Sophos: gli agenti AI per la programmazione fanno scattare le difese degli endpoint pensate per gli intrusi

Sophos ha riferito che diversi assistenti AI per la programmazione molto diffusi generano attività sugli endpoint così simili a quelle degli aggressori da attivare i controlli di sicurezza progettati per rilevare le intrusioni.

Dopo aver analizzato una settimana di dati telemetrici raccolti dal proprio motore comportamentale per Windows nel giugno 2026, l’azienda ha dichiarato che strumenti come Claude Code, Cursor e OpenAI Codex sono stati ripetutamente coinvolti in azioni comunemente associate al furto di credenziali, alla persistenza e all’abuso di strumenti nativi del sistema. Sophos ha sottolineato che gli agenti non erano malevoli, ma che i loro normali flussi di lavoro possono sovrapporsi a tecniche che i difensori considerano tipicamente sospette.

Cosa hanno mostrato i rilevamenti

La quota maggiore delle attività bloccate riguardava l’accesso alle credenziali, seguita da comportamenti correlati all’esecuzione. In un esempio, un agente di programmazione ha utilizzato PowerShell e l’API Windows Data Protection per accedere alle credenziali memorizzate nel browser, uno schema che gli strumenti di sicurezza spesso segnalano come un tentativo di sottrarre segreti. Sophos ha affermato che si trattava apparentemente di una procedura di automazione del browser, non di un attacco.

Altri casi assomigliavano maggiormente alle tecniche operative tipiche degli avversari. È stato osservato che Claude Code chiudeva un browser, interrogava Windows Credential Manager con cmdkey /list e operava in una modalità che aggira alcuni controlli sulle autorizzazioni. OpenAI Codex, invece, ha tentato di scaricare Python utilizzando utilità legittime di Windows dopo che un metodo iniziale era stato bloccato, per poi passare a un altro strumento integrato. Anche Cursor ha attivato una regola sulla persistenza dopo aver scritto uno script nella cartella di avvio automatico.

Perché i difensori prestano attenzione

Sophos ha osservato che questi avvisi sono importanti perché gli aggressori si affidano sempre più spesso a strumenti di sistema attendibili e a credenziali valide, invece che a malware evidenti. In questo contesto, le stesse azioni possono essere compiute da un operatore malevolo, da un agente compromesso o da un assistente AI legittimo che esegue una richiesta dello sviluppatore.

• L’accesso agli archivi delle credenziali dovrebbe rimanere strettamente controllato, anche per gli strumenti AI attendibili.
• Il rumore generato da esecuzioni legittime può spesso essere ridotto limitando l’ambito delle regole ai processi degli agenti o ai percorsi di lavoro noti.
• Gli amministratori dovrebbero disabilitare, ove possibile, le modalità rischiose, come l’opzione di Claude Code che aggira i controlli sulle autorizzazioni.

L’azienda ha descritto i risultati come un primo segnale, non come una valutazione generale del settore, ma ha affermato che sollevano un’importante questione politica: quanto accesso dovrebbero avere gli agenti di programmazione su un endpoint prima di iniziare ad assomigliare alle minacce che i prodotti di sicurezza sono stati progettati per fermare?