Il Threat Hunting Report 2026, pubblicato da CrowdStrike, evidenzia come l’intelligenza artificiale sia ormai parte integrante delle moderne operazioni degli avversari, assumendo un ruolo al tempo stesso di strumento operativo, bersaglio e moltiplicatore di forza.
Secondo il rapporto, gli avversari stanno sfruttando le infrastrutture di IA, compromettendo le catene di fornitura del software, abusando dei modelli LLM aziendali e seguendo i carichi di lavoro basati sull’IA negli ambienti cloud. Una trasformazione che sta rendendo gli attacchi sempre più rapidi, scalabili e difficili da contrastare.
Il report, basato sulle attività monitorate dagli esperti di threat hunting e dagli analisti di intelligence di CrowdStrike, che seguono oltre 290 avversari identificati, mette in evidenza alcune delle principali tendenze osservate nella prima metà del 2026.
- L’IA è uno strumento, un bersaglio e un moltiplicatore di forza: gli attori delle minacce hanno utilizzato l’IA per generare payload e comandi shell, sfruttare infrastrutture di IA e abusare dei modelli LLM aziendali. In una campagna sono state inviate quasi 200.000 richieste a modelli di IA in soli due minuti. CrowdStrike OverWatch ha inoltre rilevato che i lead di rilevamento generati da agenti IA sono cresciuti a un ritmo 2,5 volte superiore rispetto a quelli attivati da esseri umani.
- L’ecosistema dell’IA diventa un nuovo campo di battaglia per la supply chain: il gruppo nordcoreano STARDUST CHOLLIMA ha inserito un pacchetto npm dannoso in 131 framework di IA Mastra considerati affidabili. Nel primo semestre del 2026, l’87% delle minacce individuate nei registri software riguardava pacchetti npm dannosi. ALTERED SPIDER ha invece compromesso oltre 300 dipendenze software in un solo giorno per sottrarre credenziali e raggiungere ambienti cloud.
- Le finestre di sfruttamento delle vulnerabilità si riducono: l’88% degli exploit osservati da CrowdStrike associati a una PoC nella prima metà del 2026 si è verificato entro 48 ore dalla pubblicazione. Gli attori legati alla Cina VAULT PANDA e GENESIS PANDA hanno accelerato ulteriormente i tempi, avviando attacchi entro 24 ore dalla divulgazione.
- Il cybercrime segue l’IA nel cloud: l’attività criminale informatica legata agli ambienti cloud è aumentata del 171%, con campagne finalizzate al furto di credenziali, al cryptomining, all’abuso di LLM e alla sottrazione di asset finanziari digitali.
- L’autenticazione affidabile diventa una nuova via d’attacco: le intrusioni basate sul vishing sono raddoppiate nel primo semestre del 2026. I gruppi CORDIAL SPIDER e SNARKY SPIDER hanno compromesso applicazioni SaaS integrate con il single sign-on (SSO) per sottrarre dati. In un caso, SNARKY SPIDER è passato dal furto dell’account all’esfiltrazione dei dati in meno di cinque minuti. Nello stesso periodo, i tentativi mensili di phishing dei codici dispositivo sono aumentati di 15 volte.
Il quadro delineato dal report conferma quindi una progressiva accelerazione delle operazioni cyber, in cui IA, cloud, supply chain e sistemi di autenticazione rappresentano contemporaneamente nuove opportunità operative e nuove superfici da difendere per le organizzazioni.
Scarica il CrowdStrike 2026 Threat Hunting Report.
https://www.crowdstrike.com/en-us/press-releases/crowdstrike-2026-threat-hunting-report/
