Un operatore umano ha compromesso un sistema Marimo sfruttando una vulnerabilità critica, dimostrando una velocità d'azione paragonabile a quella degli attacchi automatizzati. L'attacco ha evidenziato i limiti delle difese progettate per rilevare solo agenti IA.
Un recente incidente di sicurezza ha messo in luce una tattica di attacco sorprendentemente rapida, orchestrata da un operatore umano. Utilizzando un set di strumenti personalizzati, l'attaccante è riuscito a muoversi da un sistema Marimo vulnerabile a un host bastion SSH in soli otto secondi, una velocità solitamente associata ad attacchi guidati da intelligenza artificiale.
Il team di ricerca sulle minacce di Sysdig ha documentato l'accaduto, spiegando che l'operatore ha sfruttato la CVE-2026-39987, una falla di esecuzione remota di codice (RCE) che permetteva l'accesso prima dell'autenticazione sulla piattaforma Marimo notebook. Questa vulnerabilità, presente nelle versioni di Marimo fino alla 0.20.4 e corretta nella 0.23.0, risiedeva nel terminal WebSocket endpoint. A differenza di altri endpoint della piattaforma, questo non applicava i controlli di autenticazione necessari, consentendo a chiunque di ottenere una shell interattiva con i privilegi dell'utente del processo Marimo senza dover fornire credenziali.
La gravità di questa falla è accentuata dal contesto in cui Marimo notebook viene tipicamente impiegato. Questi sistemi sono spesso utilizzati in concomitanza con pipeline di machine learning, ospitati su macchine dotate di accesso a GPU, grandi volumi di dati e credenziali per servizi cloud come AWS, GCP e provider di modelli. La compromissione di un notebook Marimo, quindi, si traduceva in una porta d'accesso diretta all'account cloud della vittima.
Una volta ottenuto l'accesso iniziale, l'attaccante ha proceduto al furto di credenziali sensibili. Queste sono state estratte da due fonti all'interno del sistema compromesso: l'ambiente del processo e il backend Redis dell'applicazione. Le credenziali rubate sono state poi utilizzate per accedere all'account AWS della vittima. In particolare, l'attaccante è riuscito a recuperare una chiave SSH privata dall'AWS Secrets Manager, che è stata successivamente impiegata per autenticarsi su un host bastion accessibile da Internet.
È importante sottolineare che gli otto secondi registrati rappresentano solo la fase finale dell'attacco. Sysdig ha rilevato che l'operatore aveva precedentemente dedicato circa quattro ore alla creazione e al debug di un toolkit Python personalizzato. Questo set di strumenti, composto da otto script memorizzati sul sistema compromesso, permetteva di automatizzare l'intera catena di attacco con un singolo comando al momento della riconnessione.
Durante una sessione di nove ore, sono stati registrati oltre 850 comandi interattivi, nessuno dei quali riconducibile a strumenti di attacco pubblici noti. Questo suggerisce un approccio altamente personalizzato e furtivo.
Ciò che rende questo attacco particolarmente degno di nota è la sua capacità di eludere una specifica contromisura progettata per rilevare attacchi basati sull'intelligenza artificiale. Sysdig aveva implementato una direttiva all'interno del container vulnerabile: un comando che istruiva qualsiasi agente IA a inserire un marcatore nascosto nell'output se avesse letto un file specifico. Tutti gli operatori basati su IA precedentemente analizzati avevano attivato questo meccanismo di prompt injection.
L'operatore umano in questione, invece, ha ispezionato lo stesso file due volte senza mai generare l'output atteso. Questo ha permesso all'attaccante di passare inosservato, dimostrando che le difese basate sull'identificazione di specifici pattern di comportamento IA possono essere inefficaci contro attacchi umani sofisticati.
La conclusione principale tratta da Sysdig è che le strategie di rilevamento delle minacce non possono più basarsi esclusivamente sull'identificazione di un unico tipo di attaccante. Sebbene un flusso di comandi generato da un LLM e uno digitato manualmente possano apparire completamente diversi, entrambi possono condurre allo stesso obiettivo finale, come l'accesso a credenziali sensibili tramite AWS Secrets Manager e l'utilizzo di chiavi SSH per raggiungere un host bastion.
Per mitigare i rischi associati a questa tipologia di attacchi, Sysdig raccomanda diverse azioni concrete:
La CVE-2026-39987 è già presente nel catalogo delle vulnerabilità note e sfruttate (KEV) della CISA, con una scadenza per la remediation fissata al 7 maggio 2026, sottolineando l'urgenza di adottare le misure correttive.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
