Quando l'exploit lo scrive l'AI
Cosa serve oggi per mettere le mani sull'impianto di un acquedotto? Meno di quanto pensi. Il 19 agosto cinque agenzie statunitensi — NSA, CISA, FBI, Dipartimento dell'Energia ed EPA — hanno pubblicato un'allerta congiunta (sigla AA26-231A) su una campagna attiva contro i PLC Siemens della serie S7. I PLC sono i piccoli computer che comandano pompe, valvole e nastri trasportatori: il cuore di qualsiasi processo industriale.
La parte nuova è il metodo. Gli attaccanti prendono librerie pubbliche e legittime per dialogare con i PLC (snap7, nelle versioni per Windows e Python) e le combinano con codice generato dall'AI. Il risultato sono strumenti su misura che assomigliano a normale software di monitoraggio. Per trovare i bersagli usano motori di scansione come Censys e ZoomEye, che catalogano i dispositivi raggiungibili da Internet. Cercano PLC con firmware vecchio o senza protezioni attive.
L'AI qui non buca niente da sola. Fa una cosa più prosaica e più fastidiosa: abbassa la barriera d'ingresso. Scrivere un tool che parla il protocollo S7 richiedeva tempo e competenze specifiche. Ora un modello linguistico ne produce una bozza funzionante in pochi minuti, e la adatta al volo quando qualcosa non torna. Meno ore di lavoro per chi attacca, più tentativi in circolazione.
Cosa è già successo, e cosa fare
Gli effetti concreti li ha raccontati l'FBI. Da fine luglio impianti idrici e di depurazione hanno segnalato incidenti in almeno una dozzina di Stati americani; in Minnesota una serie di attacchi coordinati ha toccato oltre trenta strutture. In diversi casi gli operatori si sono ritrovati chiusi fuori dai propri sistemi perché qualcuno aveva cambiato le password di amministrazione. Altrove si sono registrati cali di pressione in rete e allagamenti in alcune stazioni. Vari gestori sono tornati a far girare gli impianti a mano.
La raccomandazione di CISA è secca: staccare i sistemi di controllo industriale da Internet, il prima possibile. Dove non si può, metterli dietro una VPN con autenticazione a più fattori, cambiare le password di default, aggiornare il firmware e attivare le funzioni di protezione che i PLC recenti offrono ma che spesso restano spente. Non è un problema solo americano: la stessa esposizione riguarda parecchi impianti europei, Italia compresa.
💬 Il mio commento
Quando esce un'allerta come questa, la parte che mi colpisce non è l'AI che scrive l'exploit: è che dei PLC industriali siano ancora raggiungibili direttamente da Internet. Nei controlli che faccio sugli impianti dei clienti mi capita più spesso di quanto vorrei di trovare un pannello di controllo esposto "per comodità del manutentore", a volte con la password di fabbrica mai cambiata. L'AI in mano a chi attacca non apre quella porta: la trova e la sfrutta più in fretta e con meno fatica di prima.
La lista di CISA — staccare i sistemi di controllo dalla rete pubblica, e dove non si può metterli dietro una VPN con multifattore, cambiare le credenziali di default, aggiornare il firmware, accendere le protezioni che i PLC recenti hanno già dentro — non è nuova e non è complicata. Quello che vedo sul campo è che il nodo quasi sempre non è tecnico ma organizzativo: manca qualcuno che abbia il mandato di dire "questo impianto non lo colleghiamo in questo modo". Su questo un check mirato, anche breve, di solito basta a farsi un'idea onesta di quanto si è esposti.