L’AI non sta creando “super hacker”. Cosa sta succedendo davvero nel dark web

Uno studio del Cambridge Cybercrime Centre ha analizzato oltre 97.000 discussioni nei forum underground per capire come i cybercriminali usano l’AI generativa. La ricerca mostra che strumenti come ChatGPT, Claude e WormGPT non stanno rivoluzionando il cybercrime, ma vengono impiegati soprattutto per spam SEO, truffe online e automazione di attività già esistenti. Gli hacker esperti sfruttano l’intelligenza artificiale come supporto tecnico, mentre i principianti continuano a preferire script pronti all’uso.

I timori legati all’AI applicata al cybercrimine spesso dipingono un quadro fantastico dove le applicazioni sono in grado di violare le infrastrutture e orchestrare attacchi in modo completamente autonomo.

Uno studio di Jack Hughes, Ben Collier e Daniel R. Thomas rivela una realtà diversa. L’IA generativa non ha ancora sconvolto l’economia sommersa, ma è diventata piuttosto un ulteriore strumento a disposizione di chi è già esperto nello sfruttare schemi preesistenti.

Gli autori di un preprint, il quale è stato pubblicato su arXiv il 31 marzo 2026, hanno esaminato come l’intelligenza artificiale generativa, i chatbot, gli assistenti di programmazione e gli strumenti basati su agenti vengono discussi e utilizzati all’interno dei forum di criminalità informatica.

La loro ricerca si è basata sui dati di CrimeBB, del Cambridge Cybercrime Centre. Si parla di oltre 97.000 discussioni pertinenti dal lancio di ChatGPT, nonché su un’analisi qualitativa di 3.203 thread.

Lo studio, ha messo a confronto due scenari. Gli autori definiscono il primo “Stand-Alone Complex”. Un ipotetico gruppo criminale in cui l’intelligenza artificiale aiuta una singola persona ad automatizzare un’intera catena di servizi criminali. Il secondo scenario è “Vibercrime“, dove il “vibe coding” abbassa la barriera d’ingresso, ma non modifica la struttura del mercato nero.

Secondo le conclusioni degli autori, la realtà risulta essere più vicina al secondo scenario, e persino parlare di un forte aumento dell’utilizzo del vibe coding da parte dei cyber criminali sembra esagerato.

ChatGPT, Claude, Gemini, Grok, DeepSeek, Cursor e i LLM hackerati, incluso WormGPT, sono oggetto di discussione nelle comunità underground da tempo.

Tuttavia, l’uso di questi “modelli oscuri“, si è dimostrato inferiore a quanto riportato dai media e dai fornitori di sicurezza. Gli utenti sono più propensi a cercare un accesso gratuito, aggirare le restrizioni o i suggerimenti preconfezionati piuttosto che rivelare schemi e funzionanti che consentano un nuovo livello di attacco.

Gli assistenti basati sull’intelligenza artificiale sono particolarmente utili a chi ha già familiarità con la programmazione. Per questi utenti, questi strumenti sostituiscono il controllo degli errori, la copia di frammenti di codice da Stack Overflow. I principianti, tuttavia, trovano più semplice utilizzare script già pronti piuttosto che comprendere il codice generato da un modello. Inoltre, nei forum si discute spesso su come la generazione automatica di codice porti a debito tecnico, errori e progetti vulnerabili.

Gli autori hanno individuato un’applicazione più ovvia non negli attacchi complessi, bensì in schemi a basso margine: spam SEO, generazione di siti web, generazione di contenuti, generazione di immagini, profili falsi, truffe sentimentali e “reddito passivo” su piccola scala. In questi casi, l’IA contribuisce a scalare approcci più datati, ma allo stesso tempo aumenta la saturazione del mercato e riduce la redditività.

Una conclusione a parte è relativo alle limitazioni di sicurezza presenti nei modelli più diffusi. Secondo gli autori, queste limitazioni non scoraggiano gli hacker più motivati, ma aumentano il costo e la difficoltà degli abusi su larga scala. Dopo il 2024, i partecipanti dei forum lamentano sempre più spesso che i metodi di aggiramento funzionanti vengano rapidamente bloccati.

Lo studio, non esclude la possibilità che dei gruppi chiusi o degli operatori più professionali stiano utilizzando l’IA generativa in modo diverso. Tuttavia, nell’ambiente underground, gli autori non hanno trovato segnali di un cambiamento strutturale entro la fine del 2025. Pertanto, è più probabile che le reti neurali si siano integrate nelle pratiche criminali esistenti piuttosto che aver creato una nuova classe di minacce informatiche.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research