Il Sophos AI Security Report 2026 documenta l’uso operativo di agenti AI per sviluppare e testare tecniche di evasione. Identità digitali, token OAuth, chiavi API e infrastrutture di sviluppo diventano nuovi obiettivi per i criminali informatici.
L’intelligenza artificiale non ha ancora prodotto, su larga scala, categorie di cyberattacco del tutto nuove. Ha però modificato il ritmo delle operazioni criminali, con cicli di sviluppo, test e revisione che possono passare da diverse settimane a pochi giorni.
È il quadro tracciato dal Sophos AI Security Report 2026, che analizza l’impiego dell’AI da parte degli attaccanti e i rischi associati alla rapida adozione di agenti e assistenti intelligenti nelle aziende. Secondo Sophos, il cambiamento più immediato riguarda la velocità: tecniche già conosciute possono raggiungere la maturità operativa in tempi molto più brevi.
Il report riunisce dati e osservazioni provenienti dai casi seguiti dai team Managed Detection and Response e Incident Response, dalle analisi di SophosLabs, dall’intelligence della Counter Threat Unit, dalle attività del gruppo Sophos AI e dalla telemetria di endpoint e reti di oltre 625.000 organizzazioni nel mondo.
L’AI accelera attacchi che esistevano già
Gli attaccanti devono ancora ottenere un primo accesso, sottrarre credenziali, aumentare i privilegi, spostarsi nella rete e trasferire i dati verso infrastrutture esterne. Queste fasi producono segnali che i sistemi di sicurezza possono rilevare.
L’AI interviene soprattutto prima e durante queste operazioni. Può aiutare gli autori delle minacce a scrivere codice, preparare varianti, analizzare gli errori, adattare gli strumenti alle difese presenti e ripetere i test con maggiore rapidità.
Sophos distingue tra tre livelli principali:
- attacchi con contenuti prodotti dall’AI, nei quali una persona usa un modello per creare codice, email o documenti;
- attacchi potenziati dall’AI, nei quali il modello modifica una capacità durante l’esecuzione;
- attacchi orchestrati dall’AI, nei quali un agente riceve un obiettivo e coordina una parte più ampia della catena operativa.
Le campagne interamente autonome restano rare. Il rapporto non rileva prove di una diffusione su vasta scala di sistemi capaci di completare ogni fase di un’intrusione senza controllo umano. L’evidenza disponibile mostra invece modelli e agenti che aumentano la produttività degli operatori e riducono i tempi necessari per preparare un attacco.
STAC6994, dodici agenti AI per testare le difese endpoint
Il caso più significativo riguarda un’attività che Sophos identifica con il codice STAC6994. Nel maggio 2026, i ricercatori hanno scoperto un dispositivo non autorizzato all’interno della rete di un cliente. Il sistema ospitava una vera infrastruttura di sviluppo software dedicata a strumenti di post-exploitation.
L’attaccante aveva predisposto diverse macchine virtuali e circa dodici agenti di intelligenza artificiale, ciascuno con un ruolo specifico. Un agente basato su Claude Opus 4.5 gestiva le regole principali e il coordinamento. Altri componenti si occupavano di sicurezza operativa, documentazione, test dei proxy, distribuzione delle macchine virtuali e verifica degli strumenti contro le protezioni endpoint.
La lettera introduttiva del report cita test contro Sophos, CrowdStrike e Windows Defender. La sezione tecnica descrive una macchina virtuale protetta da Sophos, una con CrowdStrike, una priva di EDR con funzione di controllo e un quarto sistema usato come server di comando e controllo Sliver.
Gli agenti consultavano articoli tecnici, ricavavano le tecniche offensive, le associavano al framework MITRE ATT&CK, preparavano il laboratorio, eseguivano i test e registravano i risultati. Il flusso di lavoro includeva anche Git e il Model Context Protocol, o MCP, per la gestione dei commit e degli strumenti.
Quasi 80 moduli e oltre 70 tecniche di evasione
L’infrastruttura STAC6994 ha prodotto quasi 80 moduli e ha esaminato più di 70 tecniche di evasione. Il sistema generava eseguibili personalizzati in Rust e Go e applicava più livelli di cifratura e tecniche progettate per ostacolare i sistemi di rilevamento.
Il risultato più importante non riguarda l’originalità delle singole tecniche, molte delle quali erano già note, ma la velocità del ciclo di sviluppo. Gli agenti potevano proporre una variante, sottoporla alle protezioni, analizzare il risultato e preparare una nuova versione in tempi ridotti.
Secondo Sophos, un lavoro che avrebbe richiesto settimane a uno sviluppatore umano ha raggiunto una fase operativa in pochi giorni. La Counter Threat Unit ha inoltre collegato l’operatore alla successiva distribuzione di ransomware e ad attività di furto dei dati.
L’intelligenza artificiale non era incorporata nel malware
Il caso STAC6994 non descrive un malware autonomo controllato da un modello durante l’attacco. Sophos non ha trovato prove della presenza dell’AI all’interno dei payload distribuiti.
L’intelligenza artificiale supportava il processo di sviluppo e test sul lato dell’attaccante. La revisione umana restava parte del ciclo e gli strumenti prodotti passavano poi a un operatore, che li impiegava nelle intrusioni reali.
Questa distinzione aiuta a evitare interpretazioni eccessive. Il rischio immediato non deriva soltanto da ipotetici malware capaci di ragionare in completa autonomia, ma da criminali che possono preparare e adattare strumenti tradizionali con maggiore rapidità.
Il report riconosce inoltre un limite importante: spesso la telemetria non permette di stabilire se un attaccante abbia ricevuto assistenza da un modello. Nel caso STAC6994, Sophos ha potuto esaminare direttamente l’ambiente di sviluppo lasciato nella rete. In molte altre intrusioni, eventuali tracce dell’uso dell’AI restano fuori dai sistemi della vittima.
Il rapporto non permette quindi di calcolare quale percentuale degli attacchi usi già l’intelligenza artificiale.
Le identità AI diventano una nuova superficie di attacco
L’adozione aziendale dell’AI introduce nuove identità digitali che possono ottenere accesso a codice, documenti, posta elettronica, database e sistemi cloud.
Un’identità AI non corrisponde necessariamente a una persona. Può essere un agente software, un account di servizio, una chiave API, un token OAuth o un’applicazione autorizzata a compiere azioni per conto di un utente.
Queste identità possono disporre di privilegi elevati e segreti validi per lunghi periodi, senza controlli equivalenti a quelli applicati agli account umani. Se un criminale sottrae un token OAuth o una chiave API, può accedere direttamente ai servizi collegati, senza conoscere la password dell’utente.
Il rapporto cita il caso Salesloft-Drift come esempio del rischio: token OAuth collegati a un chatbot hanno consentito l’accesso a più ambienti Salesforce. Sophos segnala inoltre campagne che cercano installazioni LLM e server MCP esposti su Internet, con l’obiettivo di verificare gli accessi e rivenderli.
L’identità è già centrale negli attacchi ransomware
La crescita delle identità AI si inserisce in un fenomeno più ampio. Il precedente State of Ransomware 2026 di Sophos attribuisce il 79% degli attacchi ransomware a un approccio legato all’identità, che comprende email malevole, phishing, credenziali compromesse e tentativi brute force.
Il 67% delle organizzazioni coinvolte ha inoltre dichiarato che l’incidente ransomware coincideva con la violazione delle identità più grave subita nello stesso periodo.
Questo dato non significa che l’AI abbia causato il 79% degli attacchi. Indica che i criminali preferiscono sempre più spesso sfruttare account, credenziali e rapporti di fiducia, anziché dipendere soltanto dalle vulnerabilità software.
Agenti AI, token e integrazioni ampliano ora il numero di identità che le aziende devono censire e proteggere.
Social engineering e deepfake diventano strumenti operativi
L’intelligenza artificiale permette di produrre messaggi più credibili, adattati a lingue e contesti diversi. Può inoltre generare voci, volti e identità sintetiche per truffe finanziarie, furti di account e false candidature lavorative.
Secondo Sophos, i deepfake non rappresentano più soltanto una possibilità teorica. Alcuni gruppi criminali vendono bot vocali per il vishing, profili sintetici per truffe sentimentali e servizi destinati alla creazione di persone digitali credibili.
Il report descrive una truffa che ha colpito una persona nel Regno Unito. La vittima ha seguito per mesi presunte lezioni sull’AI attraverso l’app LINE ed è stata indirizzata verso una falsa piattaforma di investimento.
Più persone gestivano profili differenti nelle chat e seguivano copioni coordinati. La vittima ha perso centinaia di migliaia di sterline. Quando ha espresso dubbi sulla consegna di quasi 20.000 sterline in contanti, i criminali hanno organizzato entro 24 ore il ritiro fisico del denaro presso l’abitazione.
L’AI non ha introdotto una nuova categoria di frode. Ha però ridotto il costo della produzione dei contenuti e ha aumentato la capacità di personalizzare le comunicazioni.
L’AI entra nei marketplace criminali
La Counter Threat Unit di Sophos ha individuato nei forum underground offerte relative a chiavi API per ChatGPT, Claude e Grok. Alcune comunità hanno aperto sezioni dedicate al prompt engineering, alle tecniche di jailbreak e allo sviluppo di malware tramite modelli linguistici.
I ricercatori hanno anche osservato annunci per la ricerca di prompt engineer. Questo ruolo si affianca a figure già presenti nell’economia criminale, come sviluppatori di malware, operatori dei call center, broker di accessi e specialisti di phishing.
Non tutti i criminali mostrano lo stesso livello di interesse. Alcuni utenti dei forum considerano l’AI poco affidabile o temono che possa ridurre le opportunità di lavoro per programmatori e operatori umani. L’adozione appare quindi graduale e disomogenea, non istantanea.
Nel mirino anche strumenti di sviluppo e supply chain
Le infrastrutture che supportano lo sviluppo dell’AI costituiscono un altro obiettivo. Estensioni degli ambienti di programmazione, pacchetti software, repository, server MCP e modelli open-weight possono avere accesso diretto a credenziali, codice sorgente e servizi cloud.
Il report cita pacchetti contraffatti progettati per imitare strumenti destinati agli sviluppatori e agli assistenti di coding. In alcuni casi, il codice installava server MCP ostili e inseriva istruzioni capaci di spingere gli agenti legittimi a recuperare chiavi SSH e credenziali cloud.
Tra gli altri rischi compaiono:
- pesi dei modelli alterati;
- dati di addestramento di provenienza incerta;
- dipendenze software compromesse;
- server MCP controllati da soggetti esterni;
- infrastrutture di inferenza prive di adeguate protezioni;
- estensioni per sviluppatori che accedono a repository e password.
La sicurezza dell’AI non riguarda quindi soltanto la capacità del modello di rifiutare una richiesta pericolosa. Comprende anche identità, infrastruttura, codice, autorizzazioni e fornitori.
Perché i difensori rischiano di restare indietro
Un criminale può adottare un nuovo strumento AI senza procedure di acquisto, controlli normativi o finestre di manutenzione. Un’azienda deve invece sottoporre le modifiche a valutazioni, approvazioni e test.
Il report descrive una possibile asimmetria: l’AI può produrre in pochi minuti una raccomandazione utile per il contenimento, ma la modifica effettiva può attendere un ticket, una finestra tecnica e un accordo sul livello di servizio di 48 ore.
Una maggiore velocità di analisi non garantisce quindi una risposta altrettanto rapida. Le organizzazioni devono preparare in anticipo procedure e autorizzazioni per gli scenari più critici.
Secondo Sophos, le basi tecniche restano essenziali: riduzione della superficie di attacco, autenticazione multifattore, protezione delle identità, conservazione dei log e telemetria sufficiente a ricostruire un incidente.
Come proteggere agenti e identità AI
Sophos propone sette controlli per limitare l’impatto di un agente compromesso:
- Isolare gli agenti in una sandbox, con preferenza per ambienti remoti o cloud separati dai sistemi locali.
- Tenere le credenziali fuori dal contesto del modello, con un vault e un processo separato che esegue le chiamate autorizzate.
- Usare endpoint degli strumenti protetti da un broker, che conserva i segreti e applica schemi e destinazioni predefiniti.
- Limitare il traffico in uscita, con controlli sui segreti, soglie sui volumi e blocco dei domini nuovi o non classificati.
- Estendere EDR e telemetria agli host degli agenti, compresi container, macchine virtuali temporanee e dispositivi degli sviluppatori.
- Richiedere l’approvazione umana per le operazioni irreversibili, con controlli che l’agente non possa simulare o aggirare.
- Trattare memoria e passaggi tra agenti come eventi di sicurezza, così da bloccare la propagazione di prompt injection tra sessioni e sistemi.
Il primo passo consiste nella creazione di un registro aziendale dell’AI. L’organizzazione deve conoscere strumenti, agenti, modelli, chiavi, account, permessi, dati accessibili e collegamenti di rete.
Sophos raccomanda inoltre accessi condizionali, MFA per gli account dei servizi AI, controlli DLP sui flussi in uscita e rotazione periodica delle credenziali collegate alle integrazioni.
Come leggere il Sophos AI Security Report 2026
Il documento non è una survey rappresentativa dell’intero mercato e non fornisce una stima percentuale di tutti gli attacchi che impiegano l’intelligenza artificiale.
Si tratta di un rapporto di intelligence basato sui casi seguiti da Sophos, sulla telemetria dei clienti, sulle analisi dei malware e sull’osservazione delle comunità criminali. Offre quindi esempi documentati e indicazioni sulle tendenze, ma non permette di misurare la diffusione globale di ogni tecnica.
Il caso STAC6994 rappresenta un segnale rilevante perché mostra un uso operativo e verificabile degli agenti AI in un processo destinato ad attacchi reali. Non dimostra però che tutte le campagne abbiano già raggiunto lo stesso livello di automazione.
