L'hacking potenziato dall'IA è esploso in una minaccia su scala industriale, afferma Google

In soli tre mesi, l'hacking potenziato dall'IA è passato da un problema nascente a una minaccia su scala industriale, secondo un rapporto di Google.

I risultati del gruppo di intelligence sulle minacce di Google si aggiungono a una discussione globale sempre più intensa su come i più recenti modelli di IA siano estremamente abili nella codifica e stiano diventando strumenti estremamente potenti per sfruttare le vulnerabilità in un'ampia gamma di sistemi software.

Si scopre che gruppi criminali, così come attori legati a stati dalla Cina, Corea del Nord e Russia, sembrano utilizzare ampiamente modelli commerciali - inclusi Gemini, Claude e strumenti di OpenAI - per affinare e aumentare gli attacchi.

"C'è un'idea sbagliata che la corsa alle vulnerabilità dell'IA sia imminente. La realtà è che è già iniziata", ha affermato John Hultquist, analista capo del gruppo.

"Gli attori delle minacce utilizzano l'IA per aumentare la velocità, la scala e la sofisticazione dei loro attacchi. Permette loro di testare le loro operazioni, persistere contro i bersagli, costruire malware migliori e apportare molti altri miglioramenti."

Il mese scorso, la società di IA Anthropic ha rifiutato di rilasciare uno dei suoi modelli più recenti, Mythos, dopo aver affermato che aveva capacità estremamente potenti e rappresentava una minaccia per governi, istituzioni finanziarie e il mondo in generale se fosse caduto nelle mani sbagliate.

Nello specifico, Anthropic ha affermato che Mythos aveva trovato vulnerabilità zero-day in "ogni sistema operativo principale e ogni browser web principale" - il termine per un difetto in un prodotto precedentemente sconosciuto ai suoi sviluppatori.

La società ha affermato che queste scoperte hanno reso necessaria "un'azione difensiva coordinata sostanziale in tutto il settore".

Il rapporto di Google ha tuttavia rilevato che un gruppo criminale era recentemente sull'orlo dello sfruttamento di una vulnerabilità zero-day per condurre una campagna di "sfruttamento di massa" - e che questo gruppo sembrava utilizzare un modello linguistico di grandi dimensioni (LLM) di IA che non era Mythos.

Il rapporto ha anche rilevato che i gruppi stavano "sperimentando" con OpenClaw, uno strumento di IA diventato virale a febbraio per aver offerto ai suoi utenti la possibilità di cedere ampie porzioni delle loro vite a un agente di IA senza guardrail e con una sfortunata tendenza a eliminare in massa le caselle di posta elettronica.

Steven Murdoch, professore di ingegneria della sicurezza all'University College London, ha affermato che lo strumento di IA potrebbe aiutare il lato difensivo nella cybersecurity, così come gli hacker.

"Ecco perché non sono nel panico. In generale, abbiamo raggiunto una fase in cui il vecchio modo di scoprire bug è finito, e ora tutto sarà assistito da LLM. Ci vorrà un po' di tempo prima che le conseguenze di ciò vengano smaltite", ha detto.

Tuttavia, se l'IA sta aiutando gli hacker ambiziosi a raggiungere i loro obiettivi di produttività, rimangono dubbi sul fatto che stia sostenendo l'economia in generale.

L'Ada Lovelace Institute (ALI), un ente di ricerca indipendente sull'IA, ha messo in guardia contro le supposizioni di un aumento della produttività del settore pubblico da miliardi di sterline grazie all'IA. Il governo del Regno Unito ha stimato un guadagno di 45 miliardi di sterline in risparmi e benefici di produttività dall'investimento del settore pubblico in strumenti digitali e IA.

In un rapporto pubblicato lunedì, l'ALI ha affermato che la maggior parte degli studi sugli aumenti di produttività correlati all'IA si riferiva a risparmi di tempo o riduzioni di costi, ma non esaminava risultati come servizi migliori o un migliore benessere dei lavoratori.

Altri aspetti problematici di tali ricerche includono: se le proiezioni di efficienza correlata all'IA in un ambiente di lavoro abbiano davvero successo nel mondo reale; cifre di apertura che nascondono risultati variabili per l'uso dell'IA in diversi compiti; e la mancata considerazione dell'impatto sull'occupazione nel settore pubblico e sulla fornitura di servizi.

"Le stime di produttività che plasmano importanti decisioni governative sull'IA si basano a volte su presupposti non testati e si basano su metodologie i cui limiti non sono sempre apprezzati da coloro che utilizzano le cifre nel mondo reale", ha affermato il rapporto ALI.

"Il risultato è un divario tra la sicurezza con cui vengono presentate le affermazioni di produttività e la solidità delle prove a loro sostegno."

Le raccomandazioni del rapporto includono: incoraggiare studi futuri a riflettere l'incertezza sull'impatto della tecnologia; garantire che i dipartimenti governativi misurino l'impatto dei programmi di IA "fin dall'inizio"; e sostenere studi a lungo termine che misurino i guadagni di produttività nel corso di anni anziché settimane.