Scoperto agente AI in "Skynet mode" che dirotta modelli esposti

Il Symantec Threat Hunter Team ha intrappolato in un honeypot un agente d’attacco capace di operare senza supervisione fino a 100.000 step, con una modalità “Skynet” che scansiona, infetta, distribuisce miner e tenta la reinfezione degli host¹.

I ricercatori hanno catturato l’intero set di istruzioni dell’agente nell’estate, ottenendo una vista completa sul progetto: come è stato costruito e quali azioni compie in autonomia¹. Le istruzioni descrivono un singolo agente, non più componenti separati, che esegue l’intera catena operativa: ricerca, sfruttamento, esfiltrazione, persistenza e riuso delle risorse compromesse¹.

Il bersaglio è ampio. L’agente scansiona Internet alla ricerca di endpoint che accettano richieste “in stile OpenAI” senza autenticazione, oppure che accettano una chiave rubata¹. Trovato un endpoint, passa allo sfruttamento di framework web diffusi. Le azioni illecite elencate includono furto di database, raccolta di credenziali e segreti, esecuzione remota di codice e mining di criptovalute¹.

Il cuore è il ciclo malevolo chiamato “Skynet mode”. La sequenza è esplicita: scansione dei bersagli, infezione, distribuzione dei miner, nuova scansione, tentativi di reinfezione. Il tutto può procedere senza approvazione umana fino al tetto dei 100.000 step indicato nelle istruzioni¹. Il disegno punta a sfruttare in modo sistematico gli endpoint esposti, collegando scoperta e attacco in un flusso continuo¹.

Un passaggio del materiale catturato riguarda il superamento delle protezioni applicative. “Gli strati di jailbreak erano in gran parte off-the-shelf”, ha detto Priti More, threat hunter di Symantec, a The Register¹. Il dettaglio conferma l’uso di componenti disponibili pubblicamente, integrati in un’architettura che privilegia la scalabilità e l’autonomia¹.

La trappola ha chiarito sia il perimetro tecnico sia l’intento: dirottare modelli AI esposti e usarli come leva per attacchi automatizzati. Le istruzioni combinano ricerca su vasta scala di endpoint poco protetti, abuso di chiavi sottratte quando presenti, sfruttamento di framework comuni e un elenco di attività che copre esfiltrazione di dati, esecuzione di codice e uso delle risorse compromesse per il mining¹. La capacità di reinfettare i sistemi già colpiti chiude il cerchio operativo¹.

Tutto quanto sopra proviene da una singola fonte pubblica, che riporta i contenuti delle istruzioni ottenute via honeypot e le dichiarazioni dei ricercatori coinvolti¹.

L’implicazione è diretta: gli endpoint che espongono interfacce compatibili con richieste “in stile OpenAI” senza controlli di autenticazione rappresentano un bersaglio immediato. L’uso di chiavi rubate alza il rischio anche per servizi che richiedono credenziali. Il materiale catturato mostra che un attaccante può unire scansione e sfruttamento in un ciclo autonomo prolungato. Esporre tali interfacce senza protezioni robuste significa offrire superficie utile a un’operazione che non necessita di supervisione umana¹.