CyberStrikeAI nel mondo reale: l'uso dell'IA negli attacchi alle organizzazioni

Kaspersky ha identificato una campagna di attacchi informatici che ha coinvolto agenti di comando e controllo basati su intelligenza artificiale. Le vittime sono state organizzazioni del settore educativo in vari paesi dell'Africa e dell'America Latina. Gli attaccanti hanno usato CyberStrikeAI, un framework open-source, che impiega un LLM (Large Language Model) per pianificare azioni, selezionare strumenti e generare comandi, automatizzando le operazioni di attacco.

Questo è uno dei primi casi documentati di attacchi che integrano un LLM nel cuore delle operazioni, passando dalla fase di ricognizione a quella di compromissione completa del dominio. In passato, i modelli linguistici erano usati solo per fasi preliminari come la scrittura di email di phishing o la ricerca di vulnerabilità. Ora, l'IA automatizza ogni fase dell'attacco, inclusa l'esecuzione di payload, la persistenza sull'host, il movimento laterale e l'esfiltrazione dei dati.

Il sistema CyberStrikeAI distribuisce le decisioni su due livelli: l'operatore umano definisce il compito generale, mentre il modello determina i passaggi tecnici e i comandi da inviare all'host. Un esempio di attacco ha mostrato che, dopo una fase iniziale manuale durata quasi un giorno, l'agente CyberStrikeAI ha stabilito la persistenza e condotto ricognizioni locali in due minuti, seguite da cinque ore di ricognizione del dominio.