CrowdStrike afferma che i lead attivati dall’IA sono in aumento di 2,5x. Il dato riguarda il suo stesso prodotto, non gli attaccanti.

CrowdStrike ha pubblicato il suo Threat Hunting Report 2026 il 3 agosto, basato sulla propria intelligence e sulla telemetria OverWatch per la prima metà dell’anno. Adam Meyers, che ხელმძღვანa le operazioni contro gli avversari, lo ha descritto così: "L’IA è sia l’arma sia il bersaglio."

Il numero che regge al vaglio

Laddove esiste un proof-of-concept pubblico, l’88% delle exploitation osservate da CrowdStrike è avvenuto entro 48 ore dalla pubblicazione. Due gruppi collegati alla Cina, VAULT PANDA e GENESIS PANDA, si sono mossi su una falla critica di un’applicazione web entro 24 ore dalla divulgazione. Nella campagna React2Shell, OverWatch ha gestito oltre 800 lead di hunting su più di 80 vittime in quattro giorni. I numeri della supply chain sono altrettanto concreti: l’87% delle minacce ai registri software nella prima metà dell’anno ha coinvolto pacchetti npm, e attori collegati alla Corea del Nord hanno avvelenato 131 pacchetti affidabili di framework IA e più di 300 dipendenze in un solo giorno.

Il numero che non significa ciò che dice

La cifra riportata come prova del fatto che gli attacchi guidati dall’IA siano cresciuti di 2,5 volte dice tutt’altro: il rilevamento attivato dagli agenti fa emergere ora 2,5 volte più lead di minaccia rispetto all’attività gestita manualmente. Entrambi i lati di quel rapporto sono di CrowdStrike. Descrive quanto sia diventato rumoroso il suo stesso hunting agentico. La società ha distribuito la protezione Falcon per gli agent di Copilot Studio e Claude Code quattro giorni prima della pubblicazione.

Controllare il denominatore

L’88% è l’88% dell’exploitation osservata da CrowdStrike, di vulnerabilità che avevano già codice di exploit pubblico — non di tutte le vulnerabilità, e non di una popolazione che chiunque al di fuori della sua base installata possa verificare. Al post non accompagna alcuna dichiarazione metodologica. Un "89% surge in machine-assisted attack activity" citato nelle coperture secondarie non compare nella pagina del report di CrowdStrike.

Che cos’è davvero LLMJacking

Una campagna ha inviato quasi 200.000 richieste ai modelli in due minuti. Si tratta di credenziali enterprise rubate e prosciugate per ottenere capacità di calcolo — furto di risorse, regolarmente riformulato come attacco potenziato dall’IA.