Villager: il framework di pentesting AI che scuote la sicurezza globale

Il team AIResearch (STAR) di Straiker ha individuato Villager, un framework di penetration testing nativo basato sull’intelligenza artificiale, sviluppato dal gruppo cinese Cyberspike. Lo strumento, presentato come soluzione “red team”, è progettato per automatizzare in modo completo le attività di test di sicurezza, combinando i tool di Kali Linux con modelli AI DeepSeek tramite il protocollo MCP.

Distribuzione e diffusione

Villager è stato pubblicato sul Python Package Index (PyPI.org) ed è liberamente accessibile a livello globale. Nei primi due mesi dalla pubblicazione ha superato i 10 000 download, un dato che ha attirato l’attenzione degli analisti per il potenziale rischio di abuso. La distribuzione attraverso PyPI rappresenta inoltre un potenziale vettore di supply chain, offrendo agli attaccanti un canale affidabile per ottenere e integrare lo strumento nei propri flussi operativi.

Paragone con strumenti preesistenti

Secondo Straiker, la combinazione tra automazione avanzata e bassa barriera di accesso potrebbe portare Villager a seguire una traiettoria simile a quella di Cobalt Strike, nato per usi legittimi ma successivamente adottato su larga scala da attori malevoli. Villager riduce drasticamente il livello di competenza necessario per condurre attività offensive complesse, consentendo anche a operatori meno esperti di eseguire intrusioni avanzate.

Il protocollo MCP (Model Context Protocol)

Il protocollo MCP è uno standard pensato per consentire ai modelli di intelligenza artificiale di interagire in modo strutturato con strumenti esterni, servizi e risorse di sistema. A differenza di una semplice API di inferenza, MCP definisce un meccanismo attraverso il quale l’AI può ricevere contesto operativo, comprendere quali strumenti sono disponibili e invocarli in modo controllato.

Dal punto di vista tecnico, MCP introduce un livello di orchestrazione che regola lo scambio di messaggi tra il modello e i cosiddetti “tool”, come ambienti di esecuzione, container, browser automatizzati o utility di sistema. Ogni azione viene descritta e restituita in un formato strutturato, permettendo all’AI di concatenare più operazioni, gestire dipendenze tra task e reagire agli errori. Questo permette di costruire agenti che pianificano, eseguono e verificano attività articolate, mantenendo coerenza e tracciabilità.

Rischi associati al MCP

• Automazione di intere catene operative offensive, riducendo l’intervento umano.
• Aumento significativo delle attività automatizzate di scansione, sfruttamento e post‑exploitation.
• Difficoltà di attribuzione, poiché gli attacchi utilizzano strumenti standard e tecniche ibride.
• Possibili compromissioni della supply chain, soprattutto se il pacchetto viene installato su workstation CI/CD o sistemi di test.

Impatto operativo per le imprese

Le organizzazioni potrebbero trovarsi di fronte a un incremento di tentativi di scansione ed exploit provenienti dall’esterno, a cicli di attacco più rapidi che riducono le finestre di reazione e a una maggiore difficoltà di attribuzione. Inoltre, i meccanismi di evasione forense incorporati in Villager — container autodistruttivi, cancellazione dei log e porte SSH randomizzate — rendono più complessa l’analisi post‑incidente.

Misure di mitigazione suggerite

Gli analisti raccomandano diverse contromisure per limitare l’abuso del framework:

• Implementare gateway di sicurezza per il protocollo MCP, capaci di ispezionare e filtrare in tempo reale le comunicazioni tra agenti AI e strumenti.
• Condurre una revisione approfondita delle integrazioni AI di terze parti e adottare policy di governance sull’uso dell’intelligenza artificiale.
• Sviluppare capacità di threat intelligence focalizzate sugli attacchi AI‑driven.
• Definire procedure di risposta specifiche per incidenti potenziati dall’AI.
• Eseguire test di sicurezza continui, mirati alle applicazioni abilitate MCP.

Profilo di Cyberspike

Cyberspike è emerso per la prima volta il 27 novembre 2023, con la registrazione del dominio cyberspike.top associato alla Changchun Anshanyuan Technology Co., Ltd., società cinese indicata come fornitore di soluzioni AI e software applicativo. Tuttavia, l’assenza di un sito web aziendale attivo e di una presenza commerciale verificabile solleva interrogativi sulla reale struttura dell’organizzazione.

Snapshot archiviati dalla Wayback Machine mostrano che nel 2023 l’azienda promuoveva un prodotto denominato “Cyberspike”, dotato di dashboard per il monitoraggio delle macchine compromesse. Le funzionalità dichiarate includevano proxy inverso, generatori multistadio e strumenti tipici delle piattaforme di comando e controllo.

Analisi del malware associato

L’analisi del Cyberspike Studio Installer v1.1.7, caricato su VirusTotal il 10 dicembre 2023, ha rivelato che i plugin inclusi corrispondono a un Remote Access Trojan (RAT) completo. Le capacità individuate comprendono:

• Accesso remoto al desktop
• Keylogging
• Compromissione di account Discord
• Controllo della webcam e altre funzioni di sorveglianza

Ulteriori verifiche hanno dimostrato che l’intera suite Cyberspike coincide con la versione 1.0.7.0 di AsyncRAT, malware