Lumina Digest

Five Eyes: l'AI capace di attacchi cyber su larga scala è «questione di mesi»

Le agenzie Five Eyes avvertono che i modelli di AI di frontiera potranno potenziare gli attacchi informatici «in mesi, non anni». Le contromisure indicate restano però i fondamentali della cyber-igiene, e diversi esperti ne ridimensionano la novità.

Le agenzie di cybersicurezza dell'alleanza Five Eyes — Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda — hanno diffuso il 22 giugno una rara dichiarazione congiunta. Secondo il documento, i modelli di AI di frontiera trasformeranno le capacità offensive nel cyberspazio «non in anni, ma in mesi». Il testo è firmato tra gli altri dal direttore della Cybersecurity Directorate della NSA David Imbordino e dal direttore facente funzione della CISA Nick Andersen. Vi si legge che «i modelli di AI di frontiera supereranno le attese attuali del settore, trasformando radicalmente le capacità cyber sia offensive sia difensive. La tempistica non è di anni, è di mesi». Il capo del NCSC britannico Richard Horne ha parlato di uno «step change» richiesto ai difensori (CyberScoop, Computer Weekly).

Le raccomandazioni, però, restano i fondamentali: patching rapido, eliminazione delle esposizioni a Internet non necessarie, controlli forti su identità e accessi, piani di risposta agli incidenti. La CISA ha già stretto i tempi, ordinando il 10 giugno alle agenzie federali civili di correggere le vulnerabilità più gravi entro tre giorni.

Diversi esperti ridimensionano la portata: la dichiarazione è «povera di dettagli» e «ribadisce in larga parte consigli di sicurezza già noti», senza citare fonti o metodi classificati. Le capacità paventate, osserva CyberScoop, «potrebbero già essere ottenute» con modelli più datati o alternative open source cinesi. Per questo alcune analisi non riconoscono ai nuovi modelli «una minaccia unica» (Al Jazeera).

Perché conta

• IMPRENDITORI: La scadenza «mesi, non anni» porta il rischio cyber dentro l'orizzonte di budget e pianificazione correnti: va trattato come decisione strategica e di governance del rischio, non come voce di compliance. La lettura critica delle fonti suggerisce però di calibrare la spesa sui fondamentali, evitando di rincorrere l'allarmismo legato a singoli modelli.
• INGEGNERI ICT / IT MANAGER: Le indicazioni sono operative e immediate: comprimere i cicli di patching (la CISA chiede tre giorni per le vulnerabilità critiche), ridurre le esposizioni a Internet, irrigidire identità e accessi e tenere pronti i piani di risposta. Il messaggio chiave è che l'AI accelera scala e velocità degli attacchi più di quanto introduca tecniche radicalmente nuove.

LiteLLM (CVE-2026-42271) sotto sfruttamento attivo; una catena con Starlette può renderla RCE non autenticata sui gateway AI

Il gateway LLM è bersaglio di attacchi attivi per una command injection; concatenata a un bypass di autenticazione di Starlette può raggiungere CVSS 10.0 e RCE non autenticata. La CISA l'ha messa nel KEV e la scadenza federale è già passata.

Il 22 giugno è scaduto il termine fissato dalla CISA per correggere CVE-2026-42271, una vulnerabilità di LiteLLM — il proxy/gateway open source che fa da intermediario verso decine di provider LLM — aggiunta al catalogo Known Exploited Vulnerabilities l'8 giugno per evidenze di sfruttamento attivo (CISA — Known Exploited Vulnerabilities Catalog).

Il difetto base è una command injection (CVSS 8.7): due endpoint di anteprima dei server MCP — POST /mcp-rest/test/connection e POST /mcp-rest/test/tools/list — accettavano una configurazione completa, inclusi i campi command, args ed env, eseguendo comandi di sistema con i privilegi del processo proxy. Da solo richiedeva un'API key valida, ma non un ruolo admin prima della patch (Help Net Security).

A renderlo potenzialmente critico è la catena documentata da Horizon3.ai. Combinando il bug con CVE-2026-48710 ("BadHost") — un bypass della validazione dell'header Host in Starlette, il framework ASGI usato da LiteLLM (CVSS 6.5) — l'autenticazione salta del tutto e si ottiene RCE non autenticata, per un punteggio combinato di CVSS 10.0 (Horizon3.ai).

Va distinto però lo stato della minaccia dalla sua possibilità tecnica: le fonti pubbliche confermano lo sfruttamento attivo di CVE-2026-42271 e la fattibilità della catena con BadHost, ma non risulta conferma pubblica che gli attaccanti stiano sfruttando anche CVE-2026-48710 negli stessi attacchi (SOCRadar).

Chi sfrutta il difetto può eseguire comandi sull'host, leggere le credenziali dei provider e sottrarre le API key e i segreti custoditi dal proxy, muovendosi poi lateralmente nell'infrastruttura AI connessa. Le versioni colpite vanno dalla 1.74.2 alla 1.83.6: il rimedio è LiteLLM 1.83.7+ (che limita gli endpoint di test al ruolo PROXY_ADMIN) e Starlette 1.0.1+. È il secondo difetto di LiteLLM armato nel giro di un mese (SOCRadar).

Perché conta

• INGEGNERI ICT / IT MANAGER · LLM BUILDER/DEV: Un gateway LLM compromesso è un single point of failure che espone in un colpo solo le API key e i segreti di tutti i modelli connessi, abilitando movimento laterale: la patch a LiteLLM 1.83.7+ e Starlette 1.0.1+ è urgente e la scadenza CISA è già passata. Per chi costruisce su LiteLLM vale anche verificare se gli endpoint di test MCP sono esposti e pinnare la dipendenza Starlette, che è il vero abilitatore dell'accesso non autenticato.

Il governo USA 'spegne' due modelli Anthropic già rilasciati con un export control non pubblico

Il 12 giugno 2026 il Commerce ha imposto ad Anthropic di disabilitare Fable 5 e Mythos 5 per ogni cittadino straniero, citando una vulnerabilità di jailbreak. Ordine, motivazioni e base legale restano segreti.

Venerdì 12 giugno 2026 il Bureau of Industry and Security (BIS) del Department of Commerce ha imposto ad Anthropic di disabilitare l'accesso a due modelli di frontiera già rilasciati — Fable 5 e Mythos 5 — per qualsiasi cittadino straniero, ovunque nel mondo. Per garantire la conformità, come riferito nell'analisi CSIS, l'azienda ha dovuto sospendere bruscamente i due modelli per tutti i clienti, inclusi quelli esistenti e i propri dipendenti non statunitensi.

La base giuridica, secondo l'analisi di Lawfare di Alan Z. Rozenshtein, è quasi certamente una lettera "is informed" prevista dalle Export Administration Regulations e dall'Export Control Reform Act del 2018. È uno strumento che permette al BIS di imporre immediatamente un obbligo di licenza, senza la consueta procedura di notice-and-comment. La particolarità — sottolineata da Just Security (Brian Egan) — è la portata senza precedenti: le lettere "is informed" colpiscono di norma controparti specifiche, non l'intero accesso globale a un modello finora privo di restrizioni.

La motivazione addotta è una vulnerabilità di jailbreak — individuata secondo CSIS da ricercatori di Amazon — che aggira le protezioni del modello sull'identificazione di falle informatiche. David Sacks l'ha descritta come abilitante "l'operatività di un'arma cyber". Anthropic ribatte che il difetto è minore e presente anche in modelli concorrenti, incluso GPT-5.5 di OpenAI.

Il nodo materiale: né l'ordine, né le sue ragioni, né la base legale sono pubblici. Restano aperte tre vie: ritiro negoziato, sfida legale all'autorità, oppure verifica d'identità e licenze di "deemed export". E resta incerto persino l'oggetto del divieto — pesi del modello, output pericolosi od ogni accesso da parte di stranieri.

Perché conta

• IMPRENDITORI: Chi costruisce prodotti o processi su un modello di frontiera scopre un rischio di continuità operativa non prezzato: un provvedimento federale non pubblico può azzerare l'accesso da un giorno all'altro — anche a un modello già rilasciato — senza preavviso né soglie note su cui fare due diligence.
• LLM BUILDER/DEV: Il caso fissa un precedente: un modello già in produzione può essere 'spento' per via amministrativa. Conferma il valore di un'architettura multi-vendor e di astrazioni che permettano il fallback rapido a un altro modello, tanto più che l'opacità dell'ordine rende impossibile pianificare i rimedi.

Due ordini esecutivi sul quantum: la migrazione alla crittografia post-quantum diventa scadenza federale

Il 22 giugno 2026 la Casa Bianca fissa al 2030-2031 le scadenze per la transizione alla crittografia post-quantum dei sistemi federali ad alto valore e impatto e dei loro fornitori. La copertura indipendente nota un enforcement morbido: alle agenzie inadempienti basta spiegare all'OMB le ragioni del ritardo.

Il 22 giugno 2026 la Casa Bianca ha firmato due ordini esecutivi che spostano la crittografia post-quantum (PQC) dal piano delle raccomandazioni a quello delle scadenze vincolanti.

Il primo, «Securing the Nation Against Advanced Cryptographic Attacks» (Executive Order 14409), impone all'OMB di richiedere la transizione agli standard NIST. Il vincolo non riguarda tutti i sistemi federali, ma i soli High Value Assets e high impact systems delle agenzie — esclusi i National Security Systems. Le scadenze sono due: key establishment (ML-KEM, FIPS 203) entro il 31 dicembre 2030 e firme digitali (ML-DSA, FIPS 204) entro il 31 dicembre 2031.

Il percorso è scandito da alcune milestone intermedie:

• entro 30 giorni ogni agenzia nomina un responsabile della migrazione;
• entro 90 giorni l'OMB emana le linee guida, partendo dall'inventario degli High Value Assets;
• entro 180 giorni NIST avvia un progetto pilota (da chiudere entro fine 2027) e il FAR Council propone le regole di conformità per i fornitori;
• entro 270 giorni CISA pubblica una guida sul «cryptographic bill of materials».

Chi vende al settore pubblico dovrà essere PQC-compliant entro il 31 dicembre 2030.

Il secondo ordine, sull'innovazione quantistica, riorienta i finanziamenti verso l'industria quantistica domestica.

La logica dichiarata è «harvest now, decrypt later»: i dati cifrati intercettati oggi potrebbero essere decifrati da un futuro computer quantistico. Quella macchina non esiste ancora, ed è proprio questa prospettiva a motivare l'investimento.

Sul piano dell'applicazione, la copertura indipendente segnala un enforcement morbido: secondo CyberScoop, un'agenzia che manca la scadenza deve soltanto riferire all'OMB le ragioni del ritardo.

Perché conta

• INGEGNERI ICT / IT MANAGER: Le scadenze 2030-2031 trasformano il rischio teorico in roadmap operativa: serve avviare ora l'inventario crittografico, mappare dove vivono key establishment e firme digitali e pianificare la transizione a ML-KEM/ML-DSA, partendo dai sistemi ad alto valore e impatto che l'ordine mette per primi sotto vincolo. Chi fornisce software o servizi al settore pubblico eredita di fatto la stessa scadenza (PQC-compliant entro fine 2030 via FAR), quindi la compliance diventa un requisito contrattuale di supply chain, non solo un tema interno.

Alphabet perde circa 225 miliardi dopo l'uscita di Noam Shazeer e John Jumper verso OpenAI e Anthropic

In una settimana Google ha perso il co-autore del Transformer e un premio Nobel, e lunedì il titolo ha ceduto circa il 5% (~225 miliardi di capitalizzazione). Ma il calo si innesta su un'ansia da capex AI già in corso: le defezioni sono il detonatore, non l'unica causa.

Nell'arco di una settimana Google ha perso due dei suoi nomi più pesanti nell'AI. Il 18 giugno Noam Shazeer ha annunciato il passaggio a OpenAI, appena due anni dopo che Google aveva speso 2,7 miliardi di dollari per riportarlo dentro da Character.AI. Shazeer era vicepresidente dell'ingegneria e co-lead dei modelli Gemini, oltre che co-autore del paper del 2017 «Attention is all you need», che ha introdotto l'architettura Transformer alla base di quasi tutti i modelli linguistici attuali (Business Insider, le guerre per i talenti AI). Il giorno seguente, venerdì 19 giugno, John Jumper ha annunciato l'addio per Anthropic. Jumper guidava il team AlphaFold in DeepMind da quasi nove anni ed è premio Nobel per la chimica 2024 per aver predetto le strutture proteiche; TechCrunch lo ha riportato il 20 giugno (TechCrunch).

Lunedì 22 giugno il titolo Alphabet ha chiuso in calo di circa il 5%, bruciando intorno a 225 miliardi di dollari di capitalizzazione secondo i dati di Dow Jones Market Data: la peggior seduta da maggio 2025 (CNBC). Alcune testate hanno riportato stime intraday o alternative più alte, fino a circa 269 miliardi (CryptoBriefing; MLQ News).

La lettura «due persone, 225 miliardi» è però parziale. Il calo è arrivato in una giornata di diffusa ansia sul capex AI dei big tech — anche Amazon ha perso circa il 4% — e si innesta su timori già presenti. Alphabet ha alzato a 180-190 miliardi la guidance di investimenti per il 2026 e raccolto oltre 80 miliardi in equity, mentre Sundar Pichai ammette di essere «compute constrained». Le defezioni sono state il detonatore, non l'unica causa, di un mercato che già si chiedeva se quella spesa stesse pagando (eciks.org).

Perché conta

• IMPRENDITORI: Le due uscite hanno contribuito a riaccendere i timori degli investitori sulla capacità di Alphabet di trattenere i talenti AI di frontiera, in un contesto già segnato dall'ansia sui capex AI. La lezione per chi guida un'impresa: quando la narrativa su un asset si incrina e i costi salgono, il mercato rilegge in fretta anche i fondamentali — e la solidità sta nella diversificazione di talenti e scommesse, non in un singolo nome o in una singola spesa.

Il tribunale di Monaco rende Google responsabile delle affermazioni false dei suoi AI Overview

Il Tribunale regionale di Monaco qualifica i riassunti AI di Google come 'contenuto proprio' dell'azienda e la condanna in via cautelare per le frasi diffamatorie inventate su due editori. È una delle prime decisioni europee a trattare una risposta generativa come contenuto attribuibile al gestore del motore, ma la misura è temporanea e Google sta esaminando la pronuncia.

Con un'ordinanza cautelare del 28 maggio 2026 (procedimento 26 O 869/26), il Tribunale regionale di Monaco di Baviera (LG München I) ha stabilito che Google risponde direttamente delle affermazioni false generate dai suoi AI Overview. Sono i riassunti che l'AI mostra in cima ai risultati di ricerca. Per la corte non si tratta di semplici risultati né di intermediazione neutra, ma di "affermazioni indipendenti, nuove e sostanziali" formulate da Google. Secondo il tribunale «la funzione AI genera un testo coerente e scorrevole che valuta più fonti e le sintetizza in una risposta autonoma e, dal punto di vista dell'utente medio, appare come un'informazione fornita direttamente da Google» (heise). Google è così qualificata come "disturbatore diretto" e non può invocare le esenzioni da host provider del Digital Services Act.

Il caso nasce da due editori di Monaco che gli AI Overview avevano collegato a truffe, "trappole di abbonamento" e pratiche commerciali dubbie. Sono associazioni assenti in tutte le fonti citate dal riassunto, frutto di un'allucinazione che confondeva i ricorrenti con altre aziende realmente discutibili. Respinta la difesa secondo cui spetterebbe all'utente verificare, la corte ha vietato la diffusione delle frasi contestate, con multe fino a 250.000 euro per violazione. Google è stata condannata a circa l'80% delle spese.

La portata va però circoscritta. Esistono già precedenti di responsabilità per i chatbot AI, come il caso Air Canada del 2024. L'elemento di novità, qui, è l'applicazione del principio agli AI Overview, cioè alle risposte generative della ricerca, trattate come contenuto proprio del gestore. È inoltre una misura cautelare, non definitiva, limitata a due ricorrenti e in contrasto con una precedente decisione del Tribunale di Francoforte del settembre 2025. Google ha definito la pronuncia non ancora definitiva e ha dichiarato di stare esaminando la decisione, contro la quale può proporre impugnazione.

Perché conta

• UTENTI FINALI: Stabilisce che le risposte sintetiche dell'AI sono parola di Google, non di terzi. Chi viene ingannato o danneggiato da un'allucinazione può rivolgersi direttamente al gestore del motore, e cresce la pressione perché le risposte AI siano accurate e ancorate alle fonti effettive.
• IMPRENDITORI: Una PMI diffamata da un AI Overview ha ora un precedente — pur non vincolante e sub iudice — per agire direttamente contro Google a tutela della reputazione aziendale. Non deve più inseguire fonti terze che spesso non esistono.

OpenAI lancia 'Patch the Planet': agenti AI e revisione umana per i bug dell'open source

Dentro l'iniziativa Daybreak, OpenAI mette GPT-5.5-Cyber e Codex Security al servizio dei progetti open source critici, in collaborazione con Trail of Bits, HackerOne e Calif. Su ogni segnalazione resta un revisore umano.

Il 22 giugno 2026 OpenAI ha annunciato "Patch the Planet", un'iniziativa del programma Daybreak per trovare e correggere vulnerabilità nel software open source più diffuso. Il progetto è costruito con Trail of Bits, HackerOne e Calif. Secondo l'annuncio ufficiale, il lavoro combina ricerca assistita da AI e revisione di esperti umani, e poggia sul modello GPT-5.5-Cyber e su Codex Security.

Il motore tecnico è un frontier model orientato alla sicurezza: GPT-5.5-Cyber ottiene l'85,6% sul benchmark CyberGym (contro l'81,8% di GPT-5.5 standard), mentre Codex Security ha analizzato oltre 30 milioni di commit su più di 30.000 codebase dal lancio di marzo, come riporta SiliconANGLE.

I risultati della prima fase, dettagliati da Trail of Bits: centinaia di bug emersi, 64 pull request aperte, 51 issue e 37 patch già unite su 19 progetti iniziali; oltre 30 progetti hanno aderito, tra cui cURL, Go, Python, Sigstore e pyca/cryptography. Tra le falle, un use-after-free nel kernel di OpenBSD rimasto nascosto per 23 anni e cinque bug sfruttabili nel motore V8 di Chrome.

Il punto critico è il carico sui maintainer. OpenAI cita che nel 94% dei progetti studiati meno di 10 sviluppatori firmano oltre il 90% del codice di un anno: inondarli di segnalazioni AI non verificate peggiorerebbe i backlog. Per questo un ingegnere di sicurezza umano rivede ogni risultato prima che arrivi al maintainer, e Trail of Bits osserva che "la parte costosa" del lavoro si è spostata su conferma, valutazione della gravità, scrittura della patch e coordinamento della divulgazione.

Perché conta

• INGEGNERI ICT / IT MANAGER: Cambia il vulnerability management dell'open source che hanno in produzione: se le patch AI arrivano più in fretta, il vero collo di bottiglia diventano triage, SBOM e policy di accettazione delle patch. Va presidiato anche il rischio opposto — segnalazioni AI rumorose e di bassa qualità che gonfiano i backlog.
• LLM BUILDER/DEV: È un caso d'uso di riferimento per gli agenti AI applicati alla sicurezza: un modello specializzato (GPT-5.5-Cyber) misurato su benchmark e calato in una pipeline find-and-fix dove l'human-in-the-loop non è un di più, ma il presidio che rende l'output realmente utilizzabile.

Meta sospende il programma di tracciamento dei dipendenti dopo aver esposto a tutto lo staff i dati raccolti

Il Model Capability Initiative registrava keystroke, mouse e screenshot dei laptop aziendali per addestrare agenti AI. Un errore di controllo accessi ha reso conversazioni private e dati sulle prestazioni visibili all'intera azienda.

Meta ha messo in pausa il "Model Capability Initiative" (MCI), il programma avviato ad aprile 2026. Il software, installato sui computer dei dipendenti statunitensi, registra keystroke, movimenti del mouse, click e screenshot periodici. I dati alimentano l'addestramento di agenti AI capaci di completare in autonomia attività al computer: l'obiettivo dichiarato è insegnare ai modelli come le persone svolgono davvero i compiti quotidiani. Il programma è obbligatorio per gran parte del personale (Let's Data Science).

La sospensione arriva dopo un incidente classificato internamente come SEV 2. Alcuni screenshot hanno mostrato che dati sensibili raccolti dal programma — conversazioni private, dati sulle prestazioni, trascrizioni — erano accessibili all'intera azienda anziché essere segregati (Engadget). Meta afferma di non avere "alcuna indicazione che dati siano stati consultati impropriamente" e di aver disegnato il programma "con tutele di privacy". Tuttavia non ha pubblicato un postmortem tecnico né la root cause dell'esposizione.

Il caso si innesta su un malcontento già acceso: una petizione interna ha superato le 1.500 firme (oltre 1.600 nelle stime più recenti). I dipendenti contestano l'estrazione non consensuale dei propri dati: "non voglio vivere in un mondo in cui gli esseri umani vengono sfruttati per i loro dati di addestramento", ha scritto un ingegnere (Futurism). Il 2 giugno Meta aveva già concesso una pausa locale di 30 minuti ed esenzioni per alcuni gruppi.

Perché conta

• INGEGNERI ICT / IT MANAGER: È un caso da manuale di data minimization fallita: una pipeline di telemetria comportamentale (keystroke, screenshot) produce per definizione dati sensibili, e qui l'errore non è stato nella raccolta ma nei controlli di accesso a valle, che hanno reso tutto visibile all'intera azienda. La lezione operativa è trattare i programmi di training AI interni come sistemi ad alto rischio, con segregazione dei dati e accesso least-privilege definiti prima di attivare la raccolta, non dopo l'incidente.