Prima di procedere
L'integrazione dell'intelligenza artificiale nei processi di cyber-offensiva ha segnato un punto di non ritorno nel panorama della sicurezza globale. I dati forniti dalla società di ricerca taiwanese Team T5 indicano che il volume degli attacchi è più che raddoppiato da quando queste fazioni hanno iniziato a implementare sistematicamente modelli di linguaggio di grandi dimensioni (LLM) per l'automazione e il perfezionamento del codice malevolo. Al centro di questa rivoluzione tecnologica si trova DeepSeek, una piattaforma IA che, per versatilità e assenza di restrizioni stringenti, è diventata lo strumento prediletto dai criminali informatici operanti nell'orbita cinese.
L'ascesa di DeepSeek nel mondo del cybercrime non è casuale. A differenza dei modelli sviluppati in occidente, che sono sottoposti a rigidi protocolli di sicurezza e filtri etici volti a impedire la generazione di exploit, DeepSeek offre una flessibilità che permette agli attaccanti di personalizzare le risposte in base alle proprie esigenze belliche. Gli esperti di Team T5 sottolineano come la facilità di accesso e le basse barriere all'ingresso abbiano democratizzato capacità offensive che un tempo erano appannaggio esclusivo di reparti d'élite. Sebbene l'identificazione precisa dei modelli utilizzati sia complessa, le evidenze raccolte sul campo confermano che le prestazioni elevate di questa tecnologia cinese, unite a requisiti di sicurezza minimi, la rendono l'arma perfetta per la creazione di malware polimorfici capaci di eludere i più moderni sistemi di difesa.
Charles Li, analista capo presso Team T5, ha spiegato che, mentre negli Stati Uniti cresce la preoccupazione per le capacità autonome di modelli avanzati come quelli di Anthropic e OpenAI, gli hacker cinesi stanno ottenendo risultati straordinari utilizzando tecnologie apparentemente meno sofisticate ma molto più libere da vincoli. Paradossalmente, nonostante la disponibilità di modelli interni più potenti come Kimi K3 sviluppato da Moonshot, la scelta ricade su DeepSeek proprio per la sua natura permissiva. I modelli occidentali, pur essendo tecnicamente superiori, richiedono sforzi eccessivi per essere "jailbreakkati" o manipolati, rendendo il rapporto tra tempo investito e risultato ottenuto meno vantaggioso per le operazioni su larga scala.
Le indagini hanno permesso di mappare le attività di specifici gruppi che hanno già adottato queste tecnologie. Il collettivo noto come Grimfengxi è stato identificato mentre utilizzava DeepSeek per la generazione automatizzata di codici exploit, riducendo drasticamente i tempi tra la scoperta di una vulnerabilità e la sua effettiva applicazione in un attacco. Un altro gruppo, denominato Huapi, ha sfruttato l'IA per orchestrare una complessa operazione contro il sistema di posta elettronica di una rilevante azienda in Thailandia, dimostrando come l'automazione linguistica possa migliorare l'efficacia del phishing e della manipolazione sociale. Ancora più strutturato è stato l'approccio di Teleboyi, che ha delegato alla piattaforma il compito di mappare oltre 1.000 indirizzi IP e definire la topologia dei domini aziendali di un target strategico, operazione che manualmente avrebbe richiesto giorni di lavoro e un'attenzione ai dettagli impossibile da mantenere costantemente.
Non mancano tuttavia casi in cui gli hacker cinesi si sono rivolti a tecnologie prodotte oltreoceano per completare missioni specifiche. La società di cybersicurezza CyCraft ha documentato un incidente in cui ChatGPT è stato utilizzato durante un'offensiva contro un prestigioso think tank occidentale. Dopo essere riusciti a esfiltrare una copia locale del database Signal da un computer compromesso appartenente a un dipendente, gli hacker hanno chiesto assistenza al chatbot di OpenAI per scrivere un modulo software capace di decriptare i file protetti. Questo episodio evidenzia come, nonostante le restrizioni imposte dalle aziende americane, la creatività degli aggressori riesca talvolta a piegare gli strumenti di difesa a scopi offensivi, creando un paradosso tecnologico dove l'innovazione diventa essa stessa il vettore del rischio.
In questo scenario, la velocità di evoluzione delle minacce supera costantemente la capacità di adattamento delle infrastrutture civili e governative. La capacità di generare malware in tempo reale significa che le firme virali tradizionali sono ormai obsolete. La difesa nel 2026 deve necessariamente basarsi su un'IA difensiva altrettanto reattiva, capace di prevedere le mosse di avversari che non dormono mai. La sfida non è più solo tecnologica, ma geopolitica: la gestione dei modelli open-source e la regolamentazione dell'accesso alle API sono diventate questioni di sicurezza nazionale. Se da un lato l'apertura tecnologica favorisce l'innovazione globale, dall'altro offre un'autostrada digitale a chi intende destabilizzare l'ordine internazionale attraverso il sabotaggio silenzioso. La comunità globale si trova dunque davanti a un dilemma: limitare la diffusione della conoscenza per garantire la sicurezza o accettare il rischio in nome del progresso tecnologico condiviso.
