I malware che utilizzano l'intelligenza artificiale stanno evolvendo rapidamente e, insieme a loro, cambiano anche le tecniche utilizzate dai cybercriminali. Cisco Talos, la più grande organizzazione privata al mondo dedicata all'intelligence per la cybersecurity, presenta CAIRN (Cognitive Artifact Intelligence Research Network), un nuovo approccio open source che permette ai ricercatori di individuare e analizzare più rapidamente i malware che incorporano l'IA, cercando le tracce che questa tecnologia lascia negli strumenti utilizzati dagli attaccanti.

Per individuare queste minacce, CAIRN analizza gli elementi che possono ricondurre all'utilizzo dell'IA all'interno dei malware, dai riferimenti a servizi e strumenti di IA fino a specifiche istruzioni e tecniche utilizzate per aggirare i sistemi di analisi. CAIRN raccoglie e collega queste informazioni senza dover necessariamente scaricare o eseguire il malware, permettendo agli analisti di individuare nuovi campioni, collegarli ad altri software malevoli e ricostruire possibili relazioni tra campagne e infrastrutture utilizzate dagli attaccanti.

Le prime ricerche condotte da Cisco Talos con CAIRN si sono concentrate sui malware sviluppati attivamente a partire da luglio 2025, quando sono stati segnalati i primi campioni che utilizzavano l'intelligenza artificiale. I risultati mostrano una crescita rapida dell'autonomia dei malware: in circa un anno si è passati dall'utilizzo dell'IA come funzionalità opzionale a minacce capaci di operare in modo sempre più autonomo, fino a sistemi che utilizzano più modelli e non richiedono un intervento umano diretto, come nel caso dei malware LAMEHUG e CLOSEDQUORUM.

Cisco Talos evidenzia inoltre come le tecniche sviluppate per sfruttare l'IA possano diffondersi rapidamente tra gruppi di attaccanti differenti. Una tecnica di evasione basata sull'uso di istruzioni in linguaggio naturale per cercare di condizionare i sistemi di analisi automatica, inizialmente associata a un'attività di red teaming, è stata osservata nel giro di 12 mesi anche in malware sviluppati da attori non collegati tra loro. Allo stesso tempo, l'organizzazione sottolinea che la semplice presenza di indicatori riconducibili all'IA non costituisce una prova del suo effettivo utilizzo, poiché alcuni elementi possono essere generati dall'ambiente software o dalla struttura del file e produrre falsi positivi.

Secondo Cisco Talos, siamo ancora in una fase di transizione, nella quale non è più sufficiente stabilire se un malware contiene tracce riconducibili all'IA, ma è necessario comprenderne il ruolo effettivo. CAIRN, reso disponibile come progetto open source, nasce proprio per supportare questo processo, permettendo di analizzare grandi quantità di informazioni e individuare rapidamente possibili collegamenti, che dovranno poi essere verificati attraverso analisi più approfondite. Lo strumento è pensato per la ricerca e contribuisce in modo significativo a migliorare le attività di rilevamento, threat intelligence e risposta alle minacce informatiche.