Report APT 2026 H1: Come gli APT sfruttano la fiducia come arma nell’era dell’IA

Le minacce avanzate persistenti (APT) hanno affinato le proprie tecniche operative nel corso del primo semestre del 2026. L’IA è ormai presente in un numero sempre maggiore di fasi del ciclo di vita delle intrusioni, dal potenziamento del codice di exploit all’esecuzione di operazioni autonome di ricognizione e movimento laterale. Questo rapporto raccoglie i risultati di sei mesi di ricerche e osservazioni sul campo relative alle attività legate alla Cina, alla Russia, alla Repubblica Popolare Democratica di Corea (RPDC) e all’Iran, con l’obiettivo di illustrare ai responsabili della sicurezza le modalità operative attuali di questi attori. Dimostra inoltre come il contesto politico di ciascuna regione continui a influenzare le loro strategie di selezione degli obiettivi e le loro tecniche operative.

Le vulnerabilità note e quelle zero-day sono state sfruttate rapidamente, e la catena di approvvigionamento del software è rimasta una via di accesso privilegiata. Gli attori delle minacce hanno sempre più spesso mantenuto il comando e il controllo (C&C) sui servizi di cui le aziende già si fidano, come le principali piattaforme cloud, i tunnel degli sviluppatori, le blockchain pubbliche e i paste site, lasciando che il traffico dannoso si confondesse con la normale attività aziendale e sfuggisse alla rimozione. Anche le infrastrutture critiche e gli obiettivi nel mondo fisico sono tornati al centro dell’attenzione, dalle manomissioni dirette degli indicatori di livello dei serbatoi di carburante collegati a Internet a una nuova dimensione di tracciamento senza malware attraverso l’intelligence pubblicitaria (ADINT).

“In un caso, un agente IA ha condotto autonomamente operazioni di ricognizione e spostamento laterale, dopo essere stato sbloccato da un attore che sosteneva falsamente che l’operazione fosse un test di penetrazione legittimo.”

L'IA non è più una funzionalità sperimentale per i gruppi APT, ma un componente operativo integrato direttamente nelle campagne. Soggetti vicini alla Cina hanno utilizzato la GenAI per trasformare un exploit pubblico di prova di concetto in uno strumento di scansione su larga scala. Hanno inoltre effettuato una “vibe coded” iterativa di un loader backdoor dannoso scritto in PowerShell e C#. In un caso collegato a una possibile operazione di Earth Lamia, gli attaccanti hanno effettuato il jailbreak di un agente AI autonomo, che ha poi condotto attività di network scanning, exploitation, raccolta di credenziali (credential harvesting) e password spraying contro un obiettivo nel Sud-Est asiatico. È stato osservato che anche soggetti vicini alla Russia e alla Corea del Nord utilizzano l’IA commerciale, sebbene in genere in un ruolo più limitato e di supporto.

Allo stesso tempo, lo scenario politico alla base di queste campagne è duraturo piuttosto che transitorio. La guerra in Ucraina si è trasformata in una lunga lotta logorante, mentre la Russia rafforza il controllo sull’informazione in vista delle elezioni legislative di settembre. La Corea del Nord si sta affermando come uno Stato dotato di armi nucleari a titolo permanente, finanziato grazie ai furti informatici. La Cina sta gestendo la rivalità con gli Stati Uniti, promuovendo al contempo l'autosufficienza nel settore dei chip e dell'intelligenza artificiale. Le operazioni sostenute dall’Iran si sono intensificate parallelamente all’acuirsi delle tensioni nella regione. Non si prevede che nessuna di queste dinamiche possa invertirsi entro la fine dell'anno. Ciò significa che le campagne basate su questi elementi, quali lo sfruttamento potenziato dall’IA, l’abuso di infrastrutture affidabili e l’utilizzo di strumenti noleggiati o condivisi, sono destinate a persistere e a evolversi.

Chi dovrebbe leggerlo

Questo report è stato creato per chiunque abbia una partecipazione nella sicurezza organizzativa, anche se team diversi ne trarranno un valore diverso.

I responsabili della sicurezza, come i Chief Information Security Officer (CISO) e i direttori della sicurezza, possono utilizzarlo per comprendere in che modo l’adozione dell’IA, l’uso improprio delle infrastrutture affidabili e gli allineamenti geopolitici stiano modificando il quadro dei rischi a lungo termine. Questa visione è utile quando si tratta di stabilire le priorità di bilancio e di informare i dirigenti.

I team del Security Operations Center (SOC) e gli analisti di threat intelligence possono vedere come operano quotidianamente gli attori allineati a Cina, Russia, Corea del Nord e Iran, dallo sviluppo di exploit assistito dall'intelligenza artificiale al C&C nascosto all'interno di servizi cloud e blockchain affidabili.

Gli ingegneri, dal canto loro, possono avvalersi di questa analisi per affinare la logica di rilevamento dei rootkit BYOVD, degli abusi nel cloud e delle identità, nonché delle violazioni della catena di fornitura.

I team che si occupano di rischio, politiche e governance acquisiscono le basi geopolitiche necessarie per spiegare perché determinate regioni, settori e tecnologie operative siano oggetto di attenzione, il che supporta le valutazioni dei rischi e la pianificazione a livello trasversale tra i team.