Un agente AI ricostruisce gli exploit Danfoss in 28 minuti: cosa cambia per l'OT

Secondo quanto riportato da Industrial Cyber il 19 ottobre 2026, il Team82 di Claroty ha riprodotto con l'aiuto di un agente AI di coding tre vulnerabilità già divulgate nei controller per refrigerazione Danfoss AK-SM 800A. Due di queste sono state concatenate per ottenere l'esecuzione di comandi con privilegi root su un dispositivo di laboratorio. Il post originale del Team82, stando all'articolo, è stato pubblicato la settimana precedente.

Come è stato condotto l'esperimento

L'agente era Claude Sonnet 4.6 di Anthropic, in modalità di ragionamento medio, usato tramite l'editor Cursor. Gli input erano esclusivamente pubblici: il firmware scaricato dal sito di Danfoss senza registrazione né cifratura, gli identificativi CVE, le classificazioni delle vulnerabilità e alcuni strumenti di analisi. Il lavoro è durato circa 28 minuti, per un costo d'uso dell'AI di circa 6 dollari.

Dove l'agente ha avuto bisogno di aiuto

L'agente ha riprodotto da solo CVE-2025-41451 e CVE-2025-41452. Sul bypass di autenticazione, CVE-2025-41450, ha invece sbagliato, seguendo con sicurezza un approccio errato. I ricercatori lo hanno reindirizzato e gli hanno fornito un'integrazione Model Context Protocol con Ghidra, che ha permesso decompilazione mirata e analisi dei riferimenti incrociati nel binario applicativo principale del controller, di 67 MB. Con questo supporto l'agente ha riprodotto il bypass e lo ha concatenato con la command injection fino a ottenere i privilegi root.

Per il ricercatore Amir Zaltzman l'esperienza umana resta necessaria per riconoscere i risultati errati, porre le domande giuste e validare l'esito, anche se il lavoro manuale è stato sostanzialmente ridotto.

I limiti dichiarati dal Team82

Il Team82 precisa che non si è trattato di scoperta autonoma di vulnerabilità partendo da zero. L'esperimento si è basato su divulgazioni pubbliche e sulla correzione umana degli errori dell'agente. La preoccupazione riguarda altro: l'AI abbassa tempo, costi e competenze necessari per trasformare una CVE divulgata in un exploit funzionante, accorciando la finestra utile per applicare patch o isolare i dispositivi.

L'esposizione

Ricerche su Censys e Shodan hanno individuato migliaia di dispositivi potenzialmente esposti. Il numero esatto non è riportato nella parte dell'articolo che ho consultato, e non è confermato nemmeno lo stato delle patch Danfoss: conviene quindi verificare direttamente i bollettini del produttore.

Cosa significa per chi gestisce impianti

Firmware pubblico e CVE pubbliche sono già input sufficienti per un agente AI. Ne segue che qualsiasi dispositivo OT raggiungibile da Internet diventa più rischioso, perché il tempo tra la divulgazione e lo sfruttamento si accorcia.

Azioni pratiche:

• eliminare l'esposizione diretta a Internet dei dispositivi OT;
• far passare l'accesso remoto da percorsi controllati, ad esempio VPN con autenticazione forte e segmentazione;
• ridurre i tempi di applicazione delle patch, dando priorità ai dispositivi raggiungibili dall'esterno;
• censire i propri asset e verificare periodicamente cosa risulta visibile su motori come Shodan e Censys.

Una lezione anche per l'ingegneria

Il caso conferma che gli agenti AI rendono al meglio quando affiancano esperti di dominio e dispongono degli strumenti giusti, come l'integrazione con Ghidra. Vale per chi attacca, ma vale anche per chi progetta, analizza e mette in sicurezza i sistemi industriali: l'AI accelera, ma la validazione resta una responsabilità umana.