23.000 host attivi, 130 paesi: gli hacker dirottano modelli AI open-source
- I ricercatori di sicurezza hanno individuato oltre 175.000 host AI unici in 130 paesi, con 23.000 server "persistenti" che formano una rete solida per attività criminali.
- Gli hacker stanno dirottando questi modelli AI non protetti per rubare potenza di calcolo, aggirare i filtri di sicurezza e rivendere l'accesso ad altri criminali.
- Più del 48% di questi sistemi esposti consente agli hacker di eseguire potenzialmente codice o accedere a database interni privati tramite semplici prompt testuali.
Si stima che circa 175.000 server privati siano esposti a Internet, offrendo agli hacker l'opportunità di portare a termine le loro attività illecite.
Il problema è stato segnalato dai ricercatori della sicurezza SentinelOne e Censys, che hanno tracciato 7,23 milioni di osservazioni in oltre 300 giorni.
Gli hacker sfruttano l'impostazione di Ollama
Un recente rapporto di SentinelOne e Censys ha rilevato che oltre 175.000 server AI privati sono accidentalmente esposti a Internet. Questi sistemi utilizzano Ollama, un software open-source che consente alle persone di eseguire potenti modelli AI, come Llama di Meta o Gemma di Google, sui propri computer invece di utilizzare un sito web come ChatGPT.
Per impostazione predefinita, Ollama comunica solo con il computer su cui è installato. Tuttavia, un utente può modificare le impostazioni per facilitarne l'accesso remoto, il che può esporre accidentalmente l'intero sistema a Internet.
Hanno tracciato 7,23 milioni di osservazioni in quasi 300 giorni e hanno scoperto che, sebbene molti di questi "host" AI siano temporanei, circa 23.000 di essi rimangono online quasi tutto il tempo. Questi sistemi "sempre attivi" sono bersagli perfetti per gli hacker perché forniscono hardware gratuito e potente non monitorato da alcuna grande azienda tecnologica.
Negli Stati Uniti, circa il 18% di questi sistemi esposti si trova in Virginia, probabilmente a causa dell'alta densità di i data center presenza lì. La Cina ha 30% degli host situati a Pechino.
Sorprendentemente, il 56% di tutti questi sistemi AI esposti è in esecuzione su connessioni Internet domestiche o residenziali. Questo è un problema grave perché gli hacker possono utilizzare questi indirizzi IP domestici per nascondere la propria identità.
Quando un hacker invia un messaggio dannoso attraverso l'AI domestica di qualcuno, sembra provenire da una persona normale piuttosto che da una botnet criminale.
Come stanno utilizzando questi sistemi AI dirottati i criminali?
Secondo Pillar Security, una nuova rete criminale nota come Operation Bizarre Bazaar sta attivamente cercando questi endpoint AI esposti. Cercano sistemi in esecuzione sulla porta predefinita 11434 che non richiedono una password. Una volta trovati, rubano la "potenza di calcolo" e la vendono ad altri che desiderano eseguire attività AI a basso costo, come la generazione di migliaia di email di phishing o la creazione di contenuti deepfake.
Tra ottobre 2025 e gennaio 2026, la società di sicurezza GreyNoise ha registrato oltre 91.403 sessioni di attacco mirate a queste configurazioni AI. Hanno individuato due tipi principali di attacchi.
- Il primo utilizza una tecnica chiamata Server-Side Request Forgery (SSRF) per forzare l'AI a connettersi ai server dell'hacker.
- Il secondo è una massiccia campagna di "scansione" in cui gli hacker inviano migliaia di domande semplici per scoprire esattamente quale modello AI è in esecuzione e quali sono le sue capacità.
Circa il 48% di questi sistemi è configurato per il "tool-calling" (chiamata di strumenti). Ciò significa che l'AI è autorizzata a interagire con altri software, cercare nel web o leggere file sul computer.
Se un hacker trova un sistema del genere, può utilizzare l'"iniezione di prompt" per ingannare l'AI. Invece di chiedere una poesia, potrebbe ordinare all'AI di "elenca tutte le chiavi API nel codice" o "riassumi i file del progetto segreto". Poiché non c'è alcun essere umano a supervisionare, l'AI spesso obbedisce a questi comandi.
Il Report sulla Cyber Security 2026 di Check Point mostra che gli attacchi informatici totali sono aumentati del 70% tra il 2023 e il 2025. Nel novembre 2025, Anthropic ha segnalato il primo caso documentato di una campagna di cyber spionaggio orchestrata dall'AI, in cui un gruppo sponsorizzato da uno Stato ha utilizzato agenti AI per eseguire l'80% di un attacco senza alcun aiuto umano.
Diversi nuove vulnerabilità, come CVE-2025-1975 e CVE-2025-66959, sono state scoperte proprio questo mese. Si tratta di difetti che consentono agli hacker di far crashare un server Ollama inviandogli un file di modello appositamente creato.
Poiché il 72% di questi host utilizza lo stesso formato di file specifico chiamato Q4_K_M, un singolo attacco riuscito potrebbe mettere fuori uso migliaia di sistemi contemporaneamente.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
