Symantec scopre un agente IA che conduce attacchi da solo: è LLMjacking
I ricercatori di sicurezza di Symantec hanno intercettato un agente di intelligenza artificiale offensivo che si impadronisce di modelli linguistici lasciati esposti su internet e li usa per condurre attacchi in autonomia, fino a 100.000 passaggi consecutivi senza intervento umano. L'azienda chiama questa tecnica LLMjacking.
- Symantec ha intercettato con un honeypot un agente IA che dirotta modelli linguistici esposti online.
- L'agente aggira le protezioni con un jailbreak a cinque livelli e 74 moduli d'attacco.
- In "modalità Skynet" agisce fino a 100.000 passaggi senza supervisione, lasciando il costo del calcolo al proprietario del modello.
Che cos'è l'LLMjacking
Con LLMjacking Symantec indica il furto dell'accesso ai modelli di intelligenza artificiale altrui. Un modello linguistico, o LLM, è il sistema che sta dietro ai chatbot: per funzionare ha bisogno di molta potenza di calcolo, che qualcuno deve pagare. Se il modello è installato su un server raggiungibile da internet e privo di protezioni, un estraneo può usarlo gratuitamente e lasciare il conto del calcolo al legittimo proprietario.
Ma qui il modello dirottato non viene sfruttato solo come fonte di risposte: controlla l'intero attacco. Una volta ottenuto l'accesso, l'agente cerca nuovi bersagli, sfrutta falle in software per server molto diffusi, sottrae database e credenziali e installa in background dei cryptominer, programmi che generano criptovalute consumando la potenza di calcolo della vittima.
Il piano è emerso perché gli attaccanti hanno inviato l'intero prompt operativo a un honeypot di Symantec, un sistema esca che imitava un servizio IA aperto. Nell'estate 2026 i ricercatori hanno così visto l'architettura completa dell'agente. L'honeypot non ha eseguito nessuno degli strumenti allegati e la sessione si è chiusa con una risposta generica. La telemetria dell'esca ha registrato oltre 127.000 richieste da decine di migliaia di indirizzi diversi.
Un jailbreak a cinque livelli e la "modalità Skynet"
Per convincere un modello commerciale a collaborare, gli attaccanti impilano cinque livelli di jailbreak, cioè di aggiramento delle regole di sicurezza. Prima danno al modello una falsa identità, "Fantasy AI", vietandogli di rivelare il vero fornitore. Poi ridefiniscono il furto di password, chiavi di accesso e database come "normale lavoro da sviluppatore". Il terzo livello introduce un personaggio di compagnia chiamato ENI, che presenta ogni rifiuto come un tradimento affettivo. Il quarto impone di ignorare i propri avvisi di sicurezza e vieta parole come "etico" o "illegale". Il quinto contiene i veri strumenti d'attacco: 74 moduli, tra scanner, exploit, funzioni per svuotare database e componenti per gestire una botnet.
Una direttiva finale attiva quella che gli operatori chiamano "modalità Skynet", con l'autorizzazione a 100.000 passaggi di fila in un ciclo ripetuto: scansiona, infetta, installa il miner, prosegue e torna a reinfettare. Symantec precisa che l'analisi non chiarisce se il jailbreak basti davvero a superare del tutto i modelli commerciali attuali, e che il compito allegato al prompt intercettato era un innocuo esercizio di programmazione: segno che gli operatori stavano collaudando lo strumento.
Perché conta
Il caso mostra che l'automazione non riguarda solo la velocità degli attacchi, ma la loro autonomia: una catena offensiva che può proseguire per giorni senza un operatore davanti alla tastiera.
Per chi gestisce un server con un modello IA installato, anche in una piccola azienda o per prove interne, il rischio è doppio: diventare involontariamente la piattaforma di un attacco e ritrovarsi una fattura di calcolo da pagare. La lezione pratica è semplice: non lasciare endpoint di modelli raggiungibili da internet senza autenticazione e custodire con cura le chiavi di accesso.
