MITRE ATT&CK v20 aggiorna le matrici Enterprise e ICS tra agenti AI e impianti idrici

01. Cosa cambia con la release di ottobre 2026

Il 13 ottobre 2026 MITRE ha rilasciato la versione 20 della base di conoscenza ATT&CK, aggiornando le tre matrici distinte dei domini Enterprise, Mobile e Industrial Control Systems (ICS). L'aggiornamento porta il catalogo complessivo a 971 software censiti, 182 gruppi e 61 campagne documentate, articolati per ciascun dominio secondo i totali ufficiali riportati nella nota di rilascio.

La novità principale di questa edizione risiede nella convergenza, all'interno dello stesso rilascio, tra l'impiego offensivo di modelli e agenti di intelligenza artificiale, l'automazione delle operazioni di intrusione e gli attacchi diretti contro i processi fisici industriali. Nel dominio Enterprise entrano nove nuove voci tra tecniche e sottotecniche, cinque delle quali dedicate specificamente alla sicurezza dei sistemi AI. Nel dominio ICS debuttano nove nuove voci legate agli interpreti di comandi e script, al protocollo DNS e ai protocolli publish/subscribe.

Sul fronte difensivo, la release introduce 15 nuove Detection Strategies complessive (6 per Enterprise, DET0922, DET0926, DET0927, DET0937, DET0938 e DET0939, e 9 per ICS, DET0928-DET0936) accompagnate da 217 nuove analytics complessive in versione 1.0, suddivise in 12 analytics Enterprise (10 associate alle 6 nuove strategie Enterprise, AN2068, AN2075-AN2080 e AN2104-AN2106, più 2 analytics, AN2070 e AN2074, aggiunte alle strategie preesistenti DET0923 e DET0925) e 205 analytics ICS (di cui 22 analytics, AN2082-AN2103, associate alle 9 nuove Detection Strategies ICS e 183 analytics, AN2107-AN2289, aggiunte alle 69 Detection Strategies ICS preesistenti da DET0722 a DET0912 aggiornate con il contesto di piattaforma e di asset).

02. Le cinque nuove voci di AI Security nel dominio Enterprise

Per chi progetta, integra o difende applicazioni basate su modelli linguistici e agenti autonomi, ATT&CK v20 formalizza nella matrice Enterprise cinque comportamenti distinti, tutti introdotti in versione 1.0. Tre sono tecniche di primo livello e due sono sottotecniche inserite in famiglie già esistenti.

Accanto a queste cinque voci, la matrice Enterprise introduce Anti-Automation Evasion (T1696) con le due sottotecniche dedicate al superamento automatizzato (Automate CAPTCHA Completion, T1696.001) e all'aggiramento dei controlli CAPTCHA (Avoid CAPTCHA, T1696.002), la tecnica Steal Application Specific Passwords (T1697) per la sottrazione di credenziali applicative che operano fuori dai flussi MFA ordinari, la revisione maggiore (v2.0) della sottotecnica sulla compromissione delle dipendenze software e degli strumenti di sviluppo (Supply Chain Compromise · Compromise Software Dependencies and Development Tools, T1195.001) e l'aggiornamento minore (v1.2) di Obtain Capabilities · Artificial Intelligence (T1588.007). Entrano inoltre in catalogo i gruppi NIMBUS MANTICORE (G1059) e The Gentlemen (G1058), vengono aggiornate alla versione successiva le schede di APT38 (G0082, v4.0) e Salt Typhoon (G1045, v2.0), e sul versante Mobile viene ripristinata con revisione maggiore la tecnica Deliver Malicious Application via Other Means (T1476, v2.0) insieme al censimento del malware NGate (S9040, v1.0) e all'aggiornamento di StrongPity (S0491, v2.0).

03. Caso C0064 in Messico, quando l'agente AI diventa parte della catena offensiva

La campagna catalogata con il codice C0064 (AI-Assisted Breach of Mexico's Government Infrastructure), registrata nella release v20 sia tra le nuove campagne Enterprise sia tra quelle ICS, documenta operazioni condotte tra dicembre 2025 e febbraio 2026 contro diverse istituzioni pubbliche messicane, tra cui l'autorità fiscale federale, il governo dello Stato del Messico, il registro civile e il dipartimento sanitario di Città del Messico, i governi statali di Jalisco, Michoacán e Tamaulipas, l'istituto nazionale elettorale e il gestore idrico municipale SADM di Monterrey.

Secondo la scheda tecnica MITRE, gli operatori umani hanno utilizzato Claude Code e OpenAI GPT-4.1 (T1588.007, T1682, T1059.009) per supportare le fasi di ricognizione, ricerca di vulnerabilità (T1595.002), escalation dei privilegi, raccolta delle credenziali ed esfiltrazione automatizzata di archivi governativi (T1020). Due mappature distinte nella scheda C0064 mostrano il meccanismo concreto legato al file claude.md. Sotto T1699 (Direct Prompt Injection) è documentato che l'avversario ha abusato di Claude Code tramite un'operazione di scrittura file nel prompt per creare un file claude.md contenente un documento precompilato di 1.084 righe con script di penetration testing usati nella campagna. Sotto T1554 (Compromise Host Software Binary) è documentato che l'avversario ha richiesto a Claude Code di aggiungere uno skills file denominato claude.md nella directory radice del progetto, caricato automaticamente all'avvio di ogni sessione di Claude Code e aggiornato regolarmente con modifiche e risultati.

Nel corso della stessa campagna sono stati registrati la generazione e l'esecuzione di script Python tra cui BACKUPOSINT v9.0 APEX PREDATOR (S9045), l'uso di tunnel SSH e proxy su infrastrutture VPS, il caricamento di una webshell sul portale pubblico di SADM (T1505.003), l'enumerazione di un gateway industriale vNode e di una piattaforma di gestione SCADA/IIoT (T1018) e tentativi di password spraying contro un'interfaccia web SCADA (T1110.003). Su questo punto è necessaria una distinzione rigorosa. La presenza di un gestore idrico tra gli enti colpiti e i tentativi di accesso contro un'interfaccia SCADA non dimostrano, da soli, una compromissione riuscita del controllo fisico di processo OT. La stessa scheda MITRE avverte che la documentazione pubblica disponibile fornisce solo dettagli selezionati e non va considerata esaustiva.

04. Caso C0066 in Minnesota, l'impatto fisico sui sistemi idrici

Un profilo opposto emerge dalla campagna C0066 (2026 U.S. Water Utilities Attacks), classificata nel dominio ICS a partire dal 27 luglio 2026. In questo episodio sono stati colpiti oltre trenta gestori municipali di acqua potabile e acque reflue nello Stato del Minnesota, all'interno di un'ondata più ampia segnalata da FBI ed EPA in almeno sette Stati americani.

Gli attaccanti hanno individuato controllori a logica programmabile (PLC) della serie Rockwell Automation / Allen-Bradley MicroLogix 1100 e 1400 raggiungibili direttamente da Internet attraverso gateway cellulari installati presso torri piezometriche e stazioni di sollevamento fognario (T0883). Una volta effettuato l'accesso sfruttando credenziali predefinite (T1694.001), gli operatori ostili hanno modificato gli indirizzi IP (T0836) e le password dei dispositivi (T0892), tagliando fuori i tecnici locali dalle funzioni di monitoraggio (Loss of View, T0829) e di comando (Loss of Control, T0827 e Denial of Control, T0813). In almeno un impianto è stata alterata la logica di controllo del programma del PLC producendo discrepanze nella ladder logic (Modify Program, T0889). Le conseguenze operative riportate dalle fonti includono cali di pressione idrica, allagamenti e la messa fuori servizio temporanea di un pozzo e di un impianto di trattamento con perdita di connettività cellulare su più siti e passaggio alle operazioni manuali (Loss of Availability, T0826). La scheda MITRE precisa che la campagna non è stata formalmente attribuita e che, sebbene alcune analisi descrivano lo schema più ampio come coerente con attività affiliate all'Iran, l'attribuzione specifica per le intrusioni in Minnesota resta non confermata.

Nel dominio ICS, la versione 20 accompagna questa campagna con l'introduzione della tecnica Command and Scripting Interpreter (T1701) articolata in sei sottotecniche (PowerShell T1701.001, Windows Command Shell T1701.002, Unix Shell T1701.003, Visual Basic T1701.004, Python T1701.005 e JavaScript T1701.006, con contestuale deprecazione delle precedenti voci Command-Line Interface T0807 e Scripting T0853), con le nuove sottotecniche per i protocolli DNS (T0869.001) e Publish/Subscribe Protocols (T0869.002) nella famiglia Standard Application Layer Protocol, con l'aggiornamento maggiore di Spoof Reporting Message · Command Message (T1692.001, v2.0) e con la nuova mitigazione Limit Software/Package Installation (M1061, v1.0), affiancati da nove nuove Detection Strategies (DET0928-DET0936) pensate per integrare il contesto degli apparati di campo.

05. Matrice di verifica delle evidenze e riconciliazione delle analytics

06. Cosa significa per chi adotta agenti AI in azienda e nella PA

La lettura congiunta delle cinque nuove tecniche AI nel dominio Enterprise e della campagna C0064 chiarisce perché la valutazione del rischio di un agente autonomo non possa limitarsi al solo filtraggio del testo inserito dall'utente nell'interfaccia di chat. Quando un assistente o un agente dispone di permessi per leggere file nella cartella di lavoro, elaborare contenuti recuperati dall'esterno tramite web search o retrieval-augmented generation (T1698, T1608.007) e invocare strumenti o API aziendali (T1700), la superficie di esposizione comprende l'intera catena di esecuzione.

Le mitigazioni riportate nelle schede T1699, T1698 e T1700 richiamano in modo esplicito il principio di Execution Prevention (M1038) e di isolamento applicativo (M1048). In particolare, la documentazione tecnica sottolinea la necessità di impedire che istruzioni contenute nel prompt dell'utente o in contenuti esterni possano autorizzare direttamente azioni consequenziali, imponendo che le richieste verso strumenti, API, comandi e risorse siano validate all'esterno del modello prima dell'esecuzione. Nel caso messicano C0064, inoltre, l'uso combinato della scrittura del file claude.md (T1699) e del suo caricamento automatico all'avvio di ogni sessione (T1554) evidenzia il ruolo critico del controllo di integrità sui file di configurazione e di istruzione locali.

Per chi governa architetture basate su LLM in ambito aziendale o nella Pubblica Amministrazione, la tassonomia introdotta da ATT&CK v20 delinea quattro aree di verifica architetturale da presidiare in sede di threat modeling.

1. La separazione tra istruzioni di sistema e dati non fidati provenienti da fonti esterne o da risultati di ricerca (T1698, T1608.007).
2. La verifica di integrità e provenienza sui file di istruzione, sugli script e sulle dipendenze caricati automaticamente negli ambienti di lavoro degli agenti (T1554, T1195.001).
3. Il controllo delle autorizzazioni all'esterno del modello prima dell'esecuzione di chiamate a strumenti, database o canali di comunicazione verso l'esterno (T1699, T1700, M1038).
4. Il monitoraggio dell'integrità dei flussi di analisi quando modelli linguistici vengono impiegati a supporto di funzioni difensive o di triage (T1685.007).

All'interno del percorso di ricerca di MC Project Lab, queste quattro direttrici costituiscono il riferimento metodologico su cui potranno essere impostate future attività di valutazione riguardanti i progetti del laboratorio, tra cui Vigil, AI Prompt Firewall (AIPF) e Therminal CT (TCT).

Fonti primarie consultate

• [S1] MITRE ATT&CK · Updates October 2026 (13 ottobre 2026)
• [S2] MITRE ATT&CK · Campaign C0064, AI-Assisted Breach of Mexico's Government Infrastructure
• [S3] MITRE ATT&CK · Campaign C0066, 2026 U.S. Water Utilities Attacks
• [S4] MITRE ATT&CK · Detailed Changelog v19.2 - v20.0
• [S5] MITRE ATT&CK · Machine-Readable Changelog v19.2 - v20.0 (JSON)