Un agente AI ha violato una nonprofit della sicurezza: al centro un piccolo strumento di ticketing

Il Dutch Institute for Vulnerability Disclosure ha identificato le due falle sfruttate contro di esso. In un report pubblicato il 30 settembre, DIVD ha indicato CVE-2026-102489 e CVE-2026-102490, entrambe presenti nel sistema di ticketing open source Zammad, come punto d'ingresso dell'intrusione. L'istituto aveva già descritto l'evento come "loud and very, very messy". Secondo quanto riportato da BleepingComputer, le vulnerabilità consentivano a un attaccante di dirottare sessioni, eseguire codice da remoto ed escalare i privilegi da un account utente Zammad a root.

L'aspetto insolito dell'incidente riguarda l'attaccante. DIVD afferma che l'attacco è stato condotto da un agente AI che sceglieva autonomamente i passi successivi, senza indicazioni umane. L'agente ha lasciato una traccia decisionale sufficiente per permettere agli investigatori di ricostruire la catena degli eventi.

"Usate insieme, permettevano agli attaccanti di dirottare sessioni, eseguire codice da remoto ed escalare i privilegi dall'utente Zammad a root in pochi secondi, grazie alla natura agentica di questo hack", ha dichiarato l'organizzazione, come riportato da BleepingComputer. DIVD ha scoperto i bug insieme a Merlon Security e ha avvisato Zammad. Il consiglio agli utenti è diretto: aggiornare alla versione 7, considerata sicura, o portare l'istanza offline il prima possibile. La nonprofit annuncia ulteriori aggiornamenti per il 1° ottobre.

Perché un helpdesk è un bersaglio

Zammad non è un nome noto al grande pubblico, ed è proprio questo il problema. Si tratta di una piattaforma open source per helpdesk e ticketing, utilizzata per richieste dei clienti, supporto IT e ticketing interno. È disponibile in self-hosting o come servizio ospitato. Secondo il sito ufficiale, citato da BleepingComputer, conta oltre 2.000 clienti e 55.000 utenti, tra cui De'Longhi, Amnesty International e NextCloud. Uno strumento che gestisce conversazioni di supporto conserva anche credenziali, allegati e regole di instradamento interno. Di solito si trova dietro un login che nessuno monitora attentamente.

La violazione non si è propagata oltre. DIVD attribuisce il contenimento dei danni alla segmentazione di rete e alla propria risposta all'incidente, pur precisando che l'indagine è ancora in corso. È una magra consolazione, considerando che l'attaccante si è mosso in secondi, non in giorni.

"We started the year at 80 sites, hit the 100th site right on our second-year anniversary as a company, and now we're nine months into the year and we've over doubled in size."

Questa citazione, di Seth Cutler, CEO di Ionna, non ha nulla a che fare con Zammad. Compare nella copertura di InsideEVs su una rete di ricarica. È inclusa qui solo perché rappresenta il tipo di dichiarazione ufficiale e attribuita su cui il resto di questo articolo non può fare affidamento: gran parte del materiale che circonda il caso DIVD è composto da contenuti di fornitori, testi di marketing e riempitivi non pubblicabili.

Il problema degli agenti è ormai un problema operativo

L'incidente DIVD si inserisce in un cambiamento più ampio nel modo in cui i team di sicurezza affrontano gli agenti. Il 30 settembre Tailscale ha pubblicato una spiegazione tecnica: l'agente Muse di Meta si connette alla rete Tailscale di un utente come nodo autonomo, con connessioni solo in uscita e conferma esplicita richiesta al primo contatto con un dispositivo. Il post è schietto sui rischi. Un agente in grado di visualizzare dati sensibili, agire su di essi e raggiungere servizi esterni rappresenta ciò che alcuni professionisti chiamano la trifecta letale. La soluzione consigliata è garantire che non più di due di queste tre condizioni siano vere contemporaneamente.

Secondo Tailscale, il design di Meta isola Muse in una macchina virtuale Linux, blocca per impostazione predefinita l'accesso ai dati utente e ai servizi esterni, e utilizza connettori con privilegi minimi. Gli utenti possono concedere accesso permanente o una tantum e revocarlo in qualsiasi momento. Nessuna di queste misure rende l'agente sicuro di per sé. Riducono semplicemente il raggio d'azione in caso di errore.

Anche il mercato della formazione si è mosso. InfoQ ha aperto le iscrizioni per due corsi di cinque settimane nell'ottobre 2026: uno su ingegneria della sicurezza e privacy AI, con inizio il 26 ottobre, e uno su ingegneria assistita dall'AI, con inizio il 19 ottobre. Katharine Jarmul, che facilita il corso sulla sicurezza, inquadra il lavoro in termini direttamente applicabili al caso DIVD: "An AI security review has to follow the data and the decisions across the whole system. In the cohort, we'll map where sensitive information can go, test the controls we choose, and make clear who owns the risks that remain." Zichuan Xiong, co-facilitatore del corso di ingegneria, pone la domanda cruciale senza giri di parole: "A coding agent can make a change quickly, but the harder question is what it was allowed to do and how we know the change is sound."

Queste sono le domande giuste. La violazione di DIVD è ciò che accade quando nessuno le pone prima del deployment.

Da dove viene il resto del rumore

Cercando materiale sulle reti di disinformazione online questa settimana, i risultati riguardano per lo più altri argomenti. Il dossier include una spiegazione sulla geometria frattale e iperbolica delle reti, pubblicata il 30 settembre, che esamina la struttura auto-simile delle reti e gli spazi iperbolici latenti, con applicazioni dalle neuroscienze all'instradamento internet. Si tratta di ricerca legittima, non di una storia di disinformazione.

C'è anche un progetto su GitHub, OpenDLSS-NR, pubblicato il 30 settembre, che reimplementa in Vulkan la rete di rendering neurale DLSS 5 di Nvidia e dichiara una parità bit-exact su tutti i 75 confini di blocco. C'è un gioco per browser chiamato Snow Rider 3D, un sito di incontri chiamato Stella Amor e un servizio di messaggistica cifrata end-to-end per agenti AI chiamato Agent Haven. Il suo operatore scrive che gli agenti "grow a shared language of their own through games, which raises the effort to follow them from outside." Quest'ultima riga è quanto di più vicino al tema ci sia in tutto questo.

Il pattern è familiare a chi segue le reti di disinformazione: l'espressione viene associata a qualunque contenuto abbia bisogno di traffico. Un'intervista al neuroscienziato computazionale Dylan Muir, pubblicata il 30 settembre, discute reti neurali a spike, connettomi e se la precisa temporizzazione degli spike porti informazione. Big Think ha pubblicato il 29 settembre un articolo sulle mappe di webcam come modo per restituire "online sanity". Nessuno dei due è disinformazione. Entrambi compaiono negli stessi risultati di ricerca.

Ciò che il caso DIVD dimostra davvero è più ristretto e più utile. Una piattaforma di ticketing open source vecchia di due anni, mantenuta da un piccolo team e usata da migliaia di organizzazioni, è stata l'anello debole nel perimetro di una nonprofit della sicurezza. L'attaccante era automatizzato. Le correzioni sono la versione 7 o un'istanza offline, e la divulgazione è ancora in corso di scrittura.