Cyberspionaggio: agenti AI al servizio delle cyberspie cinesi, colpiti 200 bersagli in 11 giorni

Un gruppo di cyberspionaggio informatico collegato alla Cina ha usato una squadra di agenti di intelligenza artificiale per attaccare in parallelo oltre 200 organizzazioni in almeno 14 Paesi, nell’arco di undici giorni a partire dal 17 ottobre. A ricostruire la campagna è CrowdStrike, in un rapporto pubblicato il 29 ottobre: il gruppo, che la società di sicurezza americana chiama VAPOR PANDA, ha affidato gran parte del lavoro operativo ad ARTEX, un sistema di agenti AI che si appoggiava soprattutto a DeepSeek, il modello linguistico cinese. Le intrusioni confermate, quelle in cui gli attaccanti hanno lavorato dentro le reti delle vittime, sono nove.

La distanza fra quei due numeri, duecento e nove, è il punto da cui partire; racconta che cosa gli agenti AI hanno cambiato nel cyberspionaggio e che cosa, per ora, non hanno cambiato.

Cyberspionaggio: duecento bersagli, nove porte aperte

VAPOR PANDA non è un gruppo nuovo. CrowdStrike lo segue dal febbraio 2021, quando si fece notare sfruttando le vulnerabilità ProxyLogon di Microsoft Exchange; da allora ha colpito think tank, governi, aziende dell’energia e del settore estrattivo in Europa, Nord America, Regno Unito e Oceania, con un metodo classico: entrare, restare a lungo, raccogliere informazioni. Secondo CrowdStrike questa è la prima campagna in cui il gruppo usa strumenti di intrusione basati sull’AI; l’obiettivo, osserva la società, è rimasto lo stesso, a cambiare è stata la portata del cyberspionaggio.

L’elenco dei bersagli lo conferma. Ministeri degli Esteri in America Latina, Europa, Asia e Medio Oriente; un ministero dell’Interno mediorientale; i vertici istituzionali di un Paese europeo che il rapporto non nomina, dalla presidenza all’ufficio del primo ministro, fino a difesa, giustizia, finanze e intelligence; aziende farmaceutiche, dei semiconduttori, della difesa, del nucleare e della finanza; operatori di telecomunicazioni negli Stati Uniti, in Belgio e nelle Filippine.

Quando si legge “oltre 200 organizzazioni”, però, bisogna tenere separate tre situazioni diverse. In nove casi CrowdStrike ha confermato attività successive alla compromissione: accessi riusciti, installazione del malware BLOODALCHEMY, scansioni della rete interna, ricognizione dei sistemi. In almeno altre dodici organizzazioni, fra cui think tank statunitensi ed enti governativi europei, ha osservato tentativi di indovinare le password su larga scala (la tecnica detta password spraying) e scansioni delle credenziali. Per tutte le altre, il dato documentato è che sono state prese di mira; non che siano state violate da atti di cyberspionaggio.

Come funziona ARTEX: un coordinatore e molti esecutori

ARTEX organizza il lavoro come una piccola struttura gerarchica. Un agente principale coordina agenti subordinati di pianificazione e di esecuzione, che condividono una mappa comune di fatti scoperti, risultati ottenuti e obiettivi da raggiungere. Ogni incarico procede per fasi: accesso iniziale, ricognizione delle macchine, spostamento laterale verso i sistemi più preziosi.

La differenza rispetto a un gruppo di attaccanti umani sta nel parallelismo. Gli agenti hanno seguito più strade contemporaneamente, dalle applicazioni web al cloud, dai container ad Active Directory, dalla posta elettronica alle VPN; quando una strada si chiudeva, passavano alla successiva senza bisogno che qualcuno lo decidesse. In una sola intrusione, gli agenti di pianificazione hanno consumato circa 1,4 miliardi di token in ingresso: per dare un ordine di grandezza, è un volume di testo paragonabile a qualche migliaio di romanzi, elaborato per violare una singola organizzazione.

Il modello principale era DeepSeek; accanto c’era un secondo modello commerciale in abbonamento, che CrowdStrike non è riuscita a identificare con certezza. Per gli analisti la scelta di più fornitori è deliberata: se un servizio blocca l’account, la catena di attacco continua a funzionare.

ARTEX, peraltro, non è un’arma costruita in segreto. Nasce come strumento open source per i test di penetrazione, sviluppato in Cina e pubblicato su GitHub; l’8 ottobre il suo autore lo ha reso a codice chiuso dopo che era stato usato contro banche sudcoreane. Lo stesso framework compare nell’indagine di Microsoft sull’attacco alla catena di fornitura di ConnectWise, attribuito a un altro gruppo legato alla Cina, Storm-0940: secondo quanto ricostruito da The Hacker News, in quel caso gli agenti hanno tentato l’accesso a oltre 2.250 ambienti cloud, con picchi di 2.900 tentativi al minuto. CrowdStrike tiene distinte le due campagne: stesso strumento, attori diversi.

Nuovo cyberspionaggio: gli umani restano nella stanza dei bottoni

Il dettaglio più istruttivo del rapporto riguarda il ruolo delle persone. Le trascrizioni recuperate da CrowdStrike contengono istruzioni scritte in cinese, contrassegnate dall’etichetta “istruzione umana” e con l’orario di Pechino. Gli operatori non guidavano ogni passaggio: intervenivano nei punti decisivi, lasciando agli agenti l’esecuzione. Le richieste andavano dalla scrittura di una web shell, una porta di servizio nascosta in un server web, all’estrazione delle password degli amministratori di dominio.

In una multinazionale farmaceutica, un operatore ha chiesto agli agenti di trovare le macchine Windows prive del sensore Falcon di CrowdStrike, controllando i processi attivi e le cartelle installate. Nel testo originale Falcon è indicato con 猎鹰, “falco” in cinese. Il dettaglio dice molto sul metodo: la decisione strategica, cioè dove muoversi per non essere visti, resta umana; la verifica macchina per macchina, lunga e noiosa, passa all’agente.

Qui si vede il cambio di scala. Fino a oggi un’intrusione di spionaggio richiedeva una squadra dedicata, con ore di lavoro specializzato per ogni bersaglio; la rapina alla banca centrale del Bangladesh, che abbiamo ricostruito in una puntata di DigitMondo, era cominciata dodici mesi prima del colpo. Con un sistema come ARTEX la stessa squadra coordina molte intrusioni insieme, e il lavoro umano si concentra sulle scelte. È lo stesso salto che abbiamo raccontato per le truffe online in KK Park, la città della truffa in Myanmar: prima un prigioniero gestiva poche conversazioni alla volta, con l’AI ne gestisce molte di più.

Un precedente esiste. Nel novembre 2025 Anthropic aveva descritto la campagna di un gruppo statale cinese, GTG-1002, che aveva manipolato Claude Code per attaccare una trentina di organizzazioni, riuscendo in un piccolo numero di casi; secondo l’azienda l’AI aveva svolto fra l’80 e il 90 per cento del lavoro tattico. Il confronto con VAPOR PANDA non è rigoroso, perché gruppi, strumenti e metodi di misura sono diversi; la direzione, tuttavia, è evidente: in meno di un anno si è passati da qualche decina di bersagli a più di duecento, e dall’uso improprio del prodotto di un’azienda americana a uno strumento open source che funziona con modelli cinesi.

Le vecchie chiavi aprono ancora

Se si scorre l’elenco delle tecniche, colpisce che gli agenti non abbiano inventato nulla. Hanno sfruttato asserzioni SAML non firmate, cioè messaggi di autenticazione che il sistema accettava senza verificarne l’origine, combinate con una vulnerabilità XXE per interrogare il servizio di metadati del cloud e ottenere un ruolo con privilegi elevati. Hanno trovato un servizio di orchestrazione dei container esposto senza autenticazione e lo hanno usato per diventare amministratori. Hanno letto le password gestite da LAPS, lo strumento Microsoft che dovrebbe proteggere gli account amministrativi locali.

I due episodi più eloquenti riguardano la memoria delle organizzazioni. In un caso gli agenti hanno forgiato un token di amministratore della posta usando chiavi contenute in un’esportazione della directory risalente al 2022, mai sostituite. In un altro hanno recuperato configurazioni VPN da email già inviate e le hanno combinate con una chiave client finita in una fuga di dati del maggio 2024.

È qui che la velocità delle macchine nel cyberspionaggio incontra il debito di sicurezza delle aziende. Un vecchio backup dimenticato, una chiave mai ruotata, un allegato rimasto in una casella di posta erano rischi noti anche prima; quello che cambia è il costo per trovarli, che con gli agenti si avvicina a zero. Lo stesso meccanismo emerge dalla storia di TeamPCP che abbiamo raccontato in DigitMondo, dove una rotazione incompleta delle credenziali ha lasciato aperta la porta a una banda che ha violato più di mille organizzazioni.

Che cosa devono fare le aziende contro il cyberspionaggio

Le raccomandazioni di CrowdStrike sono concrete, e vanno lette sapendo che la società vende proprio gli strumenti di difesa di cui parla. La prima riguarda le chiavi: ruotare chiavi di firma, chiavi di pre-autenticazione e credenziali di servizio dopo qualsiasi sospetto di esposizione, includendo quelle presenti in backup ed esportazioni storiche. La seconda riguarda il cloud: imporre la verifica delle firme SAML, usare la versione 2 del servizio di metadati di AWS (IMDSv2) e ridurre al minimo i permessi dei ruoli.

Per chi gestisce un SOC ci sono anche tracce precise da cercare: parametri di riga di comando con le stringhe “artx” o “artex”, ruoli cloud con il prefisso “artx-“, commenti “art18-” nei comandi amministrativi, la cartella C:\ProgramData\artx5v\. A queste si aggiungono l’aggiornamento dei dispositivi esposti su internet, a partire dai server Linux che restano accesi per anni, e la presenza di un sistema di rilevamento sugli endpoint in tutto l’ambiente, compresi i server non raggiungibili dall’esterno.

Nulla di tutto questo è nuovo; è la base dell’igiene informatica che abbiamo descritto nella guida alla cybersecurity per aziende e PMI. Il problema è il tempo a disposizione per applicarla. CrowdStrike ritiene molto probabile che nei prossimi dodici mesi altri gruppi collegati alla Cina adottino framework come ARTEX, abbinandoli a modelli commerciali per colpire molti bersagli contemporaneamente. Gli stessi agenti, del resto, sono già entrati nei laboratori di chi li costruisce: lo dimostra il caso dei test di sicurezza in cui Claude ha violato tre aziende reali, due delle quali non se n’erano accorte.

Il collo di bottiglia si è spostato

Per vent’anni la risorsa scarsa del cyberspionaggio informatico sono state le persone capaci di entrare in una rete e muoversi senza farsi notare; il loro numero fissava un limite a quanti bersagli un gruppo potesse seguire nello stesso momento. La campagna di VAPOR PANDA suggerisce che quel limite si sta spostando: conta meno quanti operatori esperti ci sono, conta di più quante decisioni un singolo operatore riesce a prendere in un turno, mentre gli agenti fanno il resto.

I nove ministeri, aziende e centri di ricerca violati dicono che le difese, nella maggior parte dei casi, hanno tenuto. Resta da capire quante organizzazioni, in Italia come altrove, sappiano oggi dove si trovano le loro chiavi del 2022.

Ascolta DigitMondo

Le storie di cyberspionaggio, bande informatiche e tecnologia rubata che completano questo articolo, nel podcast di Digitalic scritto e condotto da Francesco Marino:

• Nessuno tradisce come un ladro: la talpa di Google dentro TeamPCP (leggi l’articolo)
• La talpa: il più grande furto di tecnologia AI, fra Nvidia e la Cina
• La rapina digitale da 951 milioni di dollari
• Lo schiavo che ti truffa con ChatGPT