Il Nuovo Malware Utilizza GPT-4 Per Generare Attacchi In Tempo Reale

I ricercatori di sicurezza hanno trovato le prime prove di malware che utilizza modelli di linguaggio di grandi dimensioni (LLM) per generare azioni malevole al volo.

I risultati sono stati presentati al LABScon 2025 in un intervento intitolato “Malware Abilitato da LLM Nella Rete.”

Secondo SentinelLABS, “il malware abilitato a LLM pone nuove sfide per il rilevamento e la caccia alle minacce poiché la logica dannosa può essere generata al momento dell’esecuzione piuttosto che essere incorporata nel codice.”

Queste minacce operano attraverso metodi basati sull’esecuzione che le rendono impossibili da rilevare per i sistemi antivirus standard, perché il codice dannoso non esiste fino al momento dell’esecuzione.

Il team ha identificato quello che credono possa essere il primo caso di questo tipo di malware, che hanno soprannominato ‘MalTerminal’. Il sistema basato su Python utilizza l’API GPT-4 di OpenAI per generare attacchi ransomware e attacchi shell inversi.

I ricercatori hanno documentato ulteriori strumenti offensivi, che includevano iniettori di vulnerabilità e aiuti per il phishing, per mostrare come gli aggressori sperimentano con gli LLM.

“Alla prima vista, un malware che scarica la sua funzionalità malevola su un LLM in grado di generare codice al volo sembra un incubo per un ingegnere della rilevazione,” hanno scritto i ricercatori.

Altri casi includono ‘PromptLock’, che è emerso per la prima volta come ransomware basato sull’IA nel 2023, e PROMPTSTEAL, un malware collegato al gruppo russo APT28. I ricercatori spiegano che PROMPTSTEAL ha incorporato 284 chiavi API di HuggingFace e ha utilizzato LLM per produrre comandi di sistema per rubare file.

I ricercatori hanno scoperto che, nonostante la loro sofisticazione, i malware abilitati LLM devono includere “chiavi API incorporate e prompt”, lasciando tracce che i difensori possono rintracciare. Hanno scritto, “Questo rende i malware abilitati LLM qualcosa di curioso: uno strumento che è unico nel suo genere, adattabile, ma anche fragile”.

Per ora, l’uso di malware abilitati LLM sembra raro e per lo più sperimentale. Ma gli esperti avvertono che, man mano che gli avversari affinano i loro metodi, questi strumenti potrebbero diventare una seria minaccia per la sicurezza informatica.