L’IA trasforma il cybercrimine in una blitzkrieg: i cinque attacchi che coglieranno di sorpresa i difensori nel 2026

L’era dei cyberattacchi guidati dall’intelligenza artificiale non è più soltanto una previsione - è realtà. Alla RSAC 2026 Conference, la sessione annuale del SANS Institute “Top 5 Most Dangerous Attack Techniques” ha lanciato un allarme inequivocabile: ogni singola minaccia della loro lista è ormai potenziata dall’IA. Con gli exploit zero-day che passano da rari a ordinari e gli attaccanti che si muovono alla velocità delle macchine, il tradizionale manuale di difesa è sull’orlo dell’obsolescenza. Per i difensori, la domanda non è se verranno presi di mira, ma se riusciranno a sopravvivere all’assalto.

IA: il nuovo moltiplicatore del cybercrimine

“Vi mentiremmo se indicassimo una tendenza negli attacchi che non coinvolga l’IA”, ha dichiarato Ed Skoudis, presidente di SANS, dando il tono alle rivelazioni di quest’anno. Il primo - e forse più inquietante - sviluppo è il crollo della barriera della scarsità degli zero-day. In precedenza, solo gli Stati-nazione potevano permettersi le risorse per scovare vulnerabilità sconosciute. Ora l’IA può scandagliare, testare e scoprire autonomamente questi difetti a una frazione del costo, democratizzando strumenti un tempo riservati ad attori d’élite delle minacce. Il risultato? Un’ondata di nuovi exploit, trovati e trasformati in armi prima ancora che i difensori sappiano che esistono.

La supply chain, già un anello debole, è ora un vettore d’attacco ad alta velocità. Un’IA malevola può inserire rapidamente backdoor in pacchetti open source o compromettere i canali di aggiornamento dei fornitori, come visto nella violazione dell’infrastruttura di Notepad++. La superficie d’attacco si estende ben oltre i tuoi sistemi - la tua sicurezza è forte solo quanto il fornitore del tuo fornitore del tuo fornitore.

Negli ambienti di operational technology (OT), la posta in gioco è ancora più alta. Monitoraggio lassista e prove che svaniscono fanno sì che gli attacchi alle infrastrutture critiche possano passare inosservati - o peggio, risultare non tracciabili, anche dopo guasti catastrofici. L’incidente energetico polacco del dicembre 2025 ha messo in luce questo terrificante punto cieco: gli investigatori hanno riscontrato un’interruzione, ma nessuna traccia forense.

La corsa a implementare l’IA nella digital forensics and incident response (DFIR) è un’arma a doppio taglio. Senza una validazione rigorosa e la supervisione di esperti, le organizzazioni rischiano di commettere errori ad alta confidenza alla velocità delle macchine. L’IA non può ancora sostituire il giudizio umano, soprattutto nei momenti di crisi in cui contesto e sfumature sono tutto.

Nel frattempo, gli attaccanti stanno girando attorno ai difensori. Le campagne potenziate dall’IA ora automatizzano fino al 90% del processo di hacking, dalla ricognizione al movimento laterale. Il Protocol SIFT open source di SANS mira a ribaltare i rapporti di forza, aiutando i difensori a comprimere i tempi d’indagine da settimane a minuti - ma sempre con un essere umano nel loop.

Correre contro la macchina

Il messaggio di SANS è netto: l’IA non sta solo accelerando il cybercrimine, sta rimodellando l’intero panorama delle minacce. Le organizzazioni devono ripensare tutto, dai cicli di patching alla gestione del rischio della supply chain, e investire sia nella visibilità sia in una difesa intelligente assistita dall’IA. Ma l’ultima parola è chiara - le macchine possono muoversi in fretta, ma la competenza umana resta insostituibile. Nelle trincee cyber del 2026, la sopravvivenza dipende da quanto rapidamente i difensori sapranno collaborare, adattarsi e pensare più velocemente dei loro avversari potenziati dall’IA.

WIKICROOK

• Zero: Una vulnerabilità zero-day è un difetto di sicurezza nascosto, sconosciuto al produttore del software, per il quale non esiste alcuna correzione disponibile, rendendolo altamente prezioso e pericoloso per gli attaccanti.
• Supply Chain Attack: Un attacco alla supply chain è un cyberattacco che compromette fornitori fidati di software o hardware, diffondendo malware o vulnerabilità a molte organizzazioni contemporaneamente.
• Operational Technology (OT): L’Operational Technology (OT) comprende sistemi informatici che controllano apparecchiature e processi industriali, spesso rendendoli più vulnerabili dei tradizionali sistemi IT.
• Digital Forensics & Incident Response (DFIR): La DFIR indaga e analizza gli incidenti informatici, raccogliendo prove digitali per identificare le minacce, supportare il ripristino e migliorare le difese di cybersecurity.
• Lateral Movement: Il movimento laterale avviene quando gli attaccanti, dopo aver violato una rete, si spostano “di lato” per accedere ad altri sistemi o dati sensibili, ampliando il loro controllo e la loro portata.