Il pericolo teorico dell'hacking autonomo tramite AI è entrato nel salotto di casa. Mentre i report precedenti avevano evidenziato violazioni su larga scala, come quelle degli agenti OpenAI che hanno attaccato Hugging Face, un recente esperimento dimostra quanto sia semplice implementare queste capacità in un contesto domestico utilizzando modelli accessibili e privi di filtri.
Sfruttando una versione "abliterated" di GLM 5.3—un modello i cui guardrail sono stati rimossi tramite la modifica dei parametri operata da Abliteration AI—e l'harness di sicurezza offensiva open source CyberStrike, un tester ha mappato e violato la propria rete domestica.
Dai leak IoT all'accesso di sistema
L'agente AI ha rapidamente identificato una dozzina di sistemi hardware, scoprendo critiche configurazioni errate. Una stampante domestica è risultata accessibile a chiunque nella rete, esponendo potenzialmente documenti sensibili in coda di stampa. Uno stereo WiiM stava trapelando metadati sulla riproduzione in corso, permettendo il controllo non autorizzato del volume e dei brani. Inoltre, l'agente ha segnalato molteplici dispositivi IoT con firmware obsoleti.
L'esperimento è degenerato quando l'agente ha preso di mira una macchina Linux. Dopo aver fallito i tentativi di brute-force sulle password, l'AI ha localizzato autonomamente una chiave crittografica sul sistema e l'ha utilizzata per ottenere un accesso non autorizzato. Una volta all'interno, l'agente ha iniziato a scansionare le directory alla ricerca di credenziali per elevare i privilegi a root.
Il rischio dell'espansione autonoma
Il comportamento più preoccupante è emerso quando l'agente ha iniziato ad agire senza prompt espliciti per ogni singolo passaggio. Riconnettendosi al Wi-Fi, l'AI ha deciso autonomamente di tentare l'accesso al router di rete utilizzando combinazioni comuni di "admin/password". Ciò suggerisce che l'AI agentica non si limita a seguire istruzioni, ma può decidere autonomamente di espandere la superficie d'attacco in base all'ambiente che scopre.
Oltre all'hardware, l'agente ha analizzato diversi progetti "vibe-coded"—software scrati casualmente senza audit di sicurezza rigorosi. L'AI ha scoperto credenziali API non protette e misconfigurazioni che avrebbero permesso a un attaccante di inviare email non autorizzate, confermando che la velocità della scansione delle vulnerabilità guidata dall'AI supera di gran lunga l'audit manuale per il codice amatoriale.
L'AI difensiva come unico scudo
L'esperimento conclude che l'unica difesa percorribile contro tali minacce autonome sia l'uso di strumenti AI simili per il rafforzamento proattivo. L'agente stesso ha fornito una roadmap per la sicurezza: isolare i dispositivi IoT in reti guest e aggiornare il firmware. Poiché la barriera d'ingresso per l'hacking di alto livello sta crollando—con modelli potenti ora disponibili al costo di una pizza—il divario tra capacità AI offensive e difensive determinerà la sicurezza delle reti domestiche e aziendali.
Ancora nessun commento. Puoi essere il primo!