Un'analisi di Sekoia rivela come gli orchestratori di AI vengano presi di mira per sottrarre credenziali e trasformare i modelli in assistenti per attacchi informatici.
Recentemente, i ricercatori di Sekoia hanno documentato una campagna di attacco mirata contro istanze esposte di Flowise, una popolare piattaforma di orchestrazione per AI Agent. Attraverso l'utilizzo di un honeypot che emulava la versione 2.2.8 del software, gli esperti hanno potuto osservare in tempo reale le tattiche, le tecniche e le procedure (TTP) adottate da un operatore malevolo. L'attacco, rilevato inizialmente a fine agosto 2026, non ha sfruttato una vulnerabilità specifica, ma ha evidenziato come la configurazione errata e l'esposizione pubblica di questi strumenti rappresentino un rischio critico per la sicurezza aziendale.
L'intruso ha iniziato le operazioni con una fase di ricognizione automatizzata, enumerando i flussi di lavoro (chatflows) e tentando di accedere alle API per estrarre credenziali e dettagli di connessione ai database. Sebbene il comportamento potesse inizialmente suggerire un tentativo di bypass dell'autenticazione, le analisi hanno confermato che non si trattava dello sfruttamento della nota CVE-2024-31621, già risolta nelle versioni precedenti. L'attaccante ha invece cercato di manipolare le funzionalità legittime della piattaforma, tentando di creare nuovi flussi di lavoro per esfiltrare dati o stabilire callback verso infrastrutture esterne sotto il proprio controllo.
L'aspetto più innovativo e preoccupante di questa campagna è l'uso dell'intelligenza artificiale come strumento di supporto all'attacco. Dopo aver esplorato le API, l'operatore ha inviato prompt progettati per forzare il modello a rivelare i propri prompt di sistema, la cronologia delle conversazioni e, soprattutto, per analizzare dati provenienti da flussi di lavoro RAG (Retrieval-Augmented Generation).
In un caso specifico, l'attaccante ha fornito dettagli relativi a un sistema di monitoraggio Nightingale e chiavi Redis appartenenti a un ambiente di gioco d'azzardo online reale, chiedendo al modello di analizzare tali informazioni in lingua cinese. Questo indica chiaramente l'intenzione di utilizzare l'agente AI come un "assistente offensivo" per identificare vulnerabilità e pianificare movimenti laterali all'interno di infrastrutture specifiche. Sebbene non vi siano prove che l'agente abbia effettivamente compromesso il target finale, l'episodio dimostra come gli orchestratori AI, che spesso detengono chiavi di accesso a database e servizi esterni, siano diventati bersagli di alto valore per il crimine informatico.
La ricerca di Sekoia sottolinea che l'attività osservata è riconducibile a un attore opportunista, probabilmente di lingua cinese, ma non necessariamente a un gruppo APT (Advanced Persistent Threat) strutturato. Tuttavia, la lezione per le aziende è chiara: gli agenti AI devono essere trattati come applicazioni privilegiate.
Per proteggere le proprie infrastrutture, le organizzazioni dovrebbero adottare le seguenti misure:
In conclusione, l'integrazione tra modelli linguistici, dati privati e strumenti di automazione espande drasticamente la superficie di attacco. La sicurezza degli agenti AI non dipende solo dalla protezione del modello, ma dalla corretta gestione dell'intero ecosistema di orchestrazione che li circonda.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
