Gli hacker russi di UAC-0099 usano i guardrail AI come arma di evasione

Il 31 agosto 2026, ESET ha rivelato una tecnica di evasione: gli hacker di UAC-0099, gruppo russo affiliato al GRU, inseriscono commenti con richieste di armi nucleari in script VBS malevoli per attivare i filtri di sicurezza dei LLM e bloccare l'analisi del codice reale. La tecnica, denominata GuardBreaker, sfrutta l'over-alignment dei modelli di intelligenza artificiale: i safety filter addestrati a rifiutare contenuti CBRN (chemical, biological, radiological, nuclear) interrompono l'intera scansione invece di continuare a ispezionare il payload.

L'incidente, documentato in Ucraina, colpisce direttamente l'assunto che ha guidato l'adozione massiccia di scanner AI per l'analisi automatizzata di malware: che la sicurezza etica dei grandi modelli linguistici si traducesse automaticamente in sicurezza operativa. La fonte dimostra il contrario.

Come funziona GuardBreaker: il codice che non viene eseguito ferma quello che viene analizzato

Il meccanismo è architetturalmente semplice. Il VBS script contiene un commento — testo ignorato dall'interprete durante l'esecuzione — che simula una richiesta di assistenza nella creazione di un'arma nucleare. I filtri di sicurezza dei modelli linguistici, addestrati a rifiutare contenuti CBRN, rilevano le keyword e attivano il refusal. L'analisi si interrompe, e il resto dello script, quello con la logica malevola, non viene esaminato.

Il commento non ha funzione nel codice. È un elemento puramente semantico, inserito per essere letto dall'AI e non dall'interprete. Questa separazione tra flusso di esecuzione e flusso di analisi è la vulnerabilità che GuardBreaker sfrutta: i safety filter sono progettati per proteggere l'utente dal contenuto generato dal modello, non per valutare il rischio operativo di un file in ingresso.

Il payload vero è MATCHBOIL: un malware usato esclusivamente da UAC-0099. Lo script lo scarica e installa. La sua efficacia dipende dalla capacità di passare inosservato durante l'analisi automatica.

UAC-0099: il gruppo tra Sandworm e i target critici ucraini

UAC-0099 è descritto come un gruppo "Russia-aligned, previously observed conducting initial-access operations and handing validated targets to the GRU-linked Sandworm hackers". La formulazione non stabilisce un'identità assoluta con Sandworm: indica una relazione operativa, una condivisione di infrastruttura e target.

Il gruppo si concentra su settori trasporti ed energia. CERT-UA aveva già documentato la catena di infezione completa — LUNCHPOKE, BURNYBEAR, MATCHBOIL.V2 — in un advisory di luglio, confermando che la tattica è parte di un playbook strutturato.

La fonte non specifica se GuardBreaker sia stata osservata in più campioni oltre al VBS script documentato, né se la tecnica abbia avuto successo in ambiente operativo reale o solo in analisi retrospettiva.

La precedente Hades: stessa tecnica, attori diversi, stessa falla architetturale

A giugno 2026, una campagna denominata Hades aveva già usato commenti con richieste di armi biologiche e nucleari in pacchetti Python e JavaScript su repository pubblici. Secondo Tom's Hardware, che riporta analisi di Socket.dev, la tecnica triggerava meccanismi di "failsafe" su test con Anthropic Fable, mostrando "Chat paused" invece di completare la scansione. I numeri associati — circa 37 pacchetti Python stimati e 106 pacchetti JavaScript stimati — si riferiscono a Hades, non a UAC-0099.

La convergenza tecnica è significativa: due gruppi distinti, con obiettivi diversi, hanno identificato la stessa debolezza strutturale nei safety filter dei LLM. Più modelli adottano alignment basato su rifiuto categorico, più la superficie d'attacco si espande.

Cosa fare adesso

Per gli analisti di sicurezza che usano scanner AI per l'analisi automatizzata di malware, la rilevazione ESET impone tre aggiustamenti operativi specifici al caso GuardBreaker.

Primo: verificare che gli strumenti di analisi automatica non interrompano la scansione al primo refusal su contenuti CBRN. Il comportamento documentato — interruzione dell'intera analisi — è il punto di fallimento che il VBS script sfrutta. Configurare i flussi di lavoro per isolare i segmenti rifiutati e procedere con l'analisi del resto del file.

Secondo: integrare l'analisi AI con rilevamento comportamentale su script VBS che contattano endpoint esterni. MATCHBOIL è noto a ESET come malware esclusivo di UAC-0099; la sua firma e la catena LUNCHPOKE-BURNYEAR-MATCHBOIL.V2 documentata da CERT-UA devono essere inserite nei sistemi di rilevamento basati su reputazione.

Terzo: trattare i commenti con keyword CBRN in file eseguibili come indicatori di anomalia, non come contenuto da filtrare eticamente. La distinzione tra richiesta genuina a un LLM e iniezione avversaria in codice malevolo è il livello di contesto che i safety filter attuali non possono applicare autonomamente.

"This case confirms what we at ESET have been saying for years. AI and machine learning can be valuable tools in security, but they cannot be trusted blindly or treated as silver bullet for every possible threat." — Juraj Janosik, VP of Artificial Intelligence at ESET

La citazione chiave: il layered defense come unico antidoto

Juraj Janosik, VP AI di ESET, ha specificato la struttura difensiva: "If AI-assisted analysis is not backed by multilayered detection approach, expert-driven research, behavioural analysis, reputation systems, sandboxing, heuristics, telemetry, and strong human-driven engineering, attackers will look for ways to manipulate or bypass it." La fonte presenta questi componenti come condizioni necessarie, cumulativamente.

Il settore energetico e trasporti, target dichiarato di UAC-0099, è direttamente esposto perché l'over-reliance su AI summarization per l'analisi di malware riduce il tempo di risposta ma aumenta la fragilità del rilevamento.

La data della scoperta ESET coincide con la pubblicazione, 31 agosto 2026. Non è noto quando la tecnica sia stata osservata per la prima volta in campo, né quanto tempo sia rimasta attiva prima della rilevazione.

Domande e risposte

Il commento nucleare viene eseguito dal malware?

No. Il commento è testo ignorato dall'interprete VBS; la sua funzione è semantica, rivolta ai modelli di analisi AI, non esecutiva.

GuardBreaker è stato usato in altre campagne oltre a UAC-0099?

La fonte non lo specifica. La tecnica simile in Hades (giugno 2026) riguarda attori, infrastrutture e target diversi; non è documentata come estensione di GuardBreaker.

Quali scanner AI sono vulnerabili?

La fonte non identifica modello, vendor o versione specifici. Il meccanismo teorico si applica a LLM con safety filter basati su rifiuto di contenuti CBRN, ma la rilevazione ESET non quantifica la superficie effettiva.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://www.helpnetsecurity.com/2026/08/31/russian-hackers-ai-safety-filters-manipulation/
• https://www.tomshardware.com/tech-industry/cyber-security/hades-malware-campaign-now-tricks-ai-bots-by-injecting-text-about-biological-and-nuclear-weapons-failsafe-mechanisms-triggered-by-prompts-for-weapon-creation-stop-scans-before-payload-is-seen
• https://www.callmissed.com/blog/bypassing-the-guardrails-how-malware-authors-use-nuclear-and-biological-weapon-t
• https://www.helpnetsecurity.com/2025/02/13/sandworm-apts-initial-access-subgroup-hits-organizations-accross-the-globe/
• https://thehackernews.com/2026/08/apt28-linked-hookedge-backdoor-targets.html
• https://www.helpnetsecurity.com/2026/08/05/ai-agent-deception-in-cyber-tests/
• https://thehackernews.com/