Le campagne APT nel primo semestre del 2026 mostrano un’evoluzione nell’impiego dell’intelligenza artificiale: non più soltanto supporto alla scrittura di esche o codice, ma partecipazione ad alcune fasi operative dell’intrusione. Gli attaccanti cercano inoltre di confondersi con attività normali, sfruttando servizi cloud, ambienti di sviluppo, componenti open source, runtime firmati e aste della pubblicità online.
È quanto emerge dal 2026 H1 APT Report di TrendAI.
L’IA entra nella ricognizione e nel movimento laterale
I casi più avanzati riguardano gruppi sospettati di essere legati Cina. L'APT Earth Krahang ha usato IA generativa per migliorare un proof of concept relativo a CVE-2026-0740 e automatizzare la ricerca di server WordPress vulnerabili. Sul server di comando e controllo era inoltre installato Trae, ambiente di sviluppo con funzioni di IA realizzato da ByteDance.
Earth Naga, gruppo associato a Flax Typhoon, avrebbe adottato un processo iterativo di vibe coding per sviluppare uno script PowerShell capace di eseguire codice C# in memoria. Le versioni trovate sul server conservavano nei commenti le risposte del modello, lasciando tracce del metodo di sviluppo.
