parte consistente delle attività già note, con costi marginali molto più bassi e con la possibilità di operare contemporaneamente su un numero molto più elevato di obiettivi.

Il problema, quindi, non è soltanto che un hacker possa diventare più efficace. È che possa moltiplicarsi.

Da questo punto di vista, l’agentic AI applicata al cybercrime segue una logica che il mondo industriale conosce bene: quando una fase di processo viene automatizzata, non diventa necessariamente perfetta, ma può diventare scalabile. E quando il processo da scalare è la ricerca di vulnerabilità su migliaia di sistemi, la conseguenza può essere un aumento significativo del numero di attacchi economicamente sostenibili.

Gli honeypot di Palisade: una trappola costruita per riconoscere l’AI

Uno degli elementi più interessanti dell’articolo di MIT Technology Review era l’esperimento sviluppato da Palisade Research attraverso il cosiddetto LLM Agent Honeypot.

L’honeypot è uno strumento noto nella cybersecurity: si espone deliberatamente un sistema apparentemente vulnerabile per osservare chi cerca di penetrarlo e con quali modalità. Palisade ha provato a fare un passo ulteriore, progettando server in grado non soltanto di attirare potenziali aggressori, ma anche di distinguere un attacco condotto da un normale bot da uno realizzato attraverso un Large Language Model.

Per farlo, i ricercatori hanno inserito all’interno degli ambienti vulnerabili istruzioni concepite per essere interpretate da un modello linguistico. In pratica hanno utilizzato tecniche di prompt injection contro l’agente che stava tentando di penetrare il sistema, trasformando la difesa in una sorta di test cognitivo rivolto all’attaccante.

Quando l’articolo fu pubblicato, il sistema aveva già registrato oltre 11 milioni di tentativi di accesso. Tra questi, i ricercatori avevano individuato alcuni possibili agenti AI e due casi considerati confermati. Dal punto di vista statistico il numero era ancora marginale rispetto al rumore prodotto da bot e scanner automatici, ma il significato era notevole: dimostrava che la distinzione tra attaccante umano, script automatico e agente AI stava cominciando a diventare un problema concreto.

In futuro, quindi, un Security Operations Center potrebbe non limitarsi a chiedersi se un sistema sia sotto attacco. Potrebbe dover capire anche che tipo di intelligenza stia conducendo l’operazione e con quale livello di autonomia.

👉 Il salto decisivo non è un’AI che consiglia l’hacker, ma un sistema capace di osservare, decidere, provare, fallire e riprovare quasi autonomamente.

Dal laboratorio alla realtà operativa

Nel corso del 2025 e del 2026, alcuni episodi hanno reso il quadro più concreto. Anthropic, ad esempio, ha documentato una campagna di cyberspionaggio nella quale Claude Code sarebbe stato impiegato per orchestrare una parte molto significativa delle attività operative. Secondo l’azienda, l’AI avrebbe svolto tra l’80 e il 90% del lavoro tecnico, mentre gli esseri umani sarebbero intervenuti soprattutto per stabilire obiettivi e prendere decisioni critiche.

Il dato va interpretato con cautela. Non si tratta della prova che l’AI abbia sostituito completamente l’hacker, né che abbia sviluppato una volontà autonoma di attacco. Il punto importante è un altro: una volta definito il bersaglio, una quota crescente del lavoro può essere svolta dal sistema.

Ed è precisamente questa la traiettoria descritta da MIT Technology Review nell’aprile 2025.

Anche l’International AI Safety Report 2026 ha segnalato il rapido aumento delle capacità cyber dei modelli general purpose, osservando che sistemi di nuova generazione sono già in grado di supportare diverse fasi della catena di un attacco, dalla ricognizione alla ricerca delle vulnerabilità, fino alla produzione di codice e alla gestione di sequenze operative più complesse.

I benchmark pubblicati negli ultimi mesi stanno cercando di misurare proprio questo aspetto. Non si limitano più a chiedere se un modello sappia riconoscere una vulnerabilità, ma lo inseriscono in ambienti più realistici, con reti, applicazioni e host distribuiti, nei quali deve concatenare più azioni prima di raggiungere l’obiettivo.

Ed è qui che il problema diventa più interessante dal punto di vista tecnico.

L’attacco reale è una catena, non un singolo exploit

Un cyberattacco complesso raramente coincide con un’unica azione. L’accesso iniziale è soltanto l’inizio. Occorre poi comprendere l’ambiente, aumentare i privilegi, muoversi lateralmente nella rete, individuare i sistemi critici, evitare i controlli, mantenere l’accesso e infine raggiungere l’obiettivo.

La vera frontiera degli agenti non è quindi semplicemente “trovare una vulnerabilità”, ma riuscire a collegare tra loro molte operazioni differenti mantenendo una certa coerenza strategica.

Le ricerche più recenti si stanno concentrando proprio su questa capacità. Alcuni cyber-range sperimentali simulano reti aziendali complete e sistemi industriali, imponendo agli agenti catene di attacco composte da decine di passaggi. I risultati sono ancora lontani da una piena affidabilità, ma mostrano una progressione significativa: gli agenti riescono sempre più spesso a completare autonomamente parti rilevanti della sequenza.

Anche qui, però, il rischio non dipende dalla perfezione. Un agente non deve necessariamente riuscire in ogni tentativo. Se il costo di ciascun tentativo è basso, anche una percentuale limitata di successi può diventare rilevante quando la scala passa da poche decine a migliaia o milioni di target.

È lo stesso motivo per cui lo spam funziona pur avendo tassi di risposta minimi.

La stessa tecnologia può difendere

La lettura del fenomeno non deve però essere esclusivamente allarmistica, perché gli stessi meccanismi possono essere utilizzati anche dal lato difensivo.

Un agente capace di esplorare una rete alla ricerca di configurazioni errate può essere impiegato da un’organizzazione per individuare quelle stesse debolezze prima di un attaccante. Può analizzare log, correlare eventi, verificare configurazioni, simulare attacchi e proporre correzioni. Può persino essere utilizzato per costruire esercitazioni continue di red teaming e blue teaming, nelle quali sistemi automatici si affrontano per verificare la resilienza dell’infrastruttura.

Si sta quindi delineando uno scenario nel quale la cybersecurity potrebbe diventare progressivamente una competizione tra due automazioni: agenti offensivi e agenti difensivi che operano entrambi a velocità superiori a quelle umane.

Questo cambia anche il ruolo degli specialisti. L’uomo potrebbe spostarsi dalla gestione diretta di ogni singolo evento alla supervisione di sistemi autonomi, definendo policy, priorità, limiti di azione e criteri di escalation. La questione non sarebbe più soltanto “quale vulnerabilità chiudere”, ma “quale livello di autonomia concedere ai sistemi che devono difendere la rete”.

L’agente può diventare esso stesso una vulnerabilità

C’è poi un secondo livello di rischio che rende il quadro ancora più complesso. Se affidiamo a un agente la possibilità di leggere documenti, navigare su Internet, utilizzare credenziali, eseguire comandi o interagire con sistemi aziendali, quell’agente diventa a sua volta parte della superficie di attacco.

Le tecniche di prompt injection mostrano bene il problema. Un contenuto apparentemente innocuo può contenere istruzioni progettate per manipolare il comportamento dell’agente. Se il sistema dispone di privilegi elevati, l’attacco non si limita più a convincere un essere umano ad aprire un allegato o a cliccare su un link: può cercare di indurre direttamente l’assistente digitale a compiere un’azione non autorizzata.

La cybersecurity dell’era agentica ha quindi due direzioni contemporanee. Da un lato bisogna difendersi dall’AI utilizzata per attaccare; dall’altro bisogna proteggere gli agenti stessi, evitando che diventino il punto debole attraverso il quale compromettere l’organizzazione.

Perché la questione riguarda edifici e infrastrutture

Per il settore delle costruzioni e delle infrastrutture tutto questo non è affatto marginale.

Un edificio contemporaneo è sempre meno separabile dal software che ne governa il funzionamento. Building Management System, controllo accessi, videosorveglianza, climatizzazione, ascensori, illuminazione, impianti fotovoltaici, accumuli, stazioni di ricarica, sensoristica IoT e piattaforme cloud costruiscono una vera infrastruttura digitale sovrapposta a quella fisica.

Lo stesso accade nelle infrastrutture territoriali. Ponti monitorati, gallerie, acquedotti, reti ferroviarie, impianti energetici e sistemi di gestione del traffico dipendono sempre più da sensori, reti di comunicazione, software e piattaforme di controllo.

La convergenza tra IT e OT comporta una conseguenza precisa: una vulnerabilità informatica può produrre effetti sul mondo fisico.

Ed è qui che la scalabilità degli agenti assume una rilevanza specifica. Molti sistemi oggi non vengono attaccati in modo mirato semplicemente perché analizzarli manualmente non è conveniente. Un agente capace di scandagliare automaticamente grandi quantità di dispositivi, configurazioni e software può modificare radicalmente quel rapporto costo-beneficio.

Un BMS male configurato, un gateway non aggiornato, una VPN esposta, un dispositivo IoT con credenziali deboli possono diventare bersagli più interessanti non perché la loro vulnerabilità sia aumentata, ma perché si è ridotto il costo necessario per trovarla.

Per il settore delle costruzioni questo significa che la cybersecurity non può più essere considerata un problema separato dal progetto, dal commissioning e dalla gestione dell’opera. La sicurezza digitale entra sempre più direttamente nella qualità e nella resilienza dell’infrastruttura.

La previsione del MIT oggi appare meno lontana

Riletto nell’agosto 2026, l’articolo di Rhiannon Williams conserva quindi una notevole attualità. Nell’aprile 2025 avvertiva che gli attacchi condotti da agenti stavano arrivando. Oggi sarebbe più corretto dire che la transizione è già iniziata, anche se non si è ancora compiuta.

Non abbiamo ancora un mondo dominato da agenti autonomi che conducono indisturbati intere campagne cyber. Le operazioni più avanzate documentate conservano una supervisione umana, e molte attività restano difficili per i sistemi attuali. Ma il dato decisivo è un altro: la quantità di lavoro umano necessaria per condurre un attacco sta diminuendo.

Ed è forse questa la variabile da osservare con maggiore attenzione.

Per modificare in profondità l’equilibrio della cybersecurity non serve una macchina perfetta. Serve una macchina sufficientemente competente da automatizzare attività prima riservate a specialisti, sufficientemente economica da essere replicata e sufficientemente autonoma da operare contemporaneamente su un numero elevato di obiettivi.

Il cambiamento, quindi, potrebbe non arrivare con un singolo evento spettacolare. Potrebbe manifestarsi in modo molto più graduale e, proprio per questo, più insidioso: aumento della frequenza degli attacchi, maggiore personalizzazione, tempi di reazione sempre più ridotti, superficie esposta più ampia.

Alla fine del suo articolo, MIT Technology Review riportava una frase di Daniel Kang: “I’m afraid people won’t realize this until it punches them in the face.”

È una chiusura volutamente dura, ma forse efficace. Perché il punto non è attendere il momento in cui l’AI dimostrerà di poter sostituire completamente un hacker. Il vero tema è prepararsi prima che diventi normale vedere migliaia di agenti automatici cercare, nello stesso momento, la stessa piccola vulnerabilità.

E nel frattempo, dall’altra parte della rete, dovremo probabilmente avere altri agenti pronti a trovarla per primi.

---

Fonte iniziale

Rhiannon Williams, Cyberattacks by AI agents are coming, MIT Technology Review, 4 aprile 2025.

Fonti di approfondimento

L’analisi è stata integrata con i successivi aggiornamenti pubblicati da Anthropic sulle campagne cyber assistite da agenti AI, con l’International AI Safety Report 2026 e con ricerche recenti dedicate ai cyber-range e alla capacità degli agenti di concatenare operazioni offensive e difensive in ambienti realistici.

---

FAQ TECNICHE: Cyberattacchi con agenti AI: rischi per edifici e infrastrutture

Che cos’è un agente AI applicato alla cybersecurity?
È un sistema basato su modelli AI capace non soltanto di produrre informazioni o codice, ma di utilizzare strumenti, osservare i risultati ottenuti e decidere quali azioni successive eseguire. Nell’ambito cyber ciò può comprendere ricognizione, identificazione di vulnerabilità, adattamento delle procedure e concatenazione di più operazioni. L’International AI Safety Report 2026 evidenzia tuttavia che l’autonomia end-to-end resta oggi incompleta.

In cosa un agente AI differisce da un bot utilizzato nei cyberattacchi?
Un bot tradizionale esegue prevalentemente sequenze predefinite. Un agente può invece interpretare una risposta, modificare il piano e selezionare strumenti diversi in funzione dei risultati ottenuti. La discontinuità non consiste quindi nella semplice automazione, già presente da decenni nella cybersecurity, ma nella capacità di delegare una quota crescente delle decisioni intermedie.

Esistono già cyberattacchi condotti prevalentemente attraverso AI agent?
Sì, ma occorre distinguere tra operazioni semi-autonome e piena autonomia. Anthropic ha dichiarato nel novembre 2025 di aver interrotto una campagna nella quale l’AI avrebbe svolto circa l’80-90% delle attività operative, mentre l’intervento umano sarebbe rimasto necessario in alcuni passaggi critici.   L’International AI Safety Report 2026 precisa che non risultano ancora documentati attacchi end-to-end completamente autonomi.

Perché gli agenti AI possono aumentare il rischio per edifici e infrastrutture?
BMS, sistemi di controllo accessi, HVAC, videosorveglianza, IoT, piattaforme cloud e sistemi OT ampliano la superficie digitale dell’opera. Un agente può ridurre il costo necessario per analizzare grandi quantità di sistemi, configurazioni e dispositivi. Non è quindi necessario che ogni attacco sia più sofisticato: può diventare economicamente sostenibile cercare vulnerabilità su un numero molto maggiore di target.