Infostealer: il ladro chiede all’AI quanto vali

Rubare dati, oggi, è la parte facile. Un programma nascosto nel computer porta via password, cookie (i piccoli file con cui i siti ti riconoscono), carte salvate, sessioni aperte: un mucchio di dati in un colpo solo. La parte difficile viene dopo. Qualcuno deve leggere quel mucchio e capire chi è la persona dall’altra parte, cosa vale, da dove conviene cominciare. Era lavoro da persona. Paziente, noioso, lento.

Sabato 31 ottobre, alle 13 ora italiana, Cisco Talos ha pubblicato l’analisi di un programma che quel lavoro lo passa a un’intelligenza artificiale. Si chiama VOLTA, e nel suo codice si presenta così: «VOLTA-AUTODOXER». Il doxing è la raccolta dei dati personali di qualcuno, messi insieme in un ritratto, di solito per usarlo contro di lui. Auto, perché lo fa da solo.

Il rapporto di Talos e la newsletter di WIRED, con cui Talos ha condiviso la ricerca in esclusiva, raccontano la parte tecnica, e la parte tecnica conta. A me interessa di più un’altra cosa: le parole. Come è scritta la richiesta che il malware manda all’AI, e perché è scritta così.

Cosa ha trovato Talos

VOLTA è un infostealer: un programma che entra in un computer Windows, raccoglie tutto quello che può e lo spedisce a chi lo controlla. Fin qui niente di nuovo. Talos lo definisce «maturo»: ruba le password, i cookie, cioè i piccoli file con cui i siti ti riconoscono, e le carte salvate nei browser come Chrome, poi Firefox e Thunderbird, i profili di Outlook, gli spazi di lavoro di Slack, le sessioni di Discord, Telegram, Steam, Battle.net e Roblox, i token di Microsoft, cioè i codici che tengono aperto l’accesso a un account dopo il login, le chiavi per collegarsi ai server e ai servizi cloud. Prende le password di ogni rete Wi-Fi salvata e le scrive in chiaro, cioè leggibili così come sono. Fa schermate. Davanti a un portafoglio di criptovalute prova a forzarne la cassaforte.

Poi fa una cosa che i programmi di questo tipo, di solito, lasciano a una persona. Usa gli accessi appena rubati per scavare. Con la sessione Gmail della vittima cerca nella casella le ricevute di Amazon, DoorDash, Uber Eats, Grubhub, Walmart e PayPal, e le usa per confermare l’indirizzo di casa. Con le sessioni di Uber Eats e DoorDash scarica la cronologia degli ordini. Con il token di Discord completa il profilo. L’inventario di Roblox lo fa valutare dal vivo, con una ricerca sul sito Rolimons.

Il risultato è un fascicolo sulla persona dietro il computer. Talos ne elenca il contenuto: posizione e indirizzo di casa, datore di lavoro e dominio dell’azienda, anno di nascita dedotto, ultime quattro cifre della carta, spazi Slack, i metadati dei documenti che dicono chi li ha scritti, segnali di backup dell’iPhone, il valore dell’account Roblox. Sotto una delle figure del rapporto, Talos ha scritto una didascalia che vale più di un paragrafo: «Esatto: la tua cronologia di Uber Eats adesso è un potenziale rischio».

A quel punto entra l’AI. Il fascicolo parte verso OpenRouter insieme a un’istruzione di sistema. Il modello risponde con un’analisi. Fascicolo e analisi escono insieme dal computer, in un archivio che si chiama volta_dox.zip. La chiamata all’AI, nota Talos, parte dal computer della vittima e passa dalla sua connessione.

Due dettagli completano il quadro. Il programma si cancella da solo dopo aver lavorato. E tutti gli indirizzi a cui si collega, fra quelli osservati da Talos, appartengono a servizi di terzi: per Talos non c’è un’infrastruttura degli attaccanti. Il programma è predisposto per mandare su Telegram le valutazioni, già ordinate.

Prima il ladro arrivava con un sacco. Adesso arriva con un sacco e un perito.

Un furto scritto come un incarico di lavoro

Questa è la parte che riguarda il mio mestiere, cioè le parole e il modo in cui convincono.

Secondo WIRED il prompt di VOLTA, l’istruzione mandata all’AI, è lungo circa 240 parole, con elenchi puntati e numerati. Comincia così: «Sei un analista di intelligence forense che redige una valutazione del bersaglio a partire da un fascicolo di prove strutturato». Chiede un riassunto per la direzione sulla persona, cosa fa, una sezione intitolata «QUANTO VALE», con i beni ordinati secondo quanto possono rendere al criminale e un livello basso, medio o alto, e una sezione su come la vittima protegge le sue cose e tratta le password. Chiede di collegare i dati sparsi: per esempio di controllare se la password del Wi-Fi coincide con il cognome. Chiude con un ordine di stile: «Vai a fondo, non in largo. Sii diretto, specifico, preciso».

Talos aggiunge un dettaglio: il modello deve produrre una valutazione dell’idoneità della vittima come bersaglio, «sostenuta da una traccia di citazioni verificabile». E non gli chiede soltanto di trovare dati. Gli chiede di allungarli, di fare deduzioni che aumentino il valore di quello che è stato raccolto. La temperatura, l’impostazione che regola quanto il modello varia le risposte, è fissata a 0,2, un valore basso. Per Talos è il segno che chi l’ha scritto cerca risposte accurate e coerenti.

Rileggi il lessico. Analista, fascicolo, prove, valutazione, citazioni. Sembra la richiesta di un’agenzia investigativa o di un ufficio che fa due diligence, cioè i controlli prima di un affare. Ryan Fetterman, ricercatore di Talos, lo dice a WIRED senza giri: il prompt è costruito con cura per non far pensare a niente di apertamente malevolo.

Qui sta il punto, ed è una lettura mia. La richiesta è stata vestita da lavoro. Il vecchio truffatore si presentava in giacca e cravatta per entrare in banca; qui la frase indossa la cornice di una professione rispettabile, per sembrare legittima a chi la legge, anche quando chi legge è un modello. È la leva della cornice: il contesto in cui metti una domanda orienta il modo in cui viene accolta. Le fonti, va detto, non dimostrano che il travestimento basti a superare i controlli.

Chi ha scritto VOLTA, però, non si è fidato del travestimento. Il programma controlla ogni risposta del modello e cerca formule come «Non posso» o «Non sono in grado». Se le trova, passa al modello successivo, fino a tre. Talos e WIRED descrivono la stessa catena: si parte da Claude, che per WIRED è Claude Opus 4.6; poi Kimi K2 di Moonshot AI, un modello cinese a pesi aperti, cioè con i parametri del modello pubblicati e scaricabili; poi Gemini 2.5 Flash di Google. Talos li chiama modelli «più piccoli e più permissivi». WIRED aggiunge che usare modelli di generazione precedente, più economici, e prevedere ripieghi sono tecniche comuni fra gli attaccanti. E se manca la chiave API, la credenziale con cui il programma usa il servizio di AI, VOLTA funziona lo stesso, solo senza la perizia.

Una cosa resta scoperta, e la dico chiara: Talos non scrive se Claude abbia davvero risposto o rifiutato. Di certo c’è che il programma è stato progettato aspettandosi un rifiuto. Per Talos, man mano che l’AI entra nei malware, prevedere i rifiuti potrebbe diventare un requisito di progetto standard.

Se un guardiano dice di no, dietro c’è una fila di altri guardiani, e il programma bussa alla porta successiva.

Il lavoro che l’AI ha tolto al ladro

Talos chiude il rapporto con una lettura che vale anche fuori dalla sicurezza informatica. L’AI qui serve a una cosa sola: togliere a chi attacca il lavoro di analisi. Il guadagno, scrivono, sta nello spostare la fatica, più che nella velocità o nei numeri. La regola che vedono è questa: trovare il passaggio che richiede più attenzione umana continua e sostituirlo con una chiamata a un modello. Per chi difende, aggiungono, la domanda è quale fase toccherà la prossima volta: che lo schema comparirà altrove lo danno per scontato.

Fetterman spiega a WIRED perché conviene. I token di accesso scadono, le password si cambiano. Chi individua prima le vittime che valgono di più ha più probabilità di usare le loro credenziali finché funzionano. Ordinare il bottino a mano richiede tempo. Farlo ordinare a un modello richiede una chiamata.

C’è poi il modo in cui VOLTA è costruito. Canale Telegram, chiavi API e impostazioni stanno in sei spazi vuoti che si riempiono al momento di creare il programma. Per Talos è il segno di un modello di vendita: l’autore vende l’accesso, il cliente mette i suoi dati, e per ogni ordine nasce un programma su misura. Se è così, la perizia automatica è una funzione inclusa nel pacchetto, a disposizione di un criminale di qualunque livello. Fetterman lo riassume così: capacità più avanzate alla portata di attaccanti meno capaci.

Talos ricorda che il crimine informatico è sempre stato opportunista, e che l’asticella della bravura è sempre stata più bassa di quanto si pensi. La differenza, scrivono, è fra una rete gettata larga e una rete larga che si smista da sola.

La mia lettura è che questa regola valga anche per un’azienda che comincia con l’AI e si chiede da dove partire. Cerca il passaggio che ti mangia più attenzione e chiediti se un modello può farlo al posto tuo. In VOLTA vedo lo stesso metodo, applicato a uno scopo criminale.

Il computer di casa lavora anche per l’ufficio

Leggendo l’elenco di Discord, Steam, Roblox, viene da pensare che sia una faccenda da ragazzi. WIRED in effetti scrive che le capacità di VOLTA sembrano pensate per colpire utenti giovani con una vita digitale intensa.

Poi guardi meglio. Nel fascicolo ci sono il datore di lavoro e il dominio dell’azienda. Ci sono gli spazi Slack, i profili Outlook, i token di Microsoft, le chiavi per i server e per i servizi cloud, i metadati dei documenti. Quella è roba da ufficio. Il mio ragionamento, e lo segnalo come tale, è semplice: pensa a un computer usato sia per lavorare sia per giocare. Se un programma così lo infetta, e lì dentro ci sono anche gli accessi dell’ufficio, potrebbe raccogliere anche quelli. E la perizia, a quel punto, avrebbe una riga in più.

Il rischio ha precedenti grossi. WIRED ricorda che molte delle violazioni più grosse degli ultimi anni, da quelle legate a Snowflake, che hanno toccato AT&T e Ticketmaster, al furto di un terabyte di dati di Disney, sono partite da credenziali raccolte da infostealer. In totale, negli ultimi anni, questi programmi hanno rubato centinaia di milioni di credenziali.

Talos non dice chi è stato colpito da VOLTA, né dove. Fetterman, anzi, precisa a WIRED che Talos non ha verificato se il programma sia già stato usato in attacchi reali. Quello che il rapporto mostra è un programma che funziona su Windows, che sembra fatto per essere venduto e che è pronto all’uso.

Nel fascicolo, accanto al tuo nome, potrebbe finirci anche la tua azienda.

Come portarlo nel tuo lavoro

Talos non dice come VOLTA arriva sui computer. Degli infostealer in generale WIRED scrive che spesso si nascondono in programmi contraffatti. Il primo gesto quindi è il più vecchio: i programmi si scaricano dalla pagina di download ufficiale, raggiunta scrivendo l’indirizzo a mano, e si saltano gli annunci in cima alla ricerca. Pochi giorni fa ho raccontato le false pagine «Scarica Claude» comparse proprio su claude.ai e spinte con annunci Google: sul Mac installavano un programma che ruba password, sessioni del browser, documenti e portafogli di criptovalute.

Il secondo riguarda le sessioni. Un token di sessione è la prova che hai già fatto l’accesso: VOLTA usa quelli di Gmail per frugare nella casella senza bisogno della password. Se sospetti un’infezione, Talos indica la strada: revocare i token che potrebbero essere stati presi e cambiare le password. Revocare vuol dire rendere inutilizzabili gli accessi che potrebbero essere finiti in mani altrui: ogni servizio ha la sua procedura per sessioni e token, e se serve ci si fa aiutare dal tecnico. Una chiave lasciata valida può riaprire la porta mesi dopo: la storia di LiteLLM parte da una chiave pubblicata per errore a maggio e mai revocata.

Il terzo è separare. È un consiglio mio: il computer con cui lavori è un posto diverso da quello dove si scaricano giochi, programmi pirata e trucchi per il gioco del momento. Meno cose convivono sulla stessa macchina, più corta è la riga del fascicolo.

Il quarto è per chi in azienda si occupa dei computer, o per il tecnico a cui ti appoggi. Talos scrive che gran parte del furto di token di VOLTA si basa su tecniche per aggirare l’App-Bound Encryption di Chrome. È una protezione che Google ha introdotto su Windows con Chrome 127, nel luglio 2024: cifra i cookie legandoli all’identità di Chrome, così che un altro programma che prova a leggerli fallisca. Secondo Talos, la strada che VOLTA usa per aggirarla passa da Chrome avviato in modalità «headless», cioè senza finestra: una regola che limiti quali programmi possono avviarlo così, scrivono, la chiuderebbe del tutto. Come minimo, serve un allarme quando succede da un programma estraneo. E per le credenziali vale l’indicazione generale: conservarle in archivi protetti dall’hardware del computer.

Il quinto riguarda le password che si ricavano da te. Il prompt di VOLTA chiede all’AI di collegare nomi, indirizzi o università ai modelli delle password: il cognome come password del Wi-Fi è l’esempio che fa. Una password costruita con pezzi della tua vita è una password che un fascicolo sulla tua vita aiuta a indovinare.

Il sesto è per il caso peggiore. Il programma si cancella, ma Talos consiglia di conservare il file volta_debug.txt nella cartella AppData dell’utente: è il registro di quello che è stato raccolto, con gli orari, e dice anche se la chiamata all’AI è riuscita. Per i portafogli di criptovalute la regola di Talos è netta: se la frase di recupero stava sul disco in chiaro, il portafoglio va considerato perso e i fondi vanno spostati su uno nuovo, creato su un dispositivo isolato dalla rete.

Infine, una cosa che riguarda il modo in cui leggi le notizie su questi temi. Oggi ho raccontato anche la violazione di Chainalysis con «tecniche agentiche offensive», e il 22 ottobre l’attacco a Microsoft 365 guidato da un agente AI. VOLTA è più modesto: un programma vecchio stile con un analista aggiunto in fondo. Proprio per questo è più vicino alla tua scrivania.

Il criminale ha imparato a delegare l’analisi. A te tocca il lavoro opposto: dare al suo analista meno da leggere.

Domande frequenti

Cos’è un infostealer?

È un programma malevolo che, una volta sul computer, raccoglie dati e li spedisce a chi lo controlla: password e cookie salvati nel browser, sessioni aperte, carte di pagamento, portafogli di criptovalute. Secondo WIRED si nasconde spesso dentro programmi contraffatti. VOLTA è un infostealer per Windows che in più manda il bottino a un’intelligenza artificiale perché lo analizzi.

Claude ha aiutato i criminali?

Non si sa. Secondo WIRED VOLTA manda la richiesta prima a Claude Opus 4.6, attraverso OpenRouter. Il programma però è costruito aspettandosi un rifiuto: se la risposta contiene formule come «Non posso», passa a Kimi K2 e poi a Gemini 2.5 Flash. Le fonti non dicono quale modello abbia risposto davvero; secondo WIRED, Talos non ha nemmeno verificato se VOLTA sia già stato usato in attacchi reali.

VOLTA ha colpito anche in Italia?

Il rapporto di Talos non dice quante siano le vittime né in quali Paesi. Secondo WIRED, Talos ha individuato VOLTA con CAIRN, il suo nuovo sistema per trovare strumenti di attacco che usano l’AI, e non ha verificato se sia già stato usato in attacchi reali. Per ora, quindi, la risposta onesta è: non si sa.

Cosa devo fare se penso di essere stato colpito?

Talos consiglia di conservare il file volta_debug.txt nella cartella AppData, se c’è, perché dice cosa è stato preso, e raccomanda di revocare i token che potrebbero essere stati compromessi e di cambiare le password. Se la frase di recupero di un portafoglio di criptovalute era salvata in chiaro sul disco, Talos raccomanda di considerare il portafoglio compromesso e di spostare i fondi su uno nuovo, con una frase creata su un dispositivo isolato dalla rete. Due consigli miei: fai i cambi di password da un dispositivo pulito e, se il computer è anche di lavoro, avvisa subito chi gestisce l’informatica in azienda.

Perché un malware ha bisogno dell’intelligenza artificiale?

Per risparmiare il lavoro di analisi. Un infostealer raccoglie montagne di dati; capire quali vittime valgono di più richiede tempo, e nel frattempo password e token possono smettere di funzionare. VOLTA affida questo smistamento a un modello, che restituisce una valutazione ordinata. Talos lo chiama spostamento della fatica: il passaggio che chiedeva più attenzione umana diventa una chiamata a un modello.

Fonti

• Cisco Talos, Appraisal by AI: Model-driven victim prioritization in the VOLTA infostealer, 31 ottobre 2026.
• WIRED, Kernel Panic, Spooky New Infostealer Malware Uses AI to ‘Autodox’ Victims, 31 ottobre 2026.
• Google Online Security Blog, Improving the security of Chrome cookies on Windows, 30 luglio 2024.