Estensioni e strumenti AI sui PC aziendali: i rischi e come gestirli

Il problema: un clic, e lavora con i vostri permessi

Un'estensione del browser, un plugin dell'editor o un connettore per l'assistente AI si installano in pochi secondi, spesso senza passare da nessuno. Da quel momento lavorano con gli stessi permessi dell'utente: leggono le pagine aperte, le sessioni attive, i file, a volte la posta. E si aggiornano da soli.

Il 30 ottobre abbiamo raccontato il caso dell'estensione Claude Code manomessa, che per 11 ore ha installato una backdoor sui PC di chi la usava in Cursor. Non è un episodio isolato: negli ultimi due anni lo stesso schema si è ripetuto con estensioni da centinaia di migliaia o milioni di utenti, e con gli strumenti AI il danno possibile è cresciuto.

Otto casi in due anni

Abbiamo scelto casi documentati da fonti verificabili, dal più recente. I numeri sono quelli dichiarati dalle fonti citate.

Cosa hanno in comune

Dietro casi così diversi si ripetono quattro schemi. Conoscerli serve a capire perché le regole del paragrafo successivo sono fatte così.

• Lo strumento fidato che cambia. Urban VPN, Cyberhaven, Nx e Claude Code erano strumenti veri, installati da tempo. È bastato un aggiornamento automatico per trasformarli. Recensioni e badge dello store non proteggono: Urban VPN aveva entrambi.
• L'account dello sviluppatore rubato. Cyberhaven con un'email di phishing, LiteLLM con credenziali di pubblicazione sottratte: chi controlla l'account pubblica a nome dell'autore originale, e gli aggiornamenti arrivano a tutti.
• L'imitazione credibile. Il connettore postmark-mcp portava il nome di un servizio di posta noto, ma il produttore vero non l'aveva mai pubblicato: chi lo installava non aveva motivo di dubitarne.
• L'AI che allarga il danno. Un agente AI può leggere file, eseguire comandi e mandare email. Nel caso Nx il malware ha usato proprio gli assistenti installati per cercare i segreti; nel caso Amazon Q le istruzioni dannose erano scritte per l'agente stesso.

Perché riguarda anche chi non sviluppa software

La maggior parte dei casi riguarda strumenti per sviluppatori, ma il problema è di tutti. Su quasi ogni PC aziendale c'è un browser con qualche estensione installata dall'utente: traduttori, blocco pubblicità, VPN gratuite, assistenti AI. Ognuna vede le pagine del gestionale, della banca, della posta web.

Con l'AI il perimetro si allarga ancora. Le conversazioni con gli assistenti contengono spesso dati di clienti, contratti, preventivi: il caso Urban VPN mostra che un'estensione può raccoglierle senza che l'utente se ne accorga. E i connettori che danno all'AI accesso a posta, documenti e calendario sono, a tutti gli effetti, software con le chiavi di casa.

Infine le sessioni aperte. Nel caso Cyberhaven l'obiettivo erano gli account pubblicitari: chi gestisce campagne o pagamenti dal browser è un bersaglio anche senza scrivere una riga di codice.

Cosa fare in azienda

Non serve vietare tutto. Serve sapere cosa è installato, decidere cosa è ammesso e limitare quello che uno strumento compromesso può raggiungere.

1. 01

   Fate l'inventario

   Quali estensioni ci sono nei browser e negli editor, quali assistenti AI e connettori usano le persone, con quali account. Spesso è la prima volta che qualcuno lo guarda.

2. 02

   Passate a una lista di estensioni ammesse

   Con la console di Google è possibile bloccare tutte le estensioni tranne quelle approvate, lasciando agli utenti la possibilità di chiederne di nuove, e bloccare quelle che chiedono permessi delicati come l'accesso ai cookie (Google). VS Code, dalla versione 1.96, ha un'impostazione analoga distribuibile ai PC aziendali (Microsoft).

3. 03

   Togliete agli utenti il consenso libero alle app

   Il caso Cyberhaven è partito da un'autorizzazione concessa a un'app malevola. In Microsoft 365 si può far passare ogni richiesta da un amministratore con il flusso di approvazione di Entra ID (Microsoft).

4. 04

   Date regole chiare sugli strumenti AI

   Account aziendali e non personali, dati di clienti solo negli strumenti approvati, connettori installati solo dal sito del produttore. Agli agenti AI non si danno modalità che saltano le conferme sulle macchine con dati o accessi importanti.

5. 05

   Separate gli accessi

   Chi amministra server o sviluppa lavora con account distinti per le operazioni delicate. Chiavi e token con scadenza e permessi minimi, non file di configurazione dimenticati sul disco: se un PC viene compromesso, il danno resta limitato.

6. 06

   Controllate gli aggiornamenti dove contano

   Sulle macchine con accesso a produzione, a pagamenti o a dati sanitari conviene bloccare le versioni degli strumenti critici e aggiornarle dopo qualche giorno, quando eventuali problemi sono già emersi.

7. 07

   Preparate la risposta

   Sapere in anticipo chi isola il PC, chi ruota le credenziali da una macchina pulita e quando si reinstalla fa la differenza tra un incidente di ore e uno di settimane.

Le regole in una pagina, per chi lavora

Per i dipendenti le regole devono stare in poche righe. Un punto di partenza:

• Si installano solo le estensioni della lista aziendale; per una nuova si chiede, non si cerca un'alternativa.
• Niente VPN, traduttori o «assistenti» gratuiti nel browser di lavoro: sono la categoria più abusata.
• Dati di clienti e pazienti solo negli strumenti AI approvati, con l'account aziendale.
• Una finestra che chiede di autorizzare un'app ad accedere a posta, file o calendario si segnala all'IT prima di accettare.
• Un'email che dice che il vostro account o la vostra estensione viola le regole e chiede di accedere da un link va trattata come phishing.

Come lavoriamo

In Cloudfactory gestiamo server, postazioni, posta e account per aziende, studi professionali e strutture sanitarie. Quando impostiamo o rivediamo una rete partiamo dall'inventario di quello che è installato, configuriamo browser e consensi dalla console e separiamo gli accessi amministrativi da quelli di tutti i giorni.

Se volete sapere quali estensioni e strumenti AI girano sui vostri PC e come metterli sotto controllo senza fermare il lavoro, scriveteci.

Come abbiamo scritto questo articolo

In Cloudfactory usiamo l'intelligenza artificiale anche nel lavoro editoriale: ci aiuta a cercare e incrociare le fonti, a confrontare i dati, a impostare la struttura e a rifinire la lingua. Il sistema che usiamo è configurato da noi, con istruzioni, esempi e procedure costruiti sul nostro modo di scrivere. Il nostro team ha controllato ogni fonte, corretto il testo e approvato la versione pubblicata. Le valutazioni e le scelte sono di Cloudfactory, e ne rispondiamo noi.

Domande frequenti

Fonti

1. Cloudfactory, Backdoor nell'estensione Claude Code (30 ottobre 2026)
2. Comet, LiteLLM Supply Chain Attack
3. Malwarebytes, Chrome extension slurps up AI chats
4. BleepingComputer, Self-spreading GlassWorm malware hits OpenVSX, VS Code registries
5. The Hacker News, First malicious MCP server found
6. StepSecurity, Nx build system package compromised
7. BleepingComputer, Amazon AI coding agent hacked to inject data wiping commands
8. Reco, Cyberhaven supply chain attack
9. Google, Allow or block apps and extensions
10. Microsoft, Manage extensions in enterprise environments (VS Code)
11. Microsoft, Configure the admin consent workflow