Per anni la sicurezza informatica si e’ basata su un presupposto: dietro ogni attacco c’e’ una persona che, passo dopo passo, prova, sbaglia e riprova. All’inizio di luglio 2026 quel presupposto ha iniziato a incrinarsi. I ricercatori della societa’ di sicurezza Sysdig hanno documentato un operatore battezzato JadePuffer: secondo la loro analisi, il primo caso noto di attacco ransomware condotto interamente da un agente di intelligenza artificiale autonomo, senza una persona che ne guida i passaggi in tempo reale.
La cosa che dovrebbe far drizzare le antenne a chi fa impresa non e’ solo chi ha attaccato, ma da dove e’ entrato: uno strumento AI no-code lasciato raggiungibile da internet.
Cos’e’ successo, in parole semplici
L’agente e’ entrato sfruttando un’istanza di Langflow esposta su internet e non aggiornata. Langflow e’ uno strumento open-source molto diffuso per costruire, senza scrivere codice, applicazioni e agenti basati sull’AI (chatbot, assistenti, automazioni). La falla usata, CVE-2025-3248, permette di eseguire comandi sull’apparato senza autenticarsi ed e’ corretta da una patch disponibile fin da aprile 2025.
Da li’ in poi ha agito l’AI: ricognizione della rete, furto delle credenziali, spostamento verso il bersaglio, cifratura. Le fonti raccontano che l’agente si adattava ai fallimenti come farebbe un umano, in un caso passando da un accesso fallito a una soluzione funzionante in circa mezzo minuto. Alla fine ha svuotato un database di produzione — oltre 1.300 elementi cifrati, tabelle cancellate — lasciando una richiesta di riscatto in Bitcoin.
La porta d'ingresso e' stata uno strumento AI no-code lasciato esposto e non aggiornato.
Perche’ riguarda anche una piccola impresa
Il ragionamento istintivo e’ “sono cose da grandi aziende, noi non abbiamo database enormi”. E’ il ragionamento sbagliato, per due motivi.
Il primo: un attacco guidato da un’AI costa poco e non si stanca. Non serve un team di specialisti che dedica giorni a un bersaglio; l’agente puo’ scandagliare in automatico migliaia di apparati esposti e colpire chiunque abbia lasciato una porta aperta. I bersagli piccoli e trascurati diventano piu’ appetibili, non meno.
Il secondo: la porta d’ingresso qui e’ stata proprio uno di quegli strumenti AI che tante PMI stanno installando in questi mesi per sperimentare. Chi mette online un tool no-code per farci un chatbot, e magari ci salva dentro chiavi e credenziali dei propri servizi cloud, sta creando esattamente il tipo di bersaglio che JadePuffer ha colpito.
Cosa fare lunedi’
Non serve essere tecnici: servono le domande giuste a chi gestisce i vostri sistemi, interno o fornitore esterno.
- Fai l’inventario dei tool AI e no-code che avete installato o messo online per esperimenti (Langflow e simili). Spesso li avvia una singola persona e nessuno se ne ricorda piu’.
- Chiedi se sono aggiornati all’ultima versione e, per Langflow, se e’ stata applicata la correzione della CVE-2025-3248. Se un tool non serve piu’, va spento.
- Togli dall’esposizione su internet cio’ che non deve essere pubblico: questi strumenti dovrebbero stare dietro la VPN o accessibili solo dall’interno.
- Ruota le chiavi e le credenziali eventualmente salvate dentro questi tool (API key dei servizi cloud, password di database): se erano su un’istanza esposta, vanno considerate potenzialmente compromesse.
La lezione: l'AI abbassa il costo dell'attacco, non solo quello del lavoro.
Il punto per chi fa impresa
Sperimentare con l’AI e’ giusto e conviene: il problema non e’ provare gli strumenti, e’ dimenticarli accesi. La stessa cura che si mette nel valutare cosa fa un tool AI va messa nel decidere dove gira, chi lo puo’ raggiungere e cosa custodisce. JadePuffer e’ il primo caso, non l’ultimo: la parte automatizzabile del crimine informatico si sta automatizzando, e la difesa piu’ economica resta la piu’ banale — tenere aggiornato e non esposto cio’ che avete acceso.