La cassetta degli attrezzi dell'AI criminale

Vale la pena partire da una distinzione che spesso viene ignorata, perché cambia il modo in cui ci si difende. Un conto è l'AI usata come arma, cioè modelli e agenti che aiutano l'attaccante a scrivere phishing, generare malware o condurre una campagna in autonomia. Un altro conto sono gli attacchi rivolti contro i sistemi di AI, per esempio ingannare un riconoscimento facciale o avvelenare un modello. MITRE ATLAS, la tassonomia di riferimento, cataloga soprattutto la seconda famiglia. Molti degli strumenti qui sotto ricadono invece nella prima, e sono documentati da ricercatori e vendor di sicurezza più che da ATLAS: dirlo con chiarezza evita di attribuire un identificativo ufficiale a qualcosa che non ce l'ha.

Deepfake e frode d'identità

È la categoria dove le due famiglie si toccano, e anche quella meglio ancorata ad ATLAS. Il caso più concreto è ProKYC, un tool venduto già pronto ai criminali che genera documenti d'identità falsi e selfie video deepfake per superare la verifica KYC di banche ed exchange di criptovalute. MITRE ATLAS lo cataloga come AML.CS0034, accanto al caso del Red Team di iProov, AML.CS0033, in cui un deepfake iniettato in tempo reale aggira il riconoscimento facciale e i controlli di vitalità. La tecnica di base, la generazione del volto sintetico, corrisponde alla voce Generate Deepfakes (AML.T0088). Ne abbiamo parlato per esteso nel dossier sul deepfake che aggira il KYC.

Gli LLM senza guardrail

Dalla metà del 2023 sono comparsi sui forum criminali dei modelli linguistici privati, ripuliti da ogni filtro etico e venduti in abbonamento per scrivere email di phishing convincenti, testi di truffe romantiche, script per il carding. I primi resi noti dai ricercatori furono WormGPT e FraudGPT; da lì è nata una lunga serie di cloni con nomi simili, fino ai più recenti come GhostGPT. Un punto onesto va fatto: questo mercato è pieno di fumo. Diverse di queste offerte si sono rivelate esse stesse truffe rivolte agli aspiranti criminali, e alcuni progetti hanno chiuso poco dopo essere diventati famosi. Restano comunque il segnale di una domanda reale, e il motivo per cui i filtri di sicurezza sui modelli legittimi contano davvero.

Malware che scrive i propri comandi con l'AI

Qui l'AI entra dentro il codice malevolo. MITRE ATLAS documenta LAMEHUG (AML.CS0044), un malware che al momento dell'esecuzione chiede a un modello linguistico di generare i comandi da lanciare sulla macchina infetta, invece di portarli già scritti al suo interno. È lo stesso principio che ATLAS chiama Generate Malicious Commands (AML.T0102), e sposta il malware verso un comportamento più difficile da riconoscere con le firme classiche, perché i comandi cambiano ogni volta.

Agenti offensivi in autonomia

Il passo successivo è delegare l'intera catena d'attacco a un agente. Unit 42 ha documentato un caso in cui un attaccante ha lanciato oltre 460 target usando un agente basato su DeepSeek, con un solo messaggio: ricognizione, ricerca di exploit e tentativo di sfruttamento condotti senza supervisione passo dopo passo. In ATLAS il comportamento si legge attraverso le voci Deploy AI Agent (AML.T0103) e AI Agent (AML.T0108). Il racconto completo è nel dossier sull'agente autonomo.

Phishing e furto di credenziali su commissione

Attorno a questi strumenti gira un'economia di servizi che non sempre usa l'AI, ma ne è il complemento naturale. Da un lato i kit di phishing-as-a-service capaci di rubare anche la sessione autenticata aggirando il secondo fattore, con nomi come EvilProxy, Tycoon 2FA e LabHost. Dall'altro gli infostealer venduti in abbonamento, come RedLine, LummaC2 e StealC, che raccolgono password, cookie e wallet dai dispositivi infetti. Sono la materia prima di gran parte delle frodi: le credenziali rubate qui diventano il punto di partenza per aprire conti o svuotarli. Diversi di questi servizi sono stati colpiti da operazioni internazionali di polizia, il che dice quanto pesino nel quadro reale.

Come ci si difende

Il filo comune della difesa non cambia con l'AI, semmai si sposta più in alto. Contro i deepfake sul KYC serve verificare la provenienza del video e non solo il volto, con attestazione del dispositivo e challenge-response. Contro il furto di credenziali e il phishing con bypass MFA la contromisura solida sono le passkey, che tolgono di mezzo il segreto rubabile. Contro malware e agenti che generano comandi al volo serve osservare cosa un processo o un agente esegue davvero, non solo com'è fatto il file, e poter bloccare l'azione prima che arrivi a segno. È esattamente il principio che proviamo dal lato difensivo dentro TCT, e su cui è costruito il nostro Red Team Simulator.

Gli identificativi AML.CSxxxx e AML.Txxxx citati appartengono alla matrice pubblica MITRE ATLAS e sono verificabili sul sito ufficiale. I tool che ne sono privi sono documentati da ricercatori e vendor di sicurezza, e restano fuori dal perimetro di ATLAS perché usano l'AI per attaccare, invece di attaccare l'AI stessa.