Microsoft Threat Intelligence ha riferito il 5 novembre 2026 che agenti basati sul framework di IA ARTEX cercavano credenziali esposte nei repository pubblici di GitHub e poi usavano credenziali applicative valide per accedere ad alcuni ambienti cloud Microsoft. L’azienda colloca le ricerche a partire da agosto e i relativi accessi di service principal, cioè identità usate dalle applicazioni, dal 28 ottobre. In un singolo caso osservato, il passaggio dalla ricerca di un segreto su GitHub all’esfiltrazione di dati da Azure Key Vault è avvenuto in cinque minuti, secondo il rapporto di Microsoft Threat Intelligence.
Se una credenziale finisce in un repository pubblico, cancellare il file non basta: va revocata o sostituita e bisogna controllare come è stata usata.
Come ARTEX avrebbe portato i segreti fino ai servizi cloud
Secondo Microsoft, le ricerche automatizzate combinavano nomi di organizzazioni con termini legati a credenziali, servizi cloud e fornitori di IA. Dopo aver individuato credenziali utilizzabili, gli agenti avrebbero proseguito con accessi a identità applicative su più tenant e decine di applicazioni associate.
Il rapporto menziona credenziali e dati legati ad Azure Key Vault e agli account di archiviazione, oltre ad attività su Azure AI, Azure DevOps, SharePoint e OneDrive. In alcuni tenant, le applicazioni compromesse avrebbero scaricato file da SharePoint e OneDrive e avuto accesso a elementi delle caselle di posta; alcune richieste a Microsoft Graph cercavano soprattutto contenuti di interesse. Il caso si inserisce nel tema più ampio dei rischi degli agenti autonomi, già affrontato da NeoTeo nella sua analisi sugli agenti IA autonomi.
Tre tentativi API distinti in Azure
Microsoft descrive tre sequenze separate: una richiesta iniziale restituiva HTTP 400, poi una richiesta modificata otteneva HTTP 200. Gli intervalli indicati si riferiscono a ciascun nuovo tentativo, non a un’unica sequenza cumulativa.
| Richiesta | Intervallo approssimativo | Risposta iniziale | Risposta al nuovo tentativo |
| Metadati di Azure Key Vault | 28 secondi | HTTP 400 | HTTP 200 |
| Regole firewall di Azure SQL | 60 secondi | HTTP 400 | HTTP 200 |
| Query di Application Insights | 80 secondi | HTTP 400 | HTTP 200 |
Nel caso di Key Vault, il nuovo tentativo usava la versione ARM API 2023-07-01. Microsoft riferisce che la richiesta iniziale aveva usato una versione dell’API dati di Key Vault contro endpoint ARM del piano di controllo.
Cosa consiglia Microsoft di controllare
Se una credenziale è stata esposta, Microsoft raccomanda di revocarla o ruotarla subito e di esaminare gli accessi storici. Suggerisce anche di rimuovere eventuali segreti, certificati o credenziali federate aggiunti da un aggressore e di cambiare le credenziali conservate nei Key Vault raggiungibili dalle applicazioni coinvolte. Per le identità applicative, indica di limitare i permessi a quelli necessari.
Per ricostruire l’attività, Microsoft consiglia di controllare i registri degli accessi delle identità applicative, Azure Activity, la diagnostica di Key Vault e Storage, gli audit di Entra e Azure DevOps e i registri unificati di Microsoft 365. Un comportamento da approfondire è un singolo indirizzo IP che tenta l’accesso a tre o più service principal con esiti misti: è un criterio di indagine, non una prova automatica di compromissione. Gli indirizzi e le impronte di rete possono cambiare, quindi l’analisi dei comportamenti e dei registri resta importante.
Microsoft avverte inoltre che i token già emessi restano validi fino alla scadenza anche dopo la rimozione delle credenziali. Revocare o ruotare un segreto, quindi, va accompagnato dal controllo dell’attività e dei token ancora in circolazione.
Il caso Claude Code riguarda un altro percorso
Un video in inglese di SavvyNik riassume un caso distinto, basato su una ricerca di Apiiro: comandi contenenti password o chiavi API sarebbero stati salvati nelle impostazioni JSON locali di Claude Code dopo l’uso dell’opzione “Don't Ask Again”, per poi finire in repository GitHub pubblici. Nel video, SavvyNik attribuisce ad Apiiro oltre 1.100 copie pubbliche del file con almeno un segreto e 2.539 segreti reali in circa 2.000 repository.
Quel meccanismo riguarda la pubblicazione di configurazioni locali; il rapporto Microsoft descrive invece la ricerca di credenziali già esposte e il loro successivo uso per accedere a servizi cloud.
