Gli attacchi no sono più solo automazione
Per anni la cybersecurity ha convissuto con l’automazione: script, malware auto-propaganti, scanner di vulnerabilita. Ma nei primi giorni di settembre 2026 e caduta una soglia simbolica. Il gruppo di ricerca Unit 42 di Palo Alto Networks ha documentato quello che definisce il primo attacco informatico “agentico” confermato contro un’azienda: sfruttando modelli AI di frontiera e framework agentici specializzati, un attaccante ha violato in modo autonomo una rete enterprise in meno di 10 ore, eseguendo oltre 50 tecniche del framework MITRE ATT&CK. Andy Piazza, Senior Director of Threat Intelligence di Unit 42, l’ha definito “una delle prime violazioni agentiche documentate in cui un attaccante ha sfruttato con successo un attacco agentico contro un’azienda”.
La differenza rispetto al passato non e la velocita in se, ma l’autonomia decisionale. Gli agenti non si limitano a eseguire uno script pre-scritto: prendono decisioni in tempo reale, si adattano alle difese che incontrano, cambiano rotta. E’ la distanza che passa tra un robot su una linea di montaggio e una persona che esplora per la prima volta un edificio: l’agente vede, reagisce e pivota. Per chi difende le infrastrutture dei clienti, cambia radicalmente l’equazione tempo/rischio.
Non si tratta di un episodio isolato
Secondo il CrowdStrike 2026 Threat Hunting Report, gli alert di rilevamento innescati da agenti AI stanno crescendo a un ritmo 2,5 volte superiore a quelli innescati da esseri umani, con campagne capaci di generare quasi 200.000 richieste ai modelli in appena due minuti. Il Check Point AI Security Report 2026 parla apertamente di un passaggio dell’AI “da assistente a operatore d’attacco”: le rilevazioni di prompt injection indiretta sono cresciute di circa cinque volte tra marzo e maggio 2026 e i prompt aziendali ad alto rischio sono raddoppiati, dal 2% al 4% su base annua.
Il perimetro, intanto, si allarga in modi difficili da presidiare. Sono in circolazione vulnerabilita critiche non ancora sanate come la CVE-2026-82526 (SQL injection non autenticata in R2R, con CVSS 9.8) e la CVE-2026-85620 (bypass di autorizzazione in Postgres MCP Pro, CVSS 9.2), mentre in casa Microsoft e stata patchata d’urgenza la CVE-2026-45499, una SSRF in Azure OpenAI che trasforma lo stesso layer AI in un vettore di movimento laterale. A rendere il quadro piu insidioso, si contano tantissimi add-on pubblici per agenti, alcuni dei quali impersonano nomi affidabili come Anthropic e OpenAI.
La supply chain del software resta il fronte piu esposto: CrowdStrike ha collegato il lancio delle sue nuove capacita a un attore nordcoreano (STARDUST CHOLLIMA) sorpreso ad avvelenare 131 pacchetti di framework AI, e a un attore eCrime che ha compromesso oltre 300 dipendenze in un solo giorno.
Le reazioni
La reazione del mercato e stata immediata, ed e qui che si aprono le opportunita per il canale. CrowdStrike ha annunciato al Fal.Con 2026 un aggiornamento profondo in chiave “agentic SOC” insieme a Falcon IQ: piu agenti AI possono ora investigare simultaneamente un incidente attraverso endpoint, identita, SaaS, cloud e rete, condividendo un livello di contesto comune invece di lavorare in silos; il 1 settembre e arrivato anche Falcon Guardian AIDR per la visibilita e la governance a runtime. Sul fronte identita e governance, Broadcom ha presentato AgentMinder al VMware Explore, mentre Okta ha portato in disponibilita generale il proprio Agent SSO per gestire l’identita degli agenti autonomi. Il capitale conferma la tendenza: HiddenLayer ha raccolto 100 milioni di dollari in Series B e AIR Security 50 milioni, segno che la sicurezza degli agenti sta diventando una voce di budget obbligatoria e non piu un tema di nicchia.
C’e infine la leva normativa, decisiva per chi vende nel mercato europeo. Dal 2 agosto 2026 sono pienamente applicabili gli obblighi dell’EU AI Act sui sistemi ad alto rischio: l’Articolo 15 richiede che i sistemi AI siano resilienti agli attacchi avversari lungo l’intero “action layer”, non solo sugli output del modello. Gli agenti che invocano API, servizi interni o server MCP rientrano esplicitamente nel perimetro, e le architetture multi-agente devono estendere la compliance a ogni agente che svolge una funzione ad alto rischio. Le sanzioni possono arrivare fino a 35 milioni di euro o al 7% del fatturato globale: un tema che diventa immediatamente da consiglio di amministrazione per qualsiasi azienda che opera in Europa o vi vende soluzioni.
Cosa significa tutto questo per reseller, MSP e system integrator?
Che si apre una finestra di ricomposizione dell’offerta di sicurezza. Il primo movimento e di postura: aiutare i clienti a trattare gli agenti AI come parte della superficie di attacco, censendo add-on, connettori e server MCP presenti negli ambienti. Il secondo e di piattaforma: chi eroga servizi gestiti puo evolvere il proprio SOC verso modelli agentici, integrando visibilita a runtime, gestione dell’identita degli agenti (agent SSO) e monitoraggio della supply chain del software. Il terzo e di compliance-as-a-service: trasformare gli obblighi dell’EU AI Act in pacchetti di assessment, remediation e reporting ricorrenti, con marginalita ripetibile. Per un distributore a valore, e l’occasione di comporre bundle multi-vendor – detection, identita, governance degli agenti – e di formare i partner sui nuovi playbook di risposta.
Il messaggio di fondo e chiaro e va condiviso con nettezza: l’aggettivo “agentico” non e piu un termine di marketing, e un vettore di minaccia ad alta velocita che richiede un approccio di difesa diverso. La tecnologia, per ora, corre piu veloce della nostra capacita di governarla. Per il canale IT, questo divario non e solo un rischio da spiegare ai clienti: è lo spazio di mercato in cui costruire i servizi di sicurezza dei prossimo futuro.
Comments are closed.