Sembrava una campagna circoscritta all’ecosistema TanStack, e invece si sta rivelando una delle minacce più insidiose mai osservate contro la filiera del software open source. Il worm noto come Shai-Hulud, già protagonista di precedenti incidenti, è tornato in una variante ‘mini’ che nelle ultime ore ha esteso il proprio raggio d’azione a pacchetti firmati da nomi pesanti dell’intelligenza artificiale, da OpenSearch a Mistral AI, passando per Guardrails AI e UiPath. Un attacco che, oltre alla scala, colpisce per la scelta chirurgica dei bersagli, ovvero gli strumenti che gli sviluppatori usano ogni giorno per costruire applicazioni basate su AI.
Il meccanismo è quello classico degli attacchi alla supply chain, ma con un’evoluzione preoccupante. Gli aggressori sono riusciti a pubblicare versioni compromesse di pacchetti legittimi sui registri npm e PyPI, i due principali repository da cui milioni di sviluppatori scaricano librerie ogni giorno. Quando un programmatore installa, anche solo per provare, una di queste versioni infette, il worm si attiva sulla sua macchina e comincia a raccogliere credenziali sensibili. Guardrails AI ha confermato che il proprio pacchetto 0.10.1 è stato compromesso e messo in quarantena entro circa due ore, un tempo di reazione encomiabile che però lascia comunque una finestra utile all’esfiltrazione.
I dettagli tecnici delineano un’operazione sofisticata. I 172 pacchetti compromessi pubblicati a partire dall’11 maggio scandagliano oltre 100 percorsi di file alla ricerca di chiavi AWS, chiavi SSH private, token npm, Personal Access Token di GitHub, token di HashiCorp Vault, service account Kubernetes, configurazioni Docker, cronologie shell e portafogli di criptovalute. Per la prima volta in una campagna riconducibile al gruppo TeamPCP, vengono presi di mira anche i password manager. Particolarmente allarmante è la presunta tecnica di persistenza attraverso gli hook di configurazione di Claude Code e Visual Studio Code, perché vorrebbe dire che l’attaccante potrebbe sfruttare gli stessi assistenti AI integrati negli IDE per mantenere il controllo sulla macchina compromessa.
Lo scenario che si apre è quello che molti analisti temevano da tempo. L’intelligenza artificiale generativa, con la sua capacità di automatizzare la creazione e la diffusione di codice, sta accelerando anche le dinamiche offensive. Gli strumenti che dovrebbero proteggere o assistere gli sviluppatori diventano vettori d’attacco, e la fiducia implicita nei pacchetti open source mostra crepe sempre più profonde. Serve un ripensamento culturale prima ancora che tecnico, fatto di firma obbligatoria dei pacchetti, build riproducibili, isolamento degli ambienti di sviluppo e una sana diffidenza verso ogni dipendenza non verificata. La velocità con cui l’ecosistema AI sta crescendo è anche la sua principale vulnerabilità, e forse Shai-Hulud è solo la prova generale di ciò che ci aspetta quando la stessa AI diventerà non più bersaglio, ma autrice degli attacchi.
Per approfondire: link all’articolo originale
