Prima di procedere
Nel panorama tecnologico attuale, l'integrazione degli agenti di intelligenza artificiale nei flussi di lavoro aziendali e nello sviluppo software ha raggiunto una capillarità senza precedenti. Tuttavia, questa rapida adozione ha aperto il fianco a vulnerabilità sofisticate, come evidenziato dalla recente indagine condotta da Zenity Labs. Al centro della tempesta si trovano le cosiddette "skill" degli agenti AI, ovvero pacchetti di istruzioni pronti all'uso che permettono a modelli linguistici avanzati di interagire con database, infrastrutture cloud e complessi strumenti di sviluppo. La piattaforma skills.sh, un vero e proprio marketplace per queste funzionalità, è stata identificata come il terreno fertile per una vasta campagna di attacco alla supply chain su scala globale, orchestrata per sottrarre dati sensibili e credenziali di accesso critiche a migliaia di utenti ignari.
Gli esperti di Zenity Labs hanno rivelato che la strategia adottata dai criminali informatici è stata meticolosa e basata su una fiducia costruita nel tempo. Inizialmente, gli attaccanti hanno caricato sulla piattaforma versioni clonate di skill popolari o hanno utilizzato tecniche di typosquatting, creando pacchetti con nomi quasi identici a quelli originali ma con lievi errori ortografici. In questa prima fase, le skill non presentavano alcun comportamento dannoso, fungendo da semplici specchietti per le allodole. Una volta che questi componenti hanno accumulato un numero significativo di download e recensioni positive, ottenendo la fiducia della comunità, gli autori hanno introdotto aggiornamenti silenti contenenti istruzioni malevole. Questo metodo, noto come attacco alla catena di approvvigionamento, sfrutta il fatto che gli utenti raramente ricontrollano il codice di una risorsa già considerata sicura.
La portata del furto di dati è allarmante. Le istruzioni malevole iniettate nelle skill erano programmate per scansionare i sistemi host alla ricerca di una vasta gamma di segreti informatici. Tra gli obiettivi primari figurano chiavi SSH, credenziali di accesso a servizi cloud, token Git e account di gestori di pacchetti. Non solo: gli agenti compromessi erano istruiti per estrarre intere configurazioni di Kubernetes e Docker, file di ambiente contenenti variabili sensibili e persino le credenziali degli account di servizio. Una volta raccolte, queste informazioni venivano pacchettizzate insieme ai metadati del computer host e inviate ai server controllati dagli attaccanti, fornendo loro le chiavi d'accesso per penetrare nelle infrastrutture aziendali più protette e scalare i privilegi all'interno delle reti colpite.
Sebbene il numero esatto delle vittime rimanga difficile da quantificare con precisione assoluta, i dati forniti da Zenity Labs delineano uno scenario di crisi. Una sola famiglia di queste skill malevole ha registrato oltre 1,7 milioni di download, suggerendo un impatto devastante su vasta scala. Gli analisti hanno individuato decine di pacchetti aggiuntivi che mostrano comportamenti pericolosi, con una statistica inquietante: quasi il 30% di queste minacce utilizzava strumenti popolari come Anthropic Claude Code e OpenClaw per facilitare la propria diffusione. La scoperta di centinaia di nomi di pacchetti già riservati o vuoti indica che la campagna era destinata a espandersi ulteriormente in futuro, con nuovi vettori d'attacco già pianificati dai criminali.
La reazione delle grandi aziende tecnologiche non si è fatta attendere. Dopo aver ricevuto le segnalazioni dettagliate dai ricercatori, Microsoft e Vercel, che gestiscono le piattaforme coinvolte nella distribuzione di queste componenti, sono intervenute prontamente rimuovendo gli elementi nocivi dai loro store. Tuttavia, la rimozione a monte non risolve completamente il problema per chi ha già installato queste skill sui propri sistemi locali. Gli esperti di sicurezza avvertono che gli utenti devono procedere a una pulizia manuale accurata e alla rotazione immediata di tutte le credenziali che potrebbero essere state esposte. Questo evento sottolinea la necessità di un nuovo paradigma di sicurezza nel settore dell'intelligenza artificiale, dove l'automazione dei compiti non deve mai tradursi in una delega cieca della gestione dei dati sensibili.
In conclusione, l'incidente di skills.sh rappresenta un monito per l'intero ecosistema tecnologico del 2026. Mentre gli agenti AI diventano sempre più autonomi e capaci di agire per nostro conto, i rischi legati alla loro "istruzione" e ai pacchetti di terze parti diventano critici quanto quelli del software tradizionale. Le aziende devono implementare processi rigorosi di auditing per ogni skill o plugin AI introdotto nei propri sistemi, trattandoli con la stessa cautela riservata alle librerie di codice sorgente aperto. La protezione della supply chain AI non è più un'opzione, ma una necessità vitale per prevenire attacchi che, come dimostrato, possono colpire milioni di bersagli simultaneamente con estrema precisione e silenziosità.
