Agent AI e accessi: quando sessioni, dispositivi e segreti diventano leve d'attacco

In meno di quattro ore, un agente AI ha trovato quattro vulnerabilità in EPICS Base, tra cui un bug critico valutato 9,8 su CVSS e tracciato come CVE-2026-114595³. Nello stesso quadro, Shelly consente alla modalità Codex dell’app ChatGPT di eseguire comandi su Android, tutto sul dispositivo, senza root né PC². ZoomEye conta 117.523 asset identificati come Gitea e 420.452 come n8n esposti su internet, numeri che derivano da firme di scansione e non da secret visibili⁴. La tesi: con agenti che eseguono comandi e sistemi che ampliano la superficie esposta, i classici disallineamenti su account, sessioni, token e servizi diventano meccanismi di attacco orchestrativo, non solo tecnico¹.

Tre trend che convergono

Shelly collega l’app ChatGPT al telefono e delega azioni a Codex. L’utente installa un APK open source con licenza GPL-3.0, concede il permesso “All files access”, apre il terminale integrato e lancia il comando: codex. Se non ha effettuato l’accesso, Shelly avvia un login con “device code” nella sua webview integrata e usa la sottoscrizione dell’utente, non una chiave API. Tutto avviene sul dispositivo, non serve un PC o Termux, non serve il root. Il requisito è un telefono Android arm64. L’autore sviluppa su Galaxy Z Fold6 e non ha verificato altri modelli².

Un agente AI autonomo ha analizzato EPICS Base e ha segnalato quattro falle. La più critica è un integer overflow che può provocare scrittura fuori dai limiti sull’heap e, potenzialmente, esecuzione remota di codice. Punteggio CVSS v3.1: 9,8. Identificativo: CVE-2026-114595. La seconda, CVE-2026-114596, ha severità alta con punteggio 8,2 per convalida impropria della lunghezza dei messaggi e può causare una scrittura di memoria fuori dai limiti e il crash del processo controller. La terza, CVE-2026-114597, è ad alta severità con punteggio 7,5 per controllo insufficiente dei limiti. EPICS è un toolkit open source usato in acceleratori di particelle ed esperimenti di fusione. Il tempo impiegato dall’agente resta il punto: meno di quattro ore³.

Il 28 ottobre 2026, ZoomEye registra 117.523 asset con app="Gitea", 420.452 con app="n8n" e 401.268 con title="n8n". Il conteggio deriva da etichette che emergono in scansione, non da un inventario di segreti visibili. Gitea conserva repository con ciò che gli sviluppatori hanno fatto commit, inclusi deploy key, secret dei webhook e token di accesso. In molte installazioni passano per l’istanza anche le chiavi SSH usate per spingere il codice. Le istanze n8n salvano definizioni di workflow che collegano servizi esterni, con le credenziali API dei servizi nella configurazione del flusso⁴.

Questi tre fatti descrivono capacità nuove e una superficie estesa. Agenti che eseguono azioni su dispositivi utente. Agenti che analizzano stack complessi e scovano falle critiche. Servizi diffusi che conservano segreti riutilizzabili.

Dove si crea il varco: account, sessioni, token, servizi

Quando un cliente rimuove un dipendente dal tuo SaaS, si aspetta una revoca immediata. Non sempre succede. L’esito dipende da quattro pezzi: stato dell’account, sessioni attive, token di accesso, servizi connessi. Basta un anello in ritardo e l’utente che doveva uscire può raggiungere parti del prodotto. Un account disattivato non invalida una sessione già aperta se il sistema non la chiude. Un token che non scade subito resta valido. Un servizio esterno che non riceve l’aggiornamento continua a fidarsi¹.

Questa dinamica può toccare il device. In Shelly, le azioni avvengono localmente dentro app autorizzate, con la modalità Codex che esegue comandi e attività sullo stesso telefono, e ogni azione che aspetta l’approvazione dell’utente sul dispositivo. L’accesso può avvenire con “device code” e si appoggia alla sottoscrizione dell’utente nell’app ChatGPT. La coerenza dello stato tra i sistemi che l’utente usa diventa cruciale anche quando tutto gira sul dispositivo^2,1.

Il quarto pezzo, i servizi connessi, estende il raggio. Gitea e n8n conservano chiavi, token e credenziali usati da altri sistemi. Un webhook con un secret valido, una deploy key attiva, una credenziale di workflow che automatizza un’azione in un servizio esterno: sono punti d’ingresso che non passano dalla sola disattivazione dell’utente nel prodotto iniziale^4,1.

Scala e velocità: perché il rischio aumenta

La scala amplifica ogni ritardo di revoca. Crescono gli utenti e le organizzazioni, aumentano le sessioni aperte in parallelo. Gli stati si desincronizzano più spesso. Il rischio di accessi residui aumenta se i componenti non si parlano. La complessità sale con il single sign-on e con identity provider centrali. Il tuo SaaS deve reagire in modo affidabile quando qualcuno perde l’accesso, cambia ruolo o lascia l’organizzazione¹.

La velocità degli agenti riduce la finestra di difesa. L’agente su EPICS Base ha individuato quattro falle in poche ore, inclusa una che può portare a esecuzione remota di codice. In contesti che usano EPICS per governare sistemi in grandi progetti e impianti di ricerca, una scrittura fuori dai limiti sull’heap controllata dall’attaccante ha potenziale d’impatto che va oltre il crash³.

La superficie su internet amplia il ventaglio di obiettivi. ZoomEye registra centinaia di migliaia di host che si presentano come Gitea o n8n. Non significa che mostrino segreti. Indica che esiste un numero elevato di sistemi che, per funzionare, devono gestire chiavi e token operativi⁴.

Questa combinazione, device, bug, segreti, sposta l’attenzione sull’orchestrazione. Non serve una singola falla catastrofica. Basta una sequenza: un token non revocato, un workflow che accetta ancora la chiamata, un servizio che non ha ricevuto l’aggiornamento del ruolo^1,4.

Mitigazioni: coordinare gli stati prima di tutto

Patchare resta necessario quando emergono vulnerabilità, ma qui il perimetro è l’allineamento degli stati. I quattro pezzi devono restare coerenti: stato dell’account, sessioni attive, token di accesso, servizi connessi. Se uno resta indietro, si apre un varco. La scala del sistema e i flussi di single sign-on e identity provider aggiungono passaggi dove la sincronizzazione può fallire. La gestione affidabile dei cambi di ruolo e delle revoche deve propagare a valle in modo tempestivo¹.

Nel contesto del dispositivo, contano i confini operativi. Con Shelly, tutto gira sul telefono, la modalità Codex esegue comandi nelle app e ogni azione aspetta l’approvazione dell’utente sul dispositivo. Questo modello richiede attenzione a come l’accesso dell’utente, la sessione e i token collegati si riflettono nel comportamento delle app e dei servizi connessi che vivono sullo stesso device^2,1.

Sul fronte dei segreti, i numeri di ZoomEye suggeriscono una superficie ampia da capire e gestire. Gitea ospita repository con deploy key, secret dei webhook, token di accesso e, in molte installazioni, le chiavi SSH usate per spingere il codice. n8n conserva credenziali API dentro le definizioni dei workflow. La presenza su internet di così tanti host che si identificano con quelle firme rende centrale sapere dove risiedono questi elementi e come interagiscono con altri sistemi⁴.

Un agente veloce su codice maturo, un device che esegue comandi locali e migliaia di servizi che custodiscono chiavi impongono un pensiero sistemico: il prossimo incidente potrebbe non partire da un exploit isolato, ma da una revoca che arriva tardi su un token ancora valido, mentre un servizio connesso continua a fidarsi della vecchia informazione^3,2,1,4.