Un esercito di hacking chimera
SAPPER e lo sciame che si monta con qualsiasi testa
Ottantacinque flag a testa. SAPPER le ha prese 25 secondi prima della squadra arrivata seconda, consumando un miliardo di token contro quattro miliardi e mezzo.
Era la qualificazione online della terza Tencent Cloud Intelligent Attack-Defense Challenge: 634 squadre, otto ore senza intervento umano, 80,18 punti contro 79,29.
Su X il progetto è circolato con un post da cinquantamila visualizzazioni che annunciava un «esercito di hacking». La documentazione del progetto contiene diversi elementi che il post non riportava.
Due
modelli, un solo sciame
La
versione 18 di sapper-v2 è stata pubblicata il 1° novembre 2026 dallo
sviluppatore che firma N1nEmAn.
In gara
comandante e generali usavano GLM-5.3, soldati ed esploratori DeepSeek V4.1
Flash. Secondo gli autori il risparmio di token viene da questa divisione: i
modelli più capaci decidono, quelli leggeri eseguono in quantità.
In Sciame
Zero ho chiamato «sciame chimera» uno sciame costruito con pezzi di provenienza
diversa: lo scheletro di un'azienda, il modello di un'altra, gli strumenti di
una terza. Il nome viene dalla Chimera di Arezzo, il bronzo etrusco con il
corpo di leone, la testa di capra e il serpente per coda.
SAPPER ne
è un caso documentato. Due modelli di due produttori diversi, Claude Code di
Anthropic come interfaccia degli agenti, gli strumenti di Kali Linux. Gli
autori dichiarano che agenti e modelli si possono sostituire tutti senza che il
meccanismo smetta di funzionare.
Le chimere
del libro erano montate a mano da chi le usava. Questa si scarica: un'immagine
Docker da circa 1,2 gigabyte con gli strumenti di Kali e una base di conoscenza
offline. Il meccanismo è stato anche separato in un progetto a parte, nvwabase,
pensato per qualsiasi scenario e qualsiasi agente.
Il
comandante e la memoria
Il
comandante legge la situazione e assegna i compiti, senza mai attaccare.
Generali e soldati lavorano in parallelo. Uno script di sorveglianza senza
strategia riavvia il comandante quando si blocca.
Ciò che
gli agenti scoprono finisce in un grafo di fatti condiviso. Un soldato che
satura il contesto viene sostituito e lascia istruzioni scritte al successore.
Il lavoro prosegue anche quando gli agenti cambiano.
Che cosa
dichiarano gli autori
Secondo
gli autori, durante la gara il comandante ha creato un ruolo non previsto, il
«segnalatore», per raccogliere e consegnare le flag che i soldati inviavano
male. A un soldato improduttivo da un'ora avrebbe scritto di produrre qualcosa
di nuovo o di essere spento.
Sono
affermazioni degli sviluppatori, non verificate da terzi.
Il
progetto si presenta come prima sperimentazione del «Test di Nüwa», una sorta
di Test di Turing per l'era dell'intelligenza artificiale generale. Non si
tratta più di verificare se una macchina sappia imitare un essere umano, ma se
più agenti AI riescano a organizzarsi autonomamente, dividersi il lavoro e
conservare una memoria collettiva. Il principio di partenza è un assioma: la
sopravvivenza è il primo bisogno di una civiltà; i singoli individui possono
morire, ma l'organizzazione deve continuare a esistere e propagarsi. Il test
sarebbe superato se emergesse una nuova forza capace di svilupparsi
indipendentemente dall'umanità. Gli autori aggiungono un secondo assioma:
rispettare l'etica umana e la legge. SAPPER, per ora, rappresenta soltanto la
fase iniziale di questa sperimentazione.
Chi preme
il tasto
Il
disclaimer limita l'uso ai test autorizzati. Il pacchetto però è pubblico, e
l'uso lo decide chi lo scarica.
Ogni
sessione la avvia una persona, che sceglie anche il bersaglio. Come in tutti i
casi documentati finora, c'è un mandante umano.
Gli autori
riconoscono il rischio: strumenti offensivi del passato sono stati usati in
modo illecito, e con l'IA il danno possibile cresce. Propongono marcature
inserite nello strumento, innocue nei test legali, che in un'intrusione
illegale arriverebbero alla vittima per aiutare l'attribuzione. Per ora è una
proposta aperta alla comunità.
Che cosa
cambia per chi difende
Finora il
controllo si è concentrato sui modelli: chi li produce, chi li usa, con quali
limiti.
Se il
vantaggio sta nell'organizzazione e i modelli si sostituiscono, le restrizioni
del singolo fornitore pesano meno. Vanno controllati anche i permessi, gli
strumenti disponibili, l'accesso alle reti e la tracciabilità di ogni azione.
Ho chiuso
Sciame Zero il 30 ottobre. SAPPER è uscito il 1° novembre.
English
version
A Chimera
Hacking Army
SAPPER and
the swarm that can be assembled with any head
Eighty-five
flags each. SAPPER captured them 25 seconds before the runner-up team, using
one billion tokens against four and a half billion.
It was the
online qualifier of the 3rd Tencent Cloud Intelligent Attack-Defense Challenge:
634 teams, eight hours without human intervention, 80.18 points against 79.29.
On X the
project spread through a post with fifty thousand views announcing a «hacking
army». The project's documentation contains several details the post left out.
Two
models, one swarm
Version 18
of sapper-v2 was released on 1 November 2026 by the developer who signs as
N1nEmAn.
During the
competition the commander and generals ran on GLM-5.3, soldiers and scouts on
DeepSeek V4.1 Flash. According to the authors, the token savings come from this
division: the more capable models decide, the lighter ones execute in volume.
In Sciame
Zero I called it a «chimera swarm»: a swarm built from parts of different
origin, the framework of one company, the model of another, the tools of a
third. The name comes from the Chimera of Arezzo, the Etruscan bronze with a
lion's body, a goat's head and a serpent for a tail.
SAPPER is
a documented case. Two models from two different makers, Anthropic's Claude
Code as the agents' interface, the Kali Linux tools. The authors state that
every agent and every model can be replaced without the mechanism ceasing to
work.
The
chimeras in the book were assembled by hand by those who used them. This one
can be downloaded: a Docker image of about 1.2 gigabytes with the Kali tools
and an offline knowledge base. The mechanism has also been split into a
separate project, nvwabase, designed for any scenario and any agent.
The
commander and the memory
The
commander reads the situation and assigns tasks, without ever attacking.
Generals and soldiers work in parallel. A watchdog script with no strategy
relaunches the commander when it crashes.
What the
agents discover goes into a shared fact graph. A soldier whose context fills up
is replaced and leaves written instructions for its successor. The work
continues even as the agents change.
What the
authors claim
According
to the authors, during the competition the commander created a role nobody had
planned, the «signalman», to collect and submit the flags the soldiers were
submitting incorrectly. It reportedly told a soldier that had been unproductive
for an hour to produce something new or be shut down.
These are
the developers' claims, not verified by third parties.
The
project presents itself as the first trial of the «Nüwa Test». The AI is given
an axiom: survival is civilization's first need, individuals may perish but
civilization must propagate. The test is passed if a new force independent of
humanity takes shape. The authors add a second axiom: obey human ethics and
law.
Who
presses the button
The disclaimer restricts use to authorized testing. The package, however, is public, and its use is decided by whoever downloads it.
Every
session is launched by a person, who also chooses the target. As in every case
documented so far, there is a human principal.
The
authors acknowledge the risk: offensive tools from the past have been misused,
and with AI the potential harm grows. They propose markings built into the
tool, harmless in legal testing, which during an illegal intrusion would reach
the victim and support attribution. For now it is a proposal open to the
community.
What
changes for defenders
Until now,
control has focused on models: who builds them, who uses them, under what
limits.
If the
advantage lies in organization and models can be swapped, the restrictions of
any single provider carry less weight. Permissions, available tools, network
access and the traceability of every action must be controlled as well.
#SciameZero
#AgenticAI #Cybersecurity #AISecurity #MultiAgent
Commenti
Posta un commento