Un gruppo di ricercatori dell’Università di Toronto ha costruito e testato in ambiente controllato un worm basato su modelli AI open-weight in grado di propagarsi autonomamente attraverso una rete, senza alcun intervento umano. Il prototipo non si limita a sfruttare un singolo punto debole: adatta la propria strategia di attacco in base al sistema che incontra, che si tratti di macchine Linux, Windows o dispositivi IoT. Il risultato è una forma di malware concettualmente diversa da tutto ciò che i team di sicurezza hanno affrontato finora.

Come funziona un worm AI e perché è diverso dai malware tradizionali

Un worm convenzionale è scritto da programmatori esperti per colpire una vulnerabilità specifica e può essere neutralizzato con una patch mirata. Il prototipo dell’Università di Toronto rompe questa logica in più punti. Durante la propagazione, raccoglie dati dalla rete che attraversa: password, configurazioni di sistema, nuove vulnerabilità. Se una macchina viene patchata e il vettore originale chiuso, il worm è in grado di identificare un percorso alternativo e attaccare di nuovo lo stesso obiettivo.

Il meccanismo più insolito riguarda le risorse computazionali. Il worm si alimenta sottraendo potenza di elaborazione alle macchine compromesse, usando quella capacità per ragionare sulle strategie di attacco successive. Nicolas Papernot, primo autore dello studio, ha sintetizzato così l’implicazione pratica: “Gli hacker hanno sempre dovuto scegliere i bersagli più redditizi perché tempo e risorse erano limitati. Ora, una volta lanciato il worm, il costo scenderebbe quasi a zero.”

Questo cambia la natura stessa dell’economia del crimine informatico: non servono più team di attaccanti coordinati per sostenere un’operazione su larga scala. Il worm diventa, in un certo senso, autosufficiente.

Il collegamento con Mythos di Anthropic e il rischio reale

Il lavoro di Toronto arriva in un momento in cui l’AI applicata alla sicurezza offensiva sta guadagnando concretezza anche fuori dai laboratori universitari. Anthropic sta sviluppando attivamente Mythos, un modello progettato per identificare vulnerabilità di sicurezza precedentemente sconosciute. Stando a quanto dichiarato dall’azienda, Mythos ha già catalogato oltre 10.000 falle, aumentando di un fattore dieci la velocità con cui i partner individuano i bug. Cloudflare, tra questi, ha rilevato 2.000 vulnerabilità, di cui 400 classificate come critiche o ad alta gravità.

Il prototipo del team canadese si ferma un passo prima: può sfruttare vulnerabilità già note, ma non è in grado di scoprirne di nuove come fa Mythos. Il salto concettuale tra le due cose, però, non è impossibile da immaginare. Un sistema ibrido che combina la capacità di scoperta di un modello come Mythos con un motore di propagazione autonomo come quello descritto nello studio rappresenterebbe una minaccia di ordine superiore rispetto a qualsiasi cosa vista fino ad oggi. Peraltro, il tema si inserisce in un contesto già denso di questioni aperte sull’uso militare e offensivo dell’AI, che riguarda anche il dibattito tra Anthropic e il Pentagono sulle armi autonome.

Perché i ricercatori hanno scelto di pubblicare i risultati

La decisione di rendere pubblico il lavoro non è scontata in questo tipo di ricerca. Papernot ha spiegato la scelta con una logica precisa: portare la minaccia all’attenzione di ricercatori, aziende e legislatori prima che attori malevoli sviluppino versioni operative è l’unico modo per accelerare le contromisure. Il prototipo è stato sviluppato in un ambiente chiuso, con precauzioni estese, e i modelli AI utilizzati sono pubblicamente accessibili.

Le implicazioni pratiche dello studio toccano più livelli:

• I sistemi di rilevamento delle intrusioni dovranno evolversi per riconoscere comportamenti adattativi, non solo firme statiche
• La gestione delle patch non sarà sufficiente se un worm intelligente può individuare vettori alternativi in tempo reale
• La disponibilità di modelli AI open-weight abbassa significativamente la barriera d’ingresso per chi volesse replicare o potenziare il prototipo
• La segmentazione delle reti e la limitazione delle risorse computazionali accessibili diventano priorità difensive concrete

La ricerca rappresenta un punto di pressione utile per chi deve decidere come regolamentare i modelli AI ad accesso aperto. Finora il dibattito si è concentrato sulla disinformazione e sui contenuti generati. La dimensione della sicurezza delle reti aggiunge una variabile che difficilmente potrà essere ignorata a lungo nei tavoli politici, sia in Europa che negli Stati Uniti.