Phantom squatting: quando l'AI inventa domini e gli attaccanti li registrano

Gli assistenti di coding e gli agenti AI, interrogati su link di documentazione o endpoint API, restituiscono con naturalezza URL che non esistono. Il problema nasce quando qualcuno registra quei domini inventati prima che vengano usati in buona fede. Unit 42 lo chiama phantom squatting — e per chi adotta l'AI agentica è una nuova voce di rischio nella supply chain del software.

Il fenomeno in una riga

Il phantom squatting è l'evoluzione, dal mondo dei pacchetti software (il cosiddetto slopsquatting, i nomi di pacchetto allucinati) all'infrastruttura web, dello sfruttamento delle allucinazioni dei modelli linguistici. Un LLM interrogato sui portali, le API o le risorse di un brand può generare domini fittizi e plausibili; gli attaccanti li registrano preventivamente e aspettano che un sistema AI vi indirizzi qualcuno.

La ricerca — pubblicata il 30 giugno 2026 dal team Unit 42 di Palo Alto Networks — ha analizzato 913 brand globali con oltre 685.000 query, generando 2,1 milioni di URL. Di questi, 13.229 sono stati confermati malevoli e circa 250.000 domini allucinati risultano ancora non registrati: infrastruttura di attacco "pronta all'uso", in attesa di qualcuno che la occupi.

Perché le difese tradizionali non intercettano l'attacco

Il filtraggio degli URL e la threat intelligence classica si basano su un presupposto: l'infrastruttura malevola ha una reputazione rilevabile — una storia, un punteggio, una presenza nelle blocklist. I domini fantasma sfruttano esattamente il buco opposto, quello che Unit 42 chiama bypass a reputazione zero:

• nessuno storico di threat intelligence,
• nessun punteggio di reputazione consolidato,
• nessuna voce in blocklist,
• un dominio appena registrato, indistinguibile da un nuovo dominio legittimo.

Quando la threat intelligence si aggiorna, le vittime sono già state indirizzate al sito dell'attaccante — non da una email di phishing, ma da un sistema AI di cui si fidano.

Il vero bersaglio sono gli agenti autonomi

Qui sta il punto che riguarda direttamente chi sta introducendo automazione basata su AI. L'impatto più grave del phantom squatting non colpisce l'utente umano, ma l'agente autonomo.

Un umano che riceve un link di phishing deve comunque fare qualcosa: inserire credenziali, scaricare un file. Un agente che recupera un URL generato da un modello e ne elabora la risposta può invece, senza alcun punto di decisione umano:

• esfiltrare segreti,
• eseguire istruzioni malevole,
• propagare dipendenze compromesse lungo la pipeline di build,
• operare a velocità macchina.

Il Global Incident Response Report 2026 di Unit 42 parla di una "crisi identità-velocità" in cui la finestra tra accesso iniziale ed esfiltrazione si comprime a meno di un'ora. Applicata agli agenti AI, significa che un singolo endpoint allucinato può diventare un incidente prima che chiunque se ne accorga.

Un rischio strutturale, non un bug

L'aspetto più scomodo della ricerca è la sua conclusione: il phantom squatting non è correggibile alla radice. I modelli addestrati su testi scritti da esseri umani allucinano domini plausibili perché è nella natura del loro funzionamento linguistico. La superficie di attacco cresce con ogni nuovo modello rilasciato e con la diffusione delle capacità agentiche.

Lo dimostra un dettaglio dei case study Unit 42: modelli AI diversi allucinano lo stesso dominio falso, e attori di minaccia indipendenti lo registrano — convergenza che conferma quanto il fenomeno sia strutturale e non casuale. Nel caso del kit di phishing "Montana Empire", gli attaccanti hanno colpito un dominio allucinato 23 giorni dopo che la pipeline di monitoraggio lo aveva previsto; in un altro caso, un APK malevolo distribuito su un dominio phantom è arrivato 51 giorni dopo la previsione.

La buona notizia: l'allucinazione è prevedibile

Lo stesso meccanismo che rende il rischio ineliminabile offre però il vantaggio difensivo: gli LLM allucinano in modo coerente e prevedibile. Si può quindi mappare in anticipo la "superficie di allucinazione" di un brand e costruire una watchlist dei domini phantom prima che gli avversari li registrino. Unit 42 misura una Finestra di Sfruttamento Avversario (AEW) di 18–51 giorni: il tempo di vantaggio, concreto, che separa la previsione dall'attacco.

Cosa significa per la governance del rischio AI

Il phantom squatting è un promemoria che gli LLM, quando alimentano flussi di lavoro reali, diventano a tutti gli effetti una dipendenza della supply chain — e come tale vanno governati. Alcune misure concrete, indipendenti dal singolo fornitore:

1. Trattare gli output degli LLM come input non fidati. Un URL, un endpoint o un nome di pacchetto suggerito da un modello va verificato prima dell'uso, esattamente come non si esegue codice arbitrario da fonte sconosciuta.
2. Allowlist per gli agenti autonomi. Gli agenti che effettuano fetch o chiamate API dovrebbero poter raggiungere solo domini esplicitamente approvati, non qualsiasi URL prodotto da un modello.
3. Human-in-the-loop sulle azioni irreversibili. Registrazione di dipendenze, download di artefatti, chiamate verso domini di recente registrazione: sono i punti in cui inserire un controllo prima dell'esecuzione automatica.
4. Monitoraggio dei domini di recente registrazione (NRD). Integrare nelle policy di sicurezza il segnale "dominio nato da pochi giorni", particolarmente critico quando l'URL proviene da un sistema AI.
5. Mappatura proattiva della superficie di allucinazione per i propri brand e domini, per anticipare la registrazione avversaria sfruttando l'AEW.

In sintesi

Il phantom squatting non richiede né malware sofisticato né social engineering: sfrutta la fiducia che riponiamo negli output dei sistemi AI. È una vulnerabilità architetturale degli LLM, non un difetto temporaneo — e cresce insieme all'adozione dell'AI agentica. La domanda che chiude la ricerca Unit 42 vale anche come principio di governance: agiranno prima i difensori o gli avversari? Per le organizzazioni che stanno integrando l'AI nei propri processi, la risposta passa da controlli espliciti sugli output dei modelli, oggi, non dopo il primo incidente.

Fonti

• Unit 42, Palo Alto Networks — "Phantom Squatting: AI-Hallucinated Domains as a Software Supply Chain Vector" (30 giugno 2026)