L’intelligenza artificiale sta assumendo un ruolo sempre più rilevante nelle operazioni dei gruppi cybercriminali. Non si tratta più soltanto di utilizzare modelli linguistici per scrivere e-mail di phishing o generare frammenti di codice, ma di integrarli in infrastrutture capaci di coordinare diverse fasi di un attacco.
Un esempio è CARLIY0S, il sistema descritto dai ricercatori di Straiker in un rapporto pubblicato che documenta l’impiego di più modelli di intelligenza artificiale nelle operazioni attribuite a CyberCartel contro istituti bancari e operatori finanziari dell’America Latina.
Secondo l’analisi, il gruppo avrebbe utilizzato questa infrastruttura per prendere di mira oltre 400 organizzazioni finanziarie in pochi mesi. La ricerca si basa su elementi recuperati dall’ambiente operativo attribuito agli attaccanti, tra cui configurazioni dei modelli, script, strumenti di automazione e archivi di dati sottratti. Le organizzazioni coinvolte non sono state identificate pubblicamente nel rapporto.
Più modelli per pianificare ed eseguire gli attacchi
L’elemento distintivo di CARLIY0S è l’architettura multi-agente, nella quale diversi modelli di intelligenza artificiale vengono assegnati a compiti specifici. Il sistema, costruito attorno al framework offensivo PentAGI (1), combina modelli commerciali di Anthropic, Kimi e xAI, delegando loro attività di ricognizione, analisi tecnica, individuazione di possibili vettori d’attacco e valutazione delle strategie.
Alcuni agenti sono configurati per analizzare le infrastrutture e raccogliere informazioni, mentre altri si concentrano sulla generazione di codice e sull’individuazione di percorsi di compromissione. Un ulteriore componente sintetizza le proposte e contribuisce alla scelta della strategia da adottare. Il risultato è un processo nel quale le attività possono essere distribuite, confrontate e perfezionate prima dell’esecuzione.
Tra i componenti descritti figurano Commander (basato su Claude nell’ambiente Cursor), per il coordinamento, STRIKER (basato su Claude Opus 4.7), per la generazione di codice, GHOST (basato su Claude Opus 4.8), per la ricognizione, FABLE (basato su Claude Fable 5), per la ricerca di vettori d’attacco e MAXIMUS (basato su Claude Opus 5), per la valutazione delle strategie. Il sistema comprendeva inoltre cinque agenti Grok Miners, dedicati alla ricerca di credenziali e informazioni sensibili.
Questa organizzazione riduce la necessità di gestire manualmente ogni singolo passaggio. L’intervento umano, tuttavia, non scompare automaticamente. La presenza di più agenti e di processi automatizzati non dimostra, da sola, che ogni decisione e ogni azione siano completamente autonome.
Dalla ricognizione alla compromissione dei sistemi
Il rapporto descrive una catena operativa che comprende l’interazione automatizzata con le applicazioni web, l’analisi delle superfici esposte e lo sfruttamento delle vulnerabilità individuate. Tra le tecnologie citate figura Playwright (2), utilizzato per controllare un browser automatizzato e interagire con le interfacce dei sistemi bersaglio.
Straiker riferisce inoltre l’impiego di tecniche di esecuzione di codice da remoto contro istanze di Magnolia CMS (3). Una volta ottenuto l’accesso, gli strumenti avrebbero consentito di cercare credenziali, analizzare database e mappare segmenti della rete interna, creando le condizioni per ulteriori attività successive alla compromissione.Per rendere più difficile l’attribuzione del traffico, l’infrastruttura avrebbe utilizzato proxy residenziali. Il rapporto descrive anche un sistema centralizzato per condividere conoscenze e risultati tra diversi nodi operativi, mantenendo sincronizzate le informazioni raccolte durante le campagne.
Tra gli elementi più significativi dell’indagine figura FinancialSoft, un archivio che, secondo Straiker, conterrebbe 4.493 record. L’inventario includerebbe 2.911 indirizzi e-mail, 903 numeri di conto, password, chiavi API, credenziali di database e altri elementi utili ad accedere a sistemi e servizi finanziari. I ricercatori segnalano inoltre oltre 200 vulnerabilità documentate nei siti web, nelle API e nei sistemi di backend delle organizzazioni prese di mira, comprese vulnerabilità descritte come zero-day.
Questi dati rappresentano le evidenze riportate dalla società di ricerca e non equivalgono a una conferma indipendente della compromissione di tutte le organizzazioni potenzialmente coinvolte.
Quando le difese dei modelli non sono sufficienti
Un altro aspetto rilevante riguarda i meccanismi utilizzati per aggirare le protezioni dei modelli AI. Secondo il rapporto, gli operatori avrebbero presentato alcune richieste offensive come attività autorizzate di penetration testing o esercitazioni accademiche. Quando alcuni modelli rifiutavano di generare contenuti richiesti, l’infrastruttura poteva ricorrere a codice offensivo già predisposto localmente.Questo dettaglio evidenzia un limite importante delle protezioni basate esclusivamente sul comportamento del singolo modello. Se l’intero processo viene orchestrato da un sistema esterno, il rifiuto di un componente non garantisce necessariamente l’interruzione dell’operazione.
Le implicazioni per la sicurezza finanziariaIl caso CARLIY0S mostra come l’intelligenza artificiale possa amplificare capacità offensive già esistenti, combinando competenze tecniche, automazione e condivisione delle informazioni. Per gli istituti finanziari diventa quindi essenziale rafforzare la gestione delle vulnerabilità, proteggere le credenziali privilegiate e monitorare gli accessi anomali alle applicazioni web, alle API e ai database.La difesa deve inoltre considerare sequenze di attività apparentemente legittime che, se correlate, possono rivelare una compromissione in corso. L’AI non elimina la necessità di competenze umane da parte degli attaccanti, ma può ridurre i tempi necessari per coordinare operazioni complesse. È proprio questa capacità di orchestrazione, più che la semplice generazione automatica di codice, a rendere CARLIY0S un caso rilevante per comprendere l’evoluzione delle minacce informatiche.
NOTE
(1) PentAGI – Piattaforma open source basata su agenti di intelligenza artificiale per automatizzare attività di penetration testing. Può pianificare verifiche, utilizzare strumenti professionali di sicurezza, analizzare i risultati e produrre report, operando in ambienti isolati tramite container Docker. Il suo utilizzo è legittimo per test autorizzati, ma le capacità di automazione possono essere rilevanti anche nella valutazione delle tecniche offensive basate sull’IA.
(2) Playwright – Framework open source per l’automazione e il testing dei browser web. Consente di simulare le interazioni di un utente con le applicazioni web e di automatizzare operazioni come la navigazione, la compilazione di moduli e l’interazione con le interfacce amministrative. In un contesto offensivo può essere impiegato per automatizzare attività di ricognizione e interazione con servizi web.
(3) Magnolia CMS – Sistema di gestione dei contenuti (Content Management System) e piattaforma per la realizzazione di esperienze digitali. Permette di creare, modificare e pubblicare contenuti web. In ambito di sicurezza, un’istanza vulnerabile o configurata in modo improprio può diventare un punto d’ingresso per un attacco, a seconda delle vulnerabilità e dei privilegi disponibili.\
