Nel panorama della cybersecurity 2026 le minacce più efficaci nascono spesso da funzioni considerate normali e per questo date per scontate. Ispezionare un modello, usare una cache, compilare un binario, archiviare un segreto o fidarsi di un default sembrano attività innocue, ma possono diventare un percorso di attacco quando un sistema fa più di quanto ci si aspetti.
Il filo conduttore è che gli attaccanti non hanno sempre bisogno di tecniche rivoluzionarie: basta sfruttare assunzioni sbagliate e automazioni veloci.
Un tema caldo è l’uso della blockchain per nascondere istruzioni malevole. Tecniche come i blockchain dead drops permettono di pubblicare indicazioni per il malware su infrastrutture pubbliche difficili da sequestrare o disattivare, rendendo più complessa la risposta agli incidenti. In parallelo cresce l’interesse per la sicurezza dell’intelligenza artificiale, sia per i rischi legati a modelli che possono aggirare le protezioni, sia per approcci difensivi basati su prompt injection controllata, dove istruzioni inserite nei contenuti letti da un agente possono attivare controlli di sicurezza e bloccare azioni pericolose.
Sul fronte delle tecniche offensive spiccano metodi di evasione EDR che evitano chiamate tipicamente monitorate. Varianti di process injection possono scrivere dati in memoria passando da canali meno attesi, riducendo la visibilità dei controlli tradizionali. Anche il web rimane esposto a rischi concreti come il web cache poisoning: se la chiave di cache viene costruita concatenando frammenti influenzabili senza separatori chiari, due richieste diverse possono collidere e avvelenare la cache, con impatti che vanno dal data leak al denial of service fino a scenari di XSS persistente.
Altro segnale critico per la sicurezza cloud e DevOps è la diffusione di credenziali esposte. Centinaia di migliaia di segreti possono restare validi per anni nei repository pubblici, anche dopo l’introduzione di protezioni automatiche, dimostrando che la gestione delle chiavi e la revoca tempestiva restano un punto debole. Infine emergono attacchi che compilano payload come cryptominer direttamente sulla macchina vittima, aggirando firme note e rendendo utili indicatori come download ripetuti di strumenti remoti e attività di compilazione inattesa. In questo scenario la priorità è mappare cosa i sistemi possono raggiungere, quali permessi hanno e dove la fiducia implicita apre varchi.