Che cosa è successo nella prima violazione attribuita a un agente di IA?
La cibersecurity europea entra in una fase nuova e, questa volta, il segnale arriva dalla Spagna. La Agencia Española de Protección de Datos (AEPD) ha ricevuto la notifica di una violazione di dati personali nella quale, secondo la ricostruzione fornita dall’organizzazione colpita, l’attacco sarebbe stato eseguito da un agente di intelligenza artificiale capace di operare autonomamente all’interno del sistema. L’episodio è particolarmente significativo non tanto per la quantità di informazioni coinvolte, quanto per il modo in cui l’intrusione sarebbe stata condotta: l’agente non si sarebbe limitato ad assistere un criminale umano nella ricerca di una vulnerabilità, ma avrebbe eseguito autonomamente diverse fasi della catena d’attacco, arrivando ad accedere a dati personali e fatture e a modificare alcune informazioni presenti nel sistema. La notizia è emersa attraverso la comunicazione obbligatoria della violazione effettuata dalla stessa organizzazione interessata nei confronti dell’autorità spagnola.
Il caso deve essere letto con una certa prudenza. La stessa AEPD ha sottolineato che le informazioni disponibili derivano, in questa fase, dalla notifica iniziale presentata dall’organizzazione vittima e che l’incidente dovrà essere analizzato prima di poter formulare conclusioni definitive. È quindi corretto parlare di una violazione notificata e attribuita all’azione di un agente di IA, evitando però di trasformare una prima ricostruzione in una certezza assoluta su ogni dettaglio tecnico dell’attacco.
Come ha operato l’agente artificiale all’interno del sistema?
È proprio la dinamica dell’intrusione a rendere l’episodio interessante per gli esperti di sicurezza. Secondo quanto comunicato all’autorità, l’agente avrebbe iniziato cercando vulnerabilità all’interno di file generici, fino a individuare una possibile porta d’accesso. A quel punto sarebbe riuscito a effettuare un login valido e, una volta entrato nell’ambiente informatico, avrebbe continuato a esplorare autonomamente l’applicazione alla ricerca di ulteriori punti deboli. L’accesso ottenuto gli avrebbe consentito di modificare dati personali e consultare fatture.
La differenza rispetto a molti precedenti utilizzi dell’intelligenza artificiale nella criminalità informatica sta dunque nel grado di autonomia. Un modello linguistico può essere utilizzato da un attaccante umano per scrivere codice, analizzare documentazione, suggerire comandi o individuare errori. Un agente, invece, può essere configurato per perseguire un obiettivo attraverso una sequenza di operazioni, valutando i risultati ottenuti e decidendo quale passaggio tentare successivamente. È questa capacità di collegare più fasi dell’attacco senza una supervisione umana continua a rappresentare il vero elemento di novità del caso spagnolo.
Perché gli agenti di IA stanno cambiando la sicurezza informatica?
Il fenomeno non nasce dal nulla. Nel corso del 2026 Anthropic ha documentato capacità sempre più avanzate dei propri modelli nell’ambito della ricerca di vulnerabilità e dello sviluppo di exploit. Nei test condotti su Claude Mythos Preview, l’azienda ha riferito che il modello era in grado di individuare vulnerabilità complesse, trasformarle in primitive di exploit e, in alcuni casi, collegarle in vere e proprie catene d’attacco. In un test specifico, Mythos Preview riuscì autonomamente a individuare e sfruttare una vulnerabilità di esecuzione di codice remoto presente da anni in FreeBSD.
Anthropic ha successivamente utilizzato queste capacità anche in ambito difensivo attraverso Project Glasswing, un’iniziativa destinata a individuare vulnerabilità nei software prima che possano essere sfruttate dai criminali. Ad agosto 2026 l’azienda dichiarava di aver divulgato 2.300 vulnerabilità distribuite in 392 progetti open source, sulla base delle proprie attività di ricerca e della successiva verifica umana. Il dato mostra quanto rapidamente l’IA possa ampliare la capacità di analizzare codice, ma evidenzia anche un punto essenziale: la scoperta automatizzata non elimina la necessità di verifica, valutazione e intervento umano.
L’IA utilizzata nell’attacco significa che il modello era stato compromesso?
No, ed è una distinzione fondamentale. Il fatto che un attaccante abbia utilizzato un determinato modello linguistico o una tecnologia commerciale non significa che l’infrastruttura del modello sia stata violata, né che il suo sviluppatore abbia progettato quello strumento per compiere attacchi informatici. Si tratta, almeno sulla base delle informazioni attualmente disponibili, dell’utilizzo malevolo di una tecnologia legittima.
È una distinzione sempre più importante nell’evoluzione dell’intelligenza artificiale. Gli stessi sviluppatori dei modelli riconoscono che sistemi più capaci possono avere un duplice impiego: le stesse competenze che permettono di trovare una vulnerabilità prima di un criminale possono essere utilizzate per cercarne una da sfruttare. Anthropic, proprio per questo, ha introdotto differenti livelli di accesso e salvaguardie per i propri modelli più avanzati dedicati alla cybersecurity.
È davvero il primo attacco di questo tipo avvenuto in Spagna?
Qui serve una precisazione importante. L’episodio è stato descritto come la prima violazione di dati notificata all’AEPD nella quale l’incidente risulta eseguito mediante un agente di IA, ma questo non consente di affermare che sia necessariamente il primo attacco di questo genere mai avvenuto sul territorio spagnolo. Una violazione può infatti rimanere inosservata per settimane o mesi prima di essere individuata, analizzata e formalmente notificata.
Inoltre, il panorama internazionale aveva già registrato casi nei quali sistemi di IA erano stati impiegati in operazioni offensive. Nel dicembre 2025 l’INCIBE-CERT aveva riportato il caso di un ciberattacco eseguito con il coinvolgimento quasi autonomo di Claude, individuato da Anthropic e ricondotto dalla società a un gruppo sostenuto dallo Stato cinese. Si tratta di un episodio diverso e non sovrapponibile automaticamente a quello spagnolo, ma dimostra che l’uso offensivo di agenti e modelli avanzati non è più soltanto teorico.
Qual è il vero significato della nuova minaccia?
Il punto più delicato non è quindi stabilire se un’intelligenza artificiale possa sostituire completamente un hacker umano. Il cambiamento più concreto riguarda piuttosto la velocità, la continuità e la capacità di adattamento degli attacchi. Un agente può analizzare grandi quantità di materiale, provare differenti percorsi, interpretare gli esiti delle proprie azioni e proseguire verso l’obiettivo senza che una persona debba intervenire manualmente a ogni passaggio.
È questo salto qualitativo a rendere il caso spagnolo particolarmente significativo. Il cybercrimine assistito da agenti intelligenti è ormai una questione concreta di sicurezza e privacy, anche se non esistono ancora elementi sufficienti per parlare di una diffusione generalizzata di questa tecnica. La sfida per aziende e istituzioni sarà quindi adeguare i sistemi di difesa a un avversario che può essere non soltanto più rapido, ma anche capace di adattare autonomamente la propria strategia. E mentre la discussione internazionale continua a concentrarsi sui limiti da imporre ai modelli più avanzati, gli incidenti reali stanno spostando il dibattito da una domanda teorica — quanto può diventare potente l’IA? — a una molto più concreta: quanto sono preparati i nostri sistemi quando quella capacità viene utilizzata contro di noi?