Attacchi a infrastrutture AI: 90 giorni di honeypot svelano una tradecraft

Wiz Threat Research ha documentato 90 giorni di attacchi sostenuti contro infrastrutture AI self-hosted, con tecniche di post-exploitation sviluppate ad hoc per l'ecosistema: estrazione di chiavi API da memoria processo Python, blind prompt injection con callback DNS out-of-band, e camouflage di miner in directory .claude/ legittime. La ricerca, pubblicata il 27 agosto 2026, conferma che gli attaccanti hanno già reverse-engineerato gli internals di framework come LiteLLM, LangChain e Flowise, trasformando l'AI infrastructure da attack surface emergente a campo operativo mainstream.

Il dato di contesto è inequivocabile: il 90% degli ambienti cloud esegue software AI self-hosted, l'81% servizi AI managed e il 63% modelli self-hosted, secondo l'analisi Wiz sullo stato dell'AI nel cloud 2026. L'MCP (Model Context Protocol), presente nell'80% degli ambienti cloud, funge da collante tra agenti AI e tool esterni — e circa un sesto degli deployment MCP espone almeno un server a Internet, con circa il 70% che restituisce il catalogo tool completo a chiamanti anonimi.

Come funziona l'attacco alla supply chain di credenziali AI

Il nucleo tecnico risiede nel Model Context Protocol, progettato per connettere agenti AI a tool esterni. LiteLLM, proxy di routing per modelli multi-provider, concentra in un singolo punto di fallimento chiavi API per OpenAI, Anthropic, Azure, Gemini, oltre a permessi IAM cloud e connessioni a servizi interni tramite MCP tool servers. Wiz Research lo documenta con chiarezza: "A single compromise can give an attacker access to the credentials and services downstream of the proxy, not just the proxy itself".

La vulnerabilità CVE-2026-59822, con CVSS 9.1 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N), introduce un bypass di autenticazione nel MCP Gateway: quando la validazione token fallisce, il server restituisce un oggetto UserAPIKeyAuth() vuoto senza restrizioni. "Any Bearer token (even just a single character, e.g., x) grants full MCP access", come riporta la documentazione Wiz. L'advisory GHSA-7488-6r32-c95q su GitHub conferma la criticità con punteggio dettagliato.

CVE-2026-42271, più grave nella pratica, colpisce gli endpoint di test MCP server: POST /mcp-rest/test/connection e POST /mcp-rest/test/tools/list. Il campo command accetta iniezione di comandi eseguiti come subprocess con privilegi proxy. NVD registra il punteggio CVSS 4.0 con vettore completo; la data di aggiunta a CISA KEV, 2026-06-08, con due date al 2026-06-22, certifica l'exploitation attiva nel campo.

La catena non autenticata e il collegamento Qilin

La concatenazione CVE-2026-42271 + CVE-2026-48710 (quest'ultima con CVSS 6.5 MEDIUM, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N) elimina il requisito di autenticazione iniziale. Il bypass della validazione header Starlette consente di raggiungere l'endpoint di command injection senza credenziali. External researchers, non ulteriormente specificati da Wiz, hanno collegato il gruppo Qilin ransomware a exploitation attiva di questa catena.

Il dossier non identifica dettagli infrastrutturali di Qilin o sovrapposizioni tecniche con altre campagne attribuite allo stesso gruppo. Il collegamento rimane qualificato come "external researchers have linked" senza ulteriore corroborazione indipendente nel brief.

Blind prompt injection e camouflage ambientale

Contro framework di agenti AI — LangChain, Flowise, OpenWebUI, Node-RED — gli attaccanti hanno impiegato blind prompt injection: prompt strutturati per esecuzione comandi OS con callback DNS a dominio controllato. Il meccanismo out-of-band conferma l'esecuzione: l'indirizzo IP della vittima è codificato nel sottodominio, una stringa random funge da identificatore di sessione. Payload successivi, scaricati da Pastebin in base64 per bypass filtri, hanno deployato XMRig in percorsi mimeticici come /usr/src/node-red/xmrig.

La post-exploitation documenta conoscenza specifica dell'ecosistema. Un attaccante ha posizionato il miner in /app/data/.claude/ con nome unicorn. Su un server con tooling AI, una directory .claude/ si fonde nell'ambiente: "a .claude/ directory easily blends into the environment", come osserva Wiz. La tecnica sfrutta la legittimità percepita delle directory di configurazione di Claude Code.

"Attackers queried the running process's Python module state directly to extract the master key from memory, since it doesn't exist in a file on the disk"

Questo estratto dal report Wiz (FONTE 1) illustra la precisione della tradecraft: la master key LiteLLM, non presente su disco, è stata recuperata interrogando lo stato in-memory del modulo Python. Hanno inoltre enumerato percorsi config specifici del framework e fingerprintato i modelli backend, operazioni che richiedono familiarità con l'architettura interna di LiteLLM.

Cosa fare adesso

Verificare la visibilità MCP. Wiz Threat Research segnala che circa un sesto degli ambienti MCP espone almeno un server a Internet e circa il 70% restituisce il catalogo tool completo a chiamanti anonimi. La prima azione è mappare l'esposizione effettiva dei server MCP nell'infrastruttura.

Patchare LiteLLM alla versione 1.83.7 o successiva. CVE-2026-42271 affetta le versioni dalla 1.74.2 alla precedente alla 1.83.7; la patch è disponibile. CVE-2026-59822 richiede aggiornamento separato del MCP Gateway. Entrambe sono exploitation attiva confermata.

Isolare il proxy LiteLLM. Il proxy concentra chiavi multi-provider, IAM cloud e accesso a servizi interni via MCP. La segmentazione network e la limitazione della visibilità dei tool server riducono la superficie di un eventuale compromissione.

Monitorare directory anomale in percorsi AI-specifici. La tecnica di camouflage in .claude/, /app/data/ e percorsi simili richiede attenzione a strutture directory che sembrano legittime nel contesto tooling AI. La mimetizzazione ambientale è segnale di intrusione avanzata.

Perché questo cambia la postura di difesa

La novità non è la presenza di vulnerabilità in software AI — le CVE esistono in ogni ecosistema — ma l'emergere di una tradecraft nativa. Gli attaccanti non applicano generiche tecniche post-exploitation; hanno sviluppato tooling che conosce i moduli Python interni di LiteLLM, le strutture directory di Claude Code, i meccanismi di callback dei framework di agenti. Hanno costruito intelligence sull'AI infrastructure parallela a quella dei difensori, con un vantaggio operativo: la maggior parte dei team di sicurezza non ha ancora mappato questi asset come critical.

Il rischio è strutturale. L'adozione self-hosted — 90% del cloud, secondo Wiz — distribuisce credenziali concentrate e agenti raggiungibili da input esterni in configurazioni spesso non riviste dal prisma della sicurezza. La blind prompt injection dimostra che l'input surface dei sistemi AI non è solo un problema di alignment o jailbreak, ma un vettore di esecuzione codice con conferma out-of-band. La post-exploitation in-memory, infine, bypassa le difese basate su file system, richiedendo visibilità a livello di processo che molti endpoint non hanno.

La domanda che resta aperta è quanto tempo passerà prima che queste tecniche, osservate in honeypot, vengano replicate in ambienti di produzione con dati aziendali reali. Il 2026-06-08, data di aggiunta a CISA KEV, suggerisce che la finestra è già aperta.

FAQ

Cos'è il Model Context Protocol e perché è critico? MCP è un protocollo aperto per connettere agenti AI a tool esterni: database, API, file system. È presente nell'80% degli ambienti cloud. Il server MCP espone funzionalità eseguibili; se accessibile senza autenticazione, diventa un remote procedure call non autorizzato con privilegi dell'agente.

Perché la master key in memoria è più pericolosa che su disco? Su disco può essere protetta da permessi, encryption at-rest, secret manager. In memoria, accessibile interrogando lo stato del modulo Python, è disponibile a processi con privilegi dello stesso utente o del container. Richiede controlli di runtime, non solo statici.

Il collegamento a Qilin è confermato? Wiz cita "external researchers" per il collegamento Qilin-CVE-2026-42271/CVE-2026-48710. Il dossier non fornisce dettagli infrastrutturali o attribution specifica oltre questa menzione. Il gruppo è noto per ransomware; la conferma indipendente non è nel brief.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.wiz.io/blog/ai-infrastructure-honeypot
• https://nvd.nist.gov/vuln/detail/CVE-2026-42271
• https://github.com/BerriAI/litellm/security/advisories/GHSA-7488-6r32-c95q
• https://www.wiz.io/reports/state-of-ai-in-the-cloud-2026
• https://www.wiz.io/blog/the-risk-hiding-behind-exposed-mcp-servers
• https://www.wiz.io/blog/keyv-and-cacheable-npm-supply-chain-attack