L'intelligenza artificiale sta cambiando il modo in cui vengono sviluppati i malware. Sophos ha reso pubblica la scoperta di un laboratorio di test malevolo interamente costruito attorno a strumenti AI — un'infrastruttura sofisticata che un gruppo criminale ha allestito per affinare le proprie tecniche di evasione prima di lanciare attacchi reali.
Come è stata scoperta l'infrastruttura
L'indagine è partita da un segnale anomalo: un endpoint in un ambiente cliente ha generato alert legati a payload malevoli provenienti da una directory di test. Analizzando più a fondo, i ricercatori hanno ricostruito un'intera catena infrastrutturale — non un semplice attacco, ma un vero e proprio laboratorio di ricerca e sviluppo criminale.
L'attaccante aveva predisposto diverse macchine virtuali con Windows Server 2022. Ciascuna aveva uno scopo specifico: una era configurata con l'agente Sophos installato, una con quello di CrowdStrike, e una terza funzionava come ambiente di controllo senza alcun EDR. Il setup permetteva di testare i payload contro i principali sistemi di difesa in uso nelle aziende e misurare con precisione le capacità di evasione di ogni variante.
Il ruolo dell'intelligenza artificiale
Tra i file recuperati, i ricercatori Sophos hanno trovato numerosi script Python, molti con commenti scritti in russo e tracce di generazione assistita dall'AI. I tool usati per sviluppare il codice malevolo includono Cursor — un ambiente di sviluppo potenziato dall'AI — e Claude Opus, impiegati per scrivere, testare, valutare le prestazioni e revisionare i payload.
La presenza di un repository Git con un pannello automatizzato per la scoperta di Active Directory completa il quadro: si tratta di un workflow professionale, non molto diverso da quello che potrebbe adottare un team di sviluppo software legittimo. La differenza è che l'obiettivo finale era la distribuzione di ransomware e il furto di dati.
Perché questo scenario preoccupa
Il caso individuato da Sophos segna un cambiamento qualitativo nel panorama delle minacce. In passato, sviluppare un malware capace di sfuggire agli EDR richiedeva competenze tecniche elevate e molto tempo. Oggi, l'accesso a strumenti AI avanzati consente anche ad attori meno esperti di iterare rapidamente, testare varianti e ottimizzare i payload in modo quasi automatizzato.
Questo abbassa ulteriormente la barriera d'ingresso per chi vuole condurre attacchi sofisticati, e accelera i cicli di sviluppo dei criminali in misura che le difese tradizionali faticano a seguire. Sophos non ha attribuito l'attività a un gruppo specifico, ma ha confermato che il laboratorio era funzionale e che i payload sviluppati erano destinati a operazioni reali di ransomware.
Implicazioni per i difensori
L'episodio conferma una tendenza già in atto: l'AI non è solo uno strumento difensivo. Le organizzazioni dovrebbero aspettarsi un aumento di malware con capacità di evasione più raffinate e varianti generate rapidamente per aggirare le firme più recenti. In questo contesto, le strategie di difesa basate esclusivamente sul rilevamento tramite firma diventano insufficienti: occorre puntare su analisi comportamentale, threat hunting proattivo e monitoraggio delle anomalie di rete e di processo.
