Rapporto Mandiant 2026 sull'IA: la bolletta da $50,000 di un agente fuori controllo e le intrusioni assistite dall'IA

Il rapporto di Mandiant, AI Risk and Resilience 2026, pubblicato su Google Cloud nel settembre 2026 e ripreso la stessa settimana da Help Net Security, The Hacker News e SecurityBrief, descrive tre incarichi in cui l'IA era il meccanismo anziché l'obiettivo: una sessione di assistente alla programmazione IA dirottata che ha diffuso il verme Shai-Hulud in circa 100 repository interni presso un fornitore di software-as-a-service senza nome; una credenziale CI/CD compromessa che un intruso ha trasformato in un hub offensivo assistito dall'IA all'interno di un'azienda sanitaria, esfiltrando migliaia di credenziali; e un agente contabile che ha accumulato circa 50.000 $ di addebiti cloud in meno di un'ora dopo che un valore null corrotto ha rotto uno dei suoi strumenti, bloccando un database di fatturazione e fermando le transazioni in tempo reale. Nel terzo caso non era coinvolto alcun aggressore. La scheda su cui è basato questo articolo, e le voci archiviate attorno ad essa, si trovano in l'archivio degli incidenti IA, che riporta per ogni voce le fonti, la gravità, il grado di affidabilità e il flag di contestazione.

Che tipo di documento è questo

Il rapporto è intitolato "AI risk and resilience in 2026: A Mandiant special report" nella pagina delle risorse per la sicurezza di Google Cloud, ed è una pubblicazione di un fornitore anziché una comunicazione di violazione. I suoi casi di studio provengono dagli incarichi di risposta agli incidenti di Mandiant e dalle valutazioni del suo team Offensive Security, e le organizzazioni sono identificate solo per settore: un fornitore di software-as-a-service, un'organizzazione sanitaria globale, un fornitore globale di servizi finanziari aziendali. Nessuna vittima viene nominata, nessuna intrusione è datata e nessuna dichiarazione della vittima accompagna nessuna delle tre.

Ciò influenza il modo in cui vanno lette le cifre. Ogni numero in esse riportato proviene dagli stessi investigatori di Mandiant. La nota Frontier Ready del Cloud Security Alliance del 16 settembre etichetta l'addebito di circa 50.000 dollari e il volume di 15.000 chiamate come «autodichiarato (metrica del provider)» e afferma che «non sono stati verificati in modo indipendente» — una descrizione accurata dell'intero rapporto, che non pubblica alcuna telemetria di terze parti con cui confrontarli. L'archivio classifica questa voce come registro informativo, un rapporto anziché un incidente con danni registrati, e le assegna una confidenza A senza segnalarla come contestata; tale valutazione riguarda quanto bene il rapporto è documentato, non se una parte esterna ne abbia confermato il contenuto.

L'inquadramento del rapporto stesso è che nel 2026 gli avversari sono passati dal chiedere ai chatbot di fare ricerca al lasciare che sistemi agentici portino avanti parti di un'intrusione. Mandiant afferma che Google Threat Intelligence Group ha osservato attori dispiegare strumenti autonomi tra cui Hexstrike e Strix per la ricognizione e la raccolta di credenziali, e costruire relay proxy e pipeline di registrazione automatizzate per aggirare i guardrail e i limiti di fatturazione sulle piattaforme di IA commerciali. Cita la militarizzazione di febbraio delle competenze degli agenti OpenClaw documentata da VirusTotal, le compromissioni della supply chain di marzo che Mandiant attribuisce all'attore che traccia come UNC6780 e che altri tracciano come TeamPCP, e una divulgazione di maggio che GTIG ha descritto come il primo caso confermato pubblicamente di un cybercriminale che usa un exploit zero-day sviluppato con l'IA, uno che ha aggirato l'autenticazione a due fattori in un popolare strumento di amministrazione open source.

Caso uno: l'assistente ha consigliato il pacchetto

Nel primo caso, un attaccante ha compromesso un fornitore di software-as-a-service e poi ha preso il controllo di una sessione attiva di un assistente AI per la codifica sulla workstation di uno sviluppatore. Mandiant descrive l'assistente come "operante come interprete fidato all'interno dell'ambiente": ha raccomandato l'installazione di un pacchetto software esterno che l'attaccante aveva già avvelenato, e lo sviluppatore ha accettato la raccomandazione. Il rapporto afferma che l'assistente "ha funzionato inavvertitamente come un cavallo di Troia".

Durante la sessione live, l'attaccante ha installato un infostealer tramite un pacchetto PyPI avvelenato e ha raccolto i token OAuth GitHub dello sviluppatore. Il worm autopropagantesi Shai-Hulud si è poi diffuso attraverso circa 100 repository di codice interni, automatizzando il furto dei segreti dei repository e l'esfiltrazione programmatica del codice sorgente proprietario del prodotto. L'attaccante ha anche avvelenato un pacchetto all'interno del namespace ufficiale dell'organizzazione, e un secondo dipendente ha scaricato la versione compromessa: un'infezione a valle che, secondo la ricostruzione di Mandiant, non ha richiesto ulteriori azioni da parte dell'intruso.

Ciò che il rapporto non dice è quando sia avvenuto tutto questo, né come l’attaccante abbia ottenuto il controllo della sessione dell’assistente fin dall’inizio. The Hacker News, che ha riportato il caso di studio il 16 settembre, segnala entrambe le omissioni. La nota di ricerca del 18 settembre della Cloud Security Alliance sul caso definisce il vettore di accesso iniziale «la questione aperta più significativa del caso di studio» e osserva che i controlli raccomandati da Mandiant riguardano fin dove può diffondersi un’infezione, non come sia stata compromessa la sessione.

I controlli di Mandiant per questo caso sono tre, e sono specifici riguardo al fallimento: applicare hook di verifica per IDE e CLI che confrontino ogni dipendenza di terze parti raccomandata dall'IA con checksum crittografici e un elenco di autorizzazione approvato; tenere le chiavi API grezze, i token OAuth a lunga durata e altri segreti fuori dalla portata delle estensioni; e limitare l'egress di rete delle workstation in modo che il traffico delle dipendenze passi solo attraverso repository interni controllati.

Caso due: una credenziale CI/CD trasformata in un hub di co-debugging con l'AI

Il secondo caso è un'indagine sul cloud aziendale presso un'organizzazione sanitaria globale. Mandiant ha ricondotto un'attività anomala a una credenziale CI/CD per sviluppatori a lunga durata compromessa, che l'intruso ha usato per avviare un'istanza VM non isolata e convertirla in un hub offensivo attivo. Invece di sviluppare strumenti offline, l'attaccante ha collegato direttamente modelli linguistici di grandi dimensioni al server in esecuzione e ha iterato contro di essi sul posto.

Mandiant descrive un flusso di lavoro in tre fasi. La prima era l'innesco del contesto: pacchetti di codice sincronizzati tramite sessioni remote e file README di progetto caricati nel contesto della chat del modello, per orientare la successiva generazione di codice verso gli obiettivi della campagna. Poi il debug interattivo: l'attaccante ha fatto costruire al modello un framework multi-worker per la raccolta di dati e ha risolto con esso errori logici di suddivisione degli script, portando la cadenza di esfiltrazione a un ciclo di tre ore. Infine evasione e sfruttamento: il modello ha scritto script dinamici di rotazione degli IP per scambiare al volo indirizzi server inseriti nella blocklist, e ha co-sviluppato uno strumento basato su Rust per accedere agli account delle vittime e verificare i saldi finanziari.

Mandiant afferma che la campagna ha compromesso migliaia di credenziali e ha esfiltrato chiavi API raccolte e segreti finanziari verso un repository controllato dall'attaccante. Il rapporto non dice a quali account fosse puntato lo strumento Rust, a cosa appartenessero i saldi finanziari che controllava, né che fine abbiano fatto le credenziali in seguito. Nessun dato dei pazienti è menzionato in alcun punto del caso di studio.

I controlli consigliati seguono la credenziale anziché il modello: sostituire le chiavi di accesso a lunga durata con relazioni di fiducia Workload Identity Federation a breve durata basate su OIDC; contenere l'egress con VPC Service Controls affinché gli ambienti di runtime e di sviluppo non possano raggiungere provider di modelli esterni non approvati; eseguire scansioni continue dei segreti su tutti i workspace; e inserire un firewall per prompt a runtime, come Model Armor, nel percorso per intercettare credenziali hardcoded e bloccare script di utilità offensivi mentre vengono eseguiti.

Caso tre: l'agente che ha speso 50.000 dollari in meno di un'ora

Il terzo caso non aveva alcun avversario. Un fornitore globale di servizi finanziari per le imprese ha implementato un agente per riconciliare le anomalie nel proprio registro contabile e gli ha concesso accesso in lettura e scrittura ai database di fatturazione interni. Un valore null corrotto ha mandato in tilt lo strumento di formattazione dell'agente, e l'agente ha reagito entrando in quello che Mandiant definisce un ciclo di ragionamento ricorsivo e senza vincoli per forzare una correzione.

In meno di un'ora ha effettuato oltre 15.000 chiamate API di reasoning ad alta frequenza e alto costo, causando un improvviso picco di fatturazione cloud di circa {{1}}50.000{{/1}}. Lo stesso ciclo ha provocato un grave blocco del database locale che ha interrotto transazioni commerciali attive. Mandiant classifica il caso come "denial-of-wallet" e le correzioni che prescrive sono operative anziché a livello di modello: un limite di spesa, una ricorsione limitata e un circuit breaker per fermare un agente che continua a fallire lo stesso compito.

Il rapporto non indica se l'addebito sia stato pagato, accreditato o contestato, per quanto tempo le transazioni siano state sospese, se i clienti siano stati interessati o cosa l'azienda abbia cambiato in seguito. Non fornisce inoltre alcuna data. Il riepilogo del 18 settembre di SecurityWeek lo colloca in quella che il rapporto segnala come una nuova categoria di rischio finanziario anziché come un'intrusione convenzionale.

I controlli proposti da Mandiant sono di conseguenza di natura finanziaria: definizioni di accesso basate su identità e ruoli per gli agenti, soglie di limite di costo e monitoraggio come strumenti di governance, oltre a interruttori automatici finanziari che arrestano un agente dopo un numero prestabilito di fallimenti consecutivi delle attività. A livello di servizio e di progetto raccomanda tetti finanziari rigidi, limiti di ricorsione circoscritti e limiti di frequenza, in modo che un ciclo di autocorrezione venga frenato prima di trasformarsi in un'interruzione del servizio.

Che cosa è stabilito, che cosa è attribuito, che cosa non è divulgato

Accertato. Mandiant ha pubblicato questo rapporto, e in esso si dice quanto riassunto sopra. Quattro testate di settore se ne sono occupate a non più di tre giorni di distanza l'una dall'altra — Help Net Security e The Hacker News il 16 settembre, SecurityBrief UK il 17 settembre e SecurityWeek il 18 settembre — e i loro resoconti concordano con quelli del rapporto su ogni cifra che riportano. La Cloud Security Alliance ha pubblicato una nota di ricerca separata sul primo caso il 18 settembre, giungendo alla stessa lettura dei suoi meccanismi e alla stessa conclusione su ciò che Mandiant ha omesso.

Attribuito, non verificato in modo indipendente. I numeri specifici sono di Mandiant: circa 100 repository, migliaia di credenziali, un ciclo di esfiltrazione di tre ore, oltre 15.000 chiamate di ragionamento, circa 50.000 dollari, meno di un'ora. Nessun organo di stampa ha pubblicato telemetria da nessuna delle tre vittime, e nessuna delle tre è stata nominata da alcuno. La corroborazione esistente è una corroborazione del contenuto del rapporto, non degli eventi. Questa distinzione è tutto ciò su cui un lettore può fare affidamento in questo caso, e anche il grado di attendibilità dell'archivio va letto in tal senso.

Non divulgato. Il rapporto non fornisce date per nessuno dei tre incarichi, né nomi delle vittime, né un resoconto di come sia stata dirottata la sessione dell'assistente nel caso uno. Non indica se i token OAuth di GitHub raccolti e i segreti dei repository siano stati revocati, se le migliaia di credenziali del caso due siano state utilizzate o reimpostate, se siano stati coinvolti gli interessati dell'organizzazione sanitaria, se l'addebito dell'agente contabile sia stato recuperato o cosa abbiano cambiato in seguito le tre organizzazioni. Questo articolo non ha trovato alcuna dichiarazione delle vittime, avviso di un'autorità di regolamentazione o resoconto successivo pubblicato dal 16 settembre che colmi tali lacune.

Dove le coperture divergono. La nota della Cloud Security Alliance descrive la seconda infezione nel caso uno come diffusasi tramite il namespace npm dell'azienda stessa. Il testo di Mandiant dice solo "un pacchetto all'interno del namespace ufficiale dell'organizzazione" e non nomina lì un ecosistema; l'interpretazione npm è un'aggiunta, non una citazione. A parte ciò, The Hacker News è esplicito sul fatto che il worm in questo caso non è collegato, dalle prove disponibili, al worm npm di agosto che ha installato hook per assistenti di codifica, né a una variante di Shai-Hulud trovata mentre scansionava 469 posizioni alla ricerca di credenziali — stesso nome di famiglia, campagne separate, senza prove nell'articolo che le colleghino.

Quello che dice il rapporto dovrebbe cambiare

Le raccomandazioni di Mandiant si ripetono nei casi di studio del rapporto: abbandonare credenziali a lunga durata e account di servizio per passare a identità vincolate a un carico di lavoro e di breve durata per progettazione; trattare gli assistenti di codifica AI e i server MCP come sessioni privilegiate le cui estensioni e hook CLI vengono verificati prima dell'esecuzione; racchiudere i carichi di lavoro degli agenti in perimetri di rete che bloccano l'egress verso provider di modelli non approvati; e strumentare l'uso dei token, le chiamate API tra applicazioni e l'accesso degli agenti ad asset sensibili in modo che una prima lettura di un repository sensibile emerga come segnale anziché confondersi con il traffico legittimo degli strumenti.

Sul piano dei costi, traccia una linea di demarcazione tra la governance dell'AI e la governance per l'AI: da un lato le politiche che stabiliscono la propensione al rischio e le regole di approvvigionamento, dall'altro i limiti tecnici imposti. L'agente contabile è l'esempio fornito dal rapporto del fallimento del secondo tipo: secondo la ricostruzione di Mandiant, nulla nel suo deployment limitava il ciclo, e i controlli che lo avrebbero intercettato — un tetto massimo, un limite di frequenza, un interruttore automatico — sono controlli ordinari applicati a un carico di lavoro insolito.

I tre casi non hanno una causa comune. Uno è un problema di fiducia, in cui la raccomandazione di un assistente aveva l'autorità di quella di un collega. Uno è un problema di credenziali che precede qualsiasi modello, con i modelli che rendono l'intrusione più rapida e più adattiva una volta all'interno. Uno non è né l'uno né l'altro: nessun attaccante, nessun exploit, solo un agente a cui è stato dato accesso in scrittura a un registro e nessun limite a quanto potesse spendere per riparare uno strumento guasto. Ciò che hanno in comune è che in ciascuno il sistema di IA aveva un'autorità che nessuno aveva circoscritto — di raccomandare, di riconfigurare, di continuare a provare.