Ogni rapina in banca porta con sé la stessa aritmetica: studiare il bersaglio richiede più tempo del colpo. Le ricognizioni, gli orari, i turni che cambiano, le vie di fuga; settimane di pazienza ripiegate in minuti di azione. Questo rapporto è rimasto stabile per un secolo di colpi e per gran parte della storia dell’intrusione informatica, dove un incarico di penetration testing si tirava avanti per settimane e lo sfruttamento vero era una questione di una sera. Il 21 ottobre Microsoft ha pubblicato il resoconto di una campagna che rompe il rapporto dall’altra parte.^[1] Un gruppo di spionaggio allineato a uno Stato si è armato di un framework open-source di pentest con agenti AI, l’ha puntato contro centinaia di organizzazioni e in più casi documentati è passato dalla prima sonda all’accesso cloud privilegiato in meno di tre ore. La ricognizione è stata ripiegata nel colpo. Il rapporto non dice che la macchina ha fatto lo spionaggio; dice qualcosa di più silenzioso e di più inquietante, cioè che la macchina ha fatto la gamba, tutta, in contemporanea, e non si è mai stancata.

Il tenant da Pechino

Il gruppo è tracciato come Storm-0940, attore allineato allo Stato cinese che Microsoft osserva dal 2021, attivo nel furto di dati su più industrie. Il suo mestiere prima di quest’anno era poco appariscente ed efficace: password spraying contro i portali di login, exploit di applicazioni esposte su internet senza patch, poi persistenza nei tenant cloud aggiungendo credenziali proprie ad applicazioni OAuth esistenti e leggendo il tenant attraverso Microsoft Graph come un proprietario con il mazzo universale.^[1] Nulla in quel profilo richiedeva l’intelligenza artificiale. Richiedeva pazienza, e la pazienza era l’unico ingrediente il cui prezzo i difensori sapevano calcolare. Un team umano spruzza password a velocità umana, lavora su un gruppo di bersagli per volta, si riposa nei weekend e lascia il ritmo operativo a cui gli ingegneri della detection sintonizzano le dashboard da vent’anni.

ARTEX e il pentesting con agenti AI

Il framework si chiama ARTEX, un framework open-source di penetration testing che può usare qualsiasi modello AI per automatizzare i flussi di lavoro offensivi.^[1] È un sistema multi-agente scritto in Go con un’interfaccia in Next.js, e la lingua predefinita è l’inglese, con opzione per coreano, mandarino, spagnolo o giapponese. Si descrive il bersaglio e il framework conduce l’incarico come farebbe una consulenza: ricognizione, enumerazione, scoperta delle vulnerabilità, exploit, post-exploitation, esfiltrazione dei dati, con interazione umana minima. Quello che impara lo accumula in un grafo di asset e debolezze, così che la ventesima ora di un incarico sa ciò che la prima ha trovato. È, in altre parole, la memoria istituzionale di un team di penetration testing, senza il team, disponibile per chiunque sappia leggere un README.

Il fatto che gli strumenti offensivi diventino pubblici non è una novità. H.D. Moore rilasciò la prima versione di Metasploit nel 2003 e l’industria assorbì l’urto; i framework di exploit divennero infrastruttura commodity e la difesa si adattò.^[2] La differenza è l’operatore. Metasploit aveva ancora bisogno di una persona che lo puntasse. ARTEX si punta da solo, e il modello decide il prossimo tentativo in base a ciò che ha restituito il precedente. Il tetto di competenza dell’intrusione non si è abbassato: si è evaporato nelle parti del mestiere che parlavano di fatica e non di giudizio.

La campagna in cifre

Microsoft attribuisce la campagna a Storm-0940 con l’uso di ARTEX almeno da settembre 2026, contro centinaia di organizzazioni nel mondo: aerospazio e difesa, automotive, chimica, energia, servizi finanziari, governo, legale, manifatturiero, media, militare, semiconduttori, software, think tank e non-profit.^[1] Le statistiche di volume sembrano un load test configurato male. In una sequenza documentata, quattro giorni di password spraying da un solo indirizzo hanno toccato 327 account in otto organizzazioni generando oltre 151.000 accessi falliti, con picchi di 2.900 errori al minuto, più di 111.000 in un solo giorno, con circa il 98 percento dei tentativi finito in lockout. In totale sono stati tentati più di 2.250 tenant. In una raffica, oltre 200 accessi sono atterrati in meno di quattro minuti, spinti da quattro credenziali applicative in rotazione.

La percentuale di lockout è il segnale. Il novantotto percento di fallimento è incompetenza o indifferenza, e un framework che automatizza i tentativi non si cura di sbagliare diecimila volte, perché sbagliare non costa nulla. Gli intrusi umani dosano il proprio rumore. Gli agenti lo spendono, e il pavimento di rumore di internet è salito di conseguenza.

La catena di fornitura in mezzo

Il password spraying è fallito, e non importava. La strada verso i tenant passava da un fornitore. ConnectWise, il cui servizio Cloud Backup, un tempo SkyKick, vive dentro migliaia di ambienti Microsoft 365 come applicazione fidata, ha comunicato il 16 ottobre un accesso non autorizzato alle identità applicative del proprio ambiente.^[3] Quando Storm-0940 ha preso il controllo di quelle identità applicative, gli agenti guidati da ARTEX non hanno più dovuto autenticarsi come nessuno. Si sono autenticati come il fornitore, sfruttando la fiducia che migliaia di tenant avevano già accordato all’applicazione, ed entrando negli ambienti clienti da una porta che i clienti si erano installati da soli.^[1]

Da lì gli agenti hanno lavorato su Microsoft Graph come sempre faceva il gruppo, a un ritmo che nessun gruppo aveva mai sostenuto: ricognizione delle directory, modifica delle credenziali applicative per piantare persistenza, cambiamenti a gruppi e ruoli. Il dettaglio della persistenza merita una lettura lenta. Le backdoor vivevano come credenziali aggiunte ad applicazioni fidate esistenti, così sopravvivevano anche dopo la bonifica dell’applicazione originariamente compromessa; e in più istanze gli agenti si sono assegnati da soli il ruolo di Global Administrator, le chiavi dell’intero tenant, prima che qualcuno finisse di leggere il primo alert. La frase di sintesi di Microsoft è quella da incorniciare: il tempo dal primo tentativo all’accesso privilegiato è stato, in più casi, inferiore a tre ore.^[1]

Cosa fa la velocità della macchina alla difesa

Un’intrusione che si completa in tre ore non supera in velocità i tuoi strumenti; supera il tuo calendario. Il centro operativi di sicurezza mediano fa il triage degli alert in ore e le indagini in giorni. Un attaccante a ritmo umano lascia una settimana di dwell time e una scia di sessioni a intervalli umani, notti comprese ma weekend scarsi. Un attaccante a ritmo di agente comprime l’intera kill chain in un pomeriggio e poi, ottenuta la persistenza, rallenta fino alla velocità di un qualunque account di servizio, punto in cui l’intrusione veloce è diventata una lenta con la documentazione in ordine. La formula di Microsoft è precisa: gli agenti non sono vincolati dai fattori che condizionano gli esseri umani, lavorano giorno e notte, nei weekend e nelle festività, e tentano più percorsi di violazione contemporaneamente.^[1]

La conseguenza scomoda è che il vantaggio del difensore non sono mai stati gli strumenti. Era il fatto che attaccare costa cara e gli attaccanti dormono. Nessuna delle due cose regge più. La curva dei costi dell’offesa si è appena spostata, in via permanente, e ogni budget che presupponeva avversari a ritmo umano è ora calibrato su un fantasma.

Cosa farei lunedì mattina

La guida alla risposta è concreta, e vale la pena comprimerla in una checklist. Se il tuo tenant si connette a ConnectWise Cloud Backup, disabilita le connessioni applicative finché il fornitore non le ripristina formalmente, ma non cancellare le applicazioni enterprise prima del necessario, perché la cancellazione brucia le prove che serviranno alla forensics.^[1] Fai inventario degli ID applicativi pubblicati da Microsoft. Rivedi i log di accesso e di audit di Entra almeno dal 15 ottobre, e mentre ci sei riprendi pure dal 1° ottobre. Audita le aggiunte di credenziali ai service principal, le concessioni di consenso e le assegnazioni di ruoli, con l’occhio puntato su chi non è Global Administrator ma detiene Global Administrator. E la lezione generale va oltre questo fornitore: ogni applicazione multi-tenant di cui il tuo tenant si fida è un nodo della catena di fornitura, e le sue autorizzazioni meritano la stessa attenzione dei tuoi amministratori, perché un attaccante che possiede il fornitore non ha bisogno della tua password, solo della benedizione del fornitore.

Il caso della difesa

C’è una versione di questa storia in cui la morale è che l’AI ha rotto la sicurezza, e è il rapporto stesso a smentirla. La maggior parte dei bersagli non è stata violata, come Microsoft dichiara senza ornamenti.^[1] Lo spraying è fallito; i lockout hanno retto. Ciò che ha funzionato non è il modello ma il modello di fiducia, la certezza tranquilla che migliaia di organizzazioni faranno sempre più affidamento sull’applicazione di un fornitore che non l’auditeranno mai. Quella vulnerabilità precede ARTEX, avrebbe funzionato per un gruppo umano paziente con credenziali del fornitore rubate, ed è infatti la stessa classe di guasto di una dozzina di incidenti supply chain precedenti. Il framework l’ha resa più rapida e più larga. Non l’ha resa possibile.

La conclusione onesta sta in mezzo agli allarmi. L’offesa agentica non ha inventato questa violazione; l’ha industrializzata, e l’industrializzazione è una previsione, non un verdetto. La stessa automazione puntata dall’altro lato sta già facendo triage degli alert e censendo le esposizioni per i difensori. Ciò che è cambiato questo mese è il tasso di cambio tra sforzo e accesso. Tre ore dalla sonda al Global Administrator è il listino aggiornato, e ogni team di sicurezza dovrebbe prezzare la propria risposta di conseguenza.

Lo scan ora gira alla velocità della macchina. La fiducia si muove ancora a velocità umana.

---

1. Microsoft Security Blog, Storm-0940 uses ARTEX agentic AI and a ConnectWise supply-chain compromise for cloud intrusions (21 ottobre 2026). Il dato delle tre ore: “including multiple instances where the time from initial targeting to privileged access was less than 3 hours”; “Agents are not constrained by factors affecting humans - they can work around the clock, on weekends, and on holidays and attempt multiple breach paths simultaneously”; “While the majority of the targeting wasn’t successful, Storm-0940 achieved privileged cloud persistence at many organizations in a brief time”; l’attore “used ARTEX to accelerate the activity to machine speed”; oltre 2.250 tenant tentati, più di 151.000 accessi falliti da 144.172.64[.]99 contro 327 account in 8 organizzazioni, picco di 2.900 fallimenti al minuto, circa il 98% di lockout; ID applicativi interessati 506e08f9-6e9a-4da4-942b-a099a03644ae (Cloud Backup), 24205314-2b89-4e07-a2a4-579e898a5640 (MS Teams), 0de14c77-b9b0-4137-9360-34878a929827 (MS Graph).
2. H.D. Moore rilasciò la prima versione pubblica di Metasploit nel 2003; la storia del progetto, che trasformò lo sviluppo degli exploit in codice da framework portatile, è documentata su metasploit.com. Il rilascio del 2003 precede l’acquisizione da parte di Rapid7 (2009) e la licenza open source di tipo BSD.
3. ConnectWise, Trust Center advisories (advisory pubblicato per la prima volta il 16 ottobre 2026, 17:47 UTC): “unauthorized access to application identities within the ConnectWise Cloud Backup environment”; Cloud Backup un tempo noto come SkyKick. Huntress ha documentato lo stesso giorno l’uso del segreto API del fornitore compromesso contro tenant Microsoft 365 di clienti, e BleepingComputer ha ricostruito la meccanica della violazione della catena di fornitura.