L'uso dell'intelligenza artificiale (AI) nel contesto cyber non è più un fenomeno futuristico, ma una realtà tangibile che influenza il panorama delle minacce informatiche. Di seguito sono riportati tre punti chiave essenziali che riassumono la situazione:

  • L'AI è stata storicamente utilizzata dalle difese cyber per analisi, rilevamento di anomalie e frodi, nonché per la classificazione automatica degli eventi.
  • Gli attaccanti hanno recentemente iniziato ad adottare strumenti AI per accelerare le loro attività malevole.
  • Il nuovo rapporto del GTIG del novembre 2

Analisi Tecnica Approfondita

APPROFONDIMENTO TECNICO

L'uso dell'intelligenza artificiale (AI) e del machine learning (ML) nel contesto della cybersecurity è in continua evoluzione. Da un lato, i team di difesa utilizzano queste tecnologie per analizzare grandi quantità di log, rilevare anomalie di rete o di comportamento degli endpoint, individuare frodi e classificare automaticamente eventi. D'altra parte, gli attaccanti stanno iniziando a integrare strumenti AI nelle loro operazioni per migliorare attività quali la creazione di email di phishing più sofisticate, la generazione di codice di supporto e l'analisi preliminare delle infrastrutture e dei bersagli.

Tuttavia, fino a poco tempo fa, l'AI era rimasta "esterna" al malware vero e proprio. I binari o gli script eseguibili restavano indipendenti da modelli di ML o LLM (Grandi Modelli Linguistici) durante l'esecuzione in produzione.

Il rapporto AI Threat Tracker: Advances in Threat Actor Usage of AI Tools, pubblicato dal GTIG nel novembre 2025, segna un nuovo capitolo. Il documento descrive l'emergere di "nuovi malware abilitati dall'AI impiegati in operazioni attive", nei quali l'AI viene richiamata in tempo reale dal malware durante l'esecuzione, per generare, riscrivere o offuscare il codice e per decidere, parzialmente, i passi successivi dell'attacco.

Famiglie di Malware AI-Enabled

  • PromptFlux: questo malware è in grado di generare script on demand, adattandosi all'ambiente di destinazione.
  • PromptSteal: utilizza modelli LLM per offuscare e mutare periodicamente il codice, rendendo difficile l'individuazione e l'analisi da parte dei ricercatori di sicurezza.
  • FruitShell: sfrutta l'AI per analizzare le vulnerabilità della rete e identificare i bersagli più appetibili.
  • PromptLock: blocca l'accesso agli account o ai sistemi, richiedendo un riscatto in cambio della riattivazione.
  • QuietVault: utilizza tecniche di offuscamento avanzate per nascondere il proprio codice e rubare segretamente dati sensibili.

Anche se queste famiglie di malware sono ancora sperimentali e non hanno un impatto devastante come le grandi campagne di ransomware degli ultimi anni, la loro capacità di integrare LLM in esecuzione e di adattarsi all'ambiente di destinazione rappresenta una sfida significativa per i team di difesa.

Prepararsi al Futuro: L'AI come Componente Attiva della Catena d'Attacco

Per CISO e responsabili IT, è fondamentale anticipare gli scenari futuri e adattare le strategie di difesa a una classe di attacchi in cui l'intelligenza artificiale non è solo uno strumento di supporto, ma un componente attiva della catena d'attacco. Questo richiede:

  • Investimenti nella formazione: i team di difesa devono acquisire competenze specialistiche nell'AI e nel ML per comprendere meglio come funzionano questi malware e sviluppare strategie di contrasto più efficaci.
  • Implementazione di soluzioni di sicurezza avanzate: gli strumenti di rilevamento e prevenzione devono essere aggiornati per tener conto delle nuove tecniche di offuscamento e adattamento degli AI-enabled malware.
  • Collaborazione tra enti e settori: la condivisione delle informazioni sulle minacce e la cooperazione tra organizzazioni possono contribuire a contrastare efficacemente i nuovi tipi di malware AI-enabled.

Scenario e Precedenti Storici

Contesto: STORICO

L'utilizzo dell'intelligenza artificiale (AI) nel contesto cyber non è un fenomeno nuovo. Da diversi anni, infatti, i modelli di machine learning vengono impiegati nel settore della difesa per analizzare grandi moli di log, rilevare anomalie di rete o di comportamento degli endpoint, identificare frodi e classificare automaticamente eventi.

Questa tendenza ha inizio negli anni '20, quando l'AI ha iniziato a essere considerata come un valido strumento per rafforzare le strategie di sicurezza informatica. Le organizzazioni hanno quindi iniziato ad adottare soluzioni basate sull'intelligenza artificiale per rilevare e prevenire attacchi informatici, con l'obiettivo di aumentare l'efficacia e l'efficienza delle proprie difese.

Contestualmente, gli attaccanti hanno iniziato a esplorare le potenzialità dell'AI per accelerare alcune attività illecite. Nel corso degli anni, l'uso di strumenti AI da parte dei cybercriminali è diventato sempre più sofisticato e diffuso. Ad esempio, nel 2023, sono stati identificati i primi casi di email di phishing generate tramite intelligenza artificiale, che si distinguevano per la loro capacità di eludere i sistemi di rilevamento delle frodi. Questo sviluppo ha reso ancora più critica l'importanza di disporre di strumenti di sicurezza in grado di rilevare e contrastare queste minacce emergenti.

  • Nel 2024, i ricercatori di sicurezza hanno scoperto l'uso di strumenti AI per generare codice di supporto dannoso, consentendo agli attaccanti di automatizzare il processo di creazione di malware e aumentarne la diffusione.
  • Sempre nel 2024, sono stati identificati i primi casi di analisi preliminare delle infrastrutture e dei bersagli tramite l'uso di intelligenza artificiale. Questo approccio ha permesso agli attaccanti di ottimizzare la selezione dei target, aumentando così le probabilità di successo degli attacchi.

Tuttavia, per lungo tempo l'intelligenza artificiale è rimasta "esterna" al malware vero e proprio. Il codice malevolo era progettato, scritto e testato sfruttando eventualmente tool AI, ma il binario o lo script eseguibile restavano, in produzione, del tutto indipendenti da modelli di machine learning o da LLM.

La situazione è cambiata nel 2025, con la pubblicazione del rapporto "AI Threat Tracker: Advances in Threat Actor Usage of AI Tools" da parte del GTIG. Il documento descrive l'emersione di "nuovi malware abilitati dall'AI in operazioni attive", nei quali l'AI viene richiamata in tempo reale dal malware durante l'esecuzione, per generare, riscrivere o offuscare il codice e per decidere, in parte, i passi successivi dell'attacco.

Questo sviluppo rappresenta una significativa evoluzione nel panorama delle minacce cyber, poiché l'intelligenza artificiale non è più solo uno strumento di supporto per gli attaccanti, ma una componente attiva della catena d'attacco. Per i CISO e per i responsabili IT, questo contesto impone una riflessione che vada oltre l'ennesimo "alert" di mercato: la domanda non è se questi specifici ceppi di malware diventeranno la minaccia dominante nel breve periodo, ma se l'ecosistema di difesa sia pronto a confrontarsi con una classe di attacchi in cui l'intelligenza artificiale svolge un ruolo attivo e determinante.

Strategie di Difesa e Mitigazione

Guida difensiva: come prepararsi ad affrontare l'intelligenza artificiale nelle minacce cyber

L'uso dell'intelligenza artificiale (AI) e del machine learning (ML) da parte degli attaccanti sta diventando una realtà sempre più concreta nel panorama cyber. Come riportato dal GTIG nel rapporto "AI Threat Tracker: Advances in Threat Actor Usage of AI Tools", pubblicato nel novembre 2025, gli attori delle minacce stanno integrando l'AI nei malware durante l'esecuzione, per generare, riscrivere o offuscare il codice e per decidere i passi successivi dell'attacco. Questa tendenza richiede una riflessione approfondita da parte dei responsabili IT e CISO sulle strategie di difesa.

Migliorare la formazione del personale

Il primo passo per rafforzare le difese contro l'AI nelle minacce cyber è garantire che il personale sia adeguatamente formato ed informato. Questo include:

  • Promuovere la consapevolezza della sicurezza tra i dipendenti, sensibilizzandoli su come riconoscere e rispondere alle minacce cyber che utilizzano l'AI.
  • Offrire formazione specifica sulle tecniche di machine learning e intelligenza artificiale, in modo da poter identificare tali tecnologie quando vengono utilizzate dagli attaccanti.
  • Stabilire procedure chiare per la segnalazione e la gestione delle minacce cyber sospette, incluse quelle che utilizzano l'AI.

Implementare soluzioni di rilevamento avanzate

Le tradizionali tecniche di rilevamento e prevenzione delle minacce potrebbero non essere più sufficienti per affrontare le minacce cyber che utilizzano l'AI. È necessario implementare soluzioni di sicurezza avanzate, come:

  • Sistemi di rilevamento e risposta delle endpoint (EDR) che monitorano in tempo reale il comportamento degli endpoint e identificano le attività sospette.
  • Strumenti di machine learning applicati alla sicurezza, per analizzare i dati delle minacce e rilevare modelli e anomalie che potrebbero indicare l'uso dell'AI da parte degli attaccanti.
  • Soluzioni di sandboxing avanzate, in grado di eseguire in sicurezza i file sospetti e analizzarne il comportamento per rilevare eventuali attività dannose o l'uso dell'AI.

Stabilire una strategia di gestione delle vulnerabilità

Gli attaccanti possono sfruttare le vulnerabilità dei sistemi per infiltrarsi e diffondere malware che utilizzano l'AI. Stabilire una strategia di gestione delle vulnerabilità è fondamentale per ridurre il rischio:

  • Eseguire regolarmente la scansione dei sistemi e delle applicazioni alla ricerca di vulnerabilità note.
  • Applicare patch e aggiornamenti software tempestivamente per correggere le vulnerabilità identificate.
  • Implementare un processo strutturato per la gestione delle vulnerabilità, inclusa l'esecuzione di valutazioni del rischio e la prioritizzazione degli aggiornamenti in base all'impatto potenziale sulla sicurezza.

Monitorare attentamente le reti e i log degli eventi

L'analisi dei log degli eventi e del traffico di rete può aiutare a identificare l'uso dell'AI da parte degli attaccanti. Monitorare attentamente queste informazioni può consentire di:

  • Rilevare anomalie nel comportamento della rete, come picchi di traffico sospetti o connessioni insolite.
  • Individuare eventi di sicurezza rilevanti, come l'accesso non autorizzato a risorse critiche o il tentativo di esfiltrazione dei dati.
  • Correlare gli eventi di sicurezza per identificare pattern e tendenze che potrebbero indicare un attacco in corso o una campagna mirata.

Collaborare con partner e fornitori di sicurezza

Le organizzazioni dovrebbero considerare la collaborazione con partner e fornitori di sicurezza per rafforzare le difese contro l'uso dell'AI nelle minacce cyber. Questo può includere:

  • Partecipare a comunità di intelligence sulla sicurezza, in cui condividere informazioni sulle minacce e le best practice per la difesa.
  • Lavorare con fornitori di soluzioni di sicurezza che offrono servizi di rilevamento e risposta gestiti, per garantire una vigilanza costante dei sistemi e una rapida risposta agli incidenti.
  • Stabilire relazioni con partner commerciali e di settore per scambiare informazioni sulle minacce e coordinare le strategie di difesa.

l'uso dell'intelligenza artificiale nelle minacce cyber è una realtà crescente che richiede una risposta proattiva da parte delle organizzazioni. Investire in formazione, soluzioni di rilevamento avanzate, gestione delle vulnerabilità e collaborazione con partner e fornitori di sicurezza può contribuire a rafforzare le difese e ad affrontare questa nuova sfida nel panorama cyber. Non si tratta solo di prepararsi ad affrontare specifiche famiglie di malware che utilizzano l'AI, ma di sviluppare una strategia globale per contrastare gli attacchi in cui l'intelligenza artificiale è una componente attiva della catena d'attacco.

Leggi anche su GoYou:

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l'uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.