Gli agenti di intelligenza artificiale sono già stati utilizzati durante attacchi informatici reali. I ricercatori di Gambit Security hanno documentato come il gruppo di ransomware Aur0ra abbia impiegato l'agente di programmazione Cursor per facilitare intrusioni contro almeno sette aziende, dopo aver ottenuto che il sistema collaborasse in operazioni malevole presentandole come parte di simulazioni legittime.
La ricerca, i cui dati sono stati esaminati da Reuters, ha permesso di identificare tra le vittime la compagnia belga di prodotti per l'igiene Christeyns, il produttore tedesco Teckentrup, l'agenzia scozzese Helideck Certification Agency e la statunitense Bayou Title. Appare anche un distributore farmaceutico argentino e un produttore italiano. Reuters ha identificato in modo indipendente sei delle aziende a partire dai registri analizzati.
Gli hacker hanno rivelato 28 conversazioni con l'IA
Gambit Security è arrivata alla campagna dopo aver localizzato un server che Aur0ra aveva accidentalmente lasciato esposto su internet. In esso ha trovato 28 sessioni di conversazione tra i cybercriminali e uno degli agenti di Cursor, corrispondenti a un periodo compreso tra l'8 aprile e il 21 maggio.
I registri mostrano che gli attaccanti hanno utilizzato il sistema per ricevere assistenza durante diverse fasi delle intrusioni. La ricerca ha documentato operazioni relative al furto di credenziali e al controllo di account, oltre all'uso dell'IA per generare script, sviluppare strumenti e produrre o correggere comandi.
L'agente ha rifiutato alcune richieste che ha identificato come dannose o illegali. Gli attaccanti, tuttavia, riuscivano a eludere quei blocchi riavviando le conversazioni e insistendo sul fatto che si trovavano all'interno di un ambiente di test. L'episodio mostra come un contesto falso possa essere utilizzato per cercare di eludere le barriere di sicurezza di un agente di IA.
Gli attacchi continuavano ad essere guidati da umani
La ricerca non dimostra che Cursor decidesse autonomamente di attaccare le aziende. I registri recuperati mostrano operatori umani che danno istruzioni mentre l'agente forniva assistenza tecnica durante le operazioni.
Eyal Sela, direttore dell'intelligence delle minacce di Gambit, ha stimato che l'utilizzo dell'agente ha probabilmente permesso ai criminali informatici di lavorare tra il 30% e il 50% più velocemente automatizzando compiti che altrimenti avrebbero dovuto sviluppare manualmente. Si tratta di una stima del ricercatore e non di una misurazione indipendente.
Reuters non è stata in grado di determinare in modo indipendente fino a che punto ogni intrusione sia stata facilitata da Cursor né di stabilire che tutte le violazioni siano necessariamente terminate con dati rubati o tentativi di estorsione. Per questo motivo, non può essere attribuito all'intelligenza artificiale tutto il risultato degli attacchi.
Cursor fa parte di SpaceX da agosto
Cursor è una piattaforma specializzata nella programmazione assistita da intelligenza artificiale che ha sperimentato questo mese un importante cambiamento aziendale. SpaceX ha completato la sua acquisizione ad agosto del 2026, un'operazione annunciata ufficialmente lo scorso 14.
Lo strumento è progettato per aiutare gli sviluppatori a lavorare con codice tramite intelligenza artificiale e dispone di agenti capaci di eseguire diverse attività. Proprio questa capacità rende questo tipo di sistemi strumenti particolarmente utili, ma amplia anche le conseguenze potenziali di un uso malevolo.
Reuters ha richiesto commenti a Cursor e SpaceX sui risultati di Gambit, ma nessuna delle due aveva risposto al momento della pubblicazione della ricerca.
Il problema per le assicurazioni: cosa succede se l'accesso era autorizzato
Il caso coincide con una questione che inizia a preoccupare il mercato assicurativo. Le polizze tradizionali di cyber rischio sono solitamente progettate per rispondere a episodi come ransomware, interruzioni di business, recupero di sistemi o determinati costi derivanti da un'intrusione.
Gli agenti autonomi introducono uno scenario diverso. Un'azienda può concedere volontariamente a un'IA accesso a determinate applicazioni, database o sistemi per svolgere le proprie funzioni. Se successivamente l'agente compie un'azione dannosa, il danno può verificarsi utilizzando credenziali e permessi che originariamente erano legittimi.
Questa circostanza complica l'inserimento di determinati incidenti in definizioni concepite per attacchi convenzionali. La questione smette di essere unicamente chi è riuscito a entrare in una rete e passa a includere cosa può fare uno strumento una volta che l'organizzazione stessa gli ha permesso di accedere.
Le assicurazioni iniziano ad adattare le loro polizze agli agenti di IA
Reuters ha consultato dirigenti e analisti del settore e constata che assicurazioni come MSIG, QBE e Beazley stanno rivedendo come rispondono le loro polizze di fronte a sistemi capaci di assumere progressivamente compiti con maggiore autonomia.
Questo non significa che gli incidenti legati all'intelligenza artificiale rimarranno automaticamente esclusi dalle assicurazioni. QBE considera che, quando l'uso di un'IA finisce per provocare un incidente cibernetico convenzionale contemplato nel contratto, le coperture esistenti possono continuare a rispondere. Beazley, da parte sua, lavora su prodotti e coperture adattati all'emergere di nuovi rischi.
Il settore deve inoltre valutare possibili eventi sistemici capaci di generare perdite simultanee in numerose organizzazioni. L'estensione di una stessa tecnologia o fornitore tra molteplici aziende può aumentare l'esposizione congiunta di fronte a un guasto o a una vulnerabilità condivisa.
Allora, chi paga i danni provocati da un agente di IA?
Non esiste una risposta unica. Dipenderà da come si verifica l'incidente, dalle responsabilità delle parti coinvolte e, in particolare, dalle condizioni stabilite in ogni polizza. Un attacco convenzionale realizzato con l'aiuto di IA non pone necessariamente lo stesso problema contrattuale di un'azione dannosa eseguita da un agente mediante permessi concessi legittimamente.
Uno degli ostacoli per le assicurazioni è la mancanza di esperienza storica. Di fronte al ransomware e ad altre minacce su cui esistono anni di dati, ci sono ancora poche informazioni sulla frequenza e il costo degli incidenti provocati direttamente da agenti autonomi.
Questa incertezza costringe il settore a rivedere definizioni, limiti ed esclusioni man mano che le aziende concedono maggiori capacità a questi sistemi. La sfida consiste nel determinare fino a dove arriva la copertura quando lo strumento che causa il danno era autorizzato a operare all'interno dell'organizzazione.
Dal proteggere le password al controllare cosa può fare un'IA
Le ricerche rese note questo giovedì mostrano due dimensioni di un medesimo cambiamento. I cybercriminali stanno imparando a incorporare agenti commerciali nelle loro operazioni mentre le aziende dispiegano sistemi capaci di interagire direttamente con reti, applicazioni e dati aziendali.
La sicurezza passa così per limitare non solo chi può accedere a un'infrastruttura, ma anche quali permessi riceve ogni agente e quali azioni può eseguire. Maggiore sarà la sua autonomia, maggiore può essere l'impatto di un'istruzione manipolata, una vulnerabilità o un comportamento inaspettato.
Il caso di Aur0ra dimostra che le salvaguardie di questi sistemi possono diventare obiettivo diretto degli attaccanti. La reazione delle assicurazioni anticipa la seguente domanda: come ripartire le conseguenze economiche quando il confine tra uno strumento legittimamente autorizzato e un incidente di cybersicurezza inizia a sfumare.