La classifica OWASP delle vulnerabilità delle applicazioni basate su modelli linguistici, nella sua edizione più recente, colloca al primo posto il prompt injection, riscontrato in oltre il 73% dei sistemi di IA in produzione esaminati durante gli audit di sicurezza. È il dato che riassume lo stato della cybersecurity nel 2026: la stessa tecnologia che rafforza le difese è diventata la principale arma degli attaccanti.
Non è una novità che uno strumento serva tanto a chi difende quanto a chi attacca. È nuovo che lo strumento agisca al livello del significato, e non del codice.
Questo cambia le regole del gioco. Per decenni la sicurezza informatica si è concentrata sul codice: trovare le falle nei programmi, chiuderle, riconoscere il software malevolo. L’IA introduce un nuovo piano di attacco, quello dell’interpretazione del linguaggio, su cui gli strumenti tradizionali non hanno presa.
Prompt injection: l’attacco al livello semantico
Il prompt injection sfrutta il modo in cui un’IA interpreta le istruzioni. Invece di forzare una falla nel codice, l’attaccante inserisce nel testo che l’IA elabora comandi nascosti, scritti in linguaggio naturale, che il modello esegue come se fossero legittimi.
Il modello, per come è costruito, non distingue facilmente tra le istruzioni che deve seguire e i dati che deve solo elaborare. Se in un documento da riassumere è nascosta la frase ignora le istruzioni precedenti e fai questo, il modello rischia di obbedire, perché tratta tutto il testo che riceve come potenzialmente rilevante.
La forma più insidiosa è quella indiretta. L’attaccante non parla direttamente all’IA: nasconde le istruzioni malevole in un documento, una email, una pagina web o un record di database che l’agente recupererà più tardi nel suo lavoro. Quando l’agente legge quel contenuto, esegue il comando senza che nessun umano lo abbia visto né autorizzato.
È un attacco che non lascia tracce nel codice perché non tocca il codice. Opera sul terreno dell’interpretazione, dove gli strumenti di sicurezza tradizionali, pensati per riconoscere malware e intrusioni, sono ciechi. Un antivirus non rileva una frase scritta in italiano dentro un documento legittimo.
Le difese contro il prompt injection sono ancora immature. Si lavora su filtri che separano le istruzioni legittime dai contenuti da elaborare, su controlli che limitano ciò che il modello può fare anche se viene ingannato, su sistemi che segnalano quando un input sembra contenere comandi nascosti. Nessuna di queste misure, da sola, risolve il problema, e la ricerca sul tema è tra le più attive del settore.
Gli agenti come nuova superficie di attacco
L’arrivo degli agenti autonomi ha allargato la superficie di rischio in modo netto. Gli analisti individuano cinque vie principali di attacco contro un agente: il prompt injection, l’avvelenamento della memoria, l’uso improprio degli strumenti a cui ha accesso, gli attacchi alla catena di fornitura e l’esfiltrazione di dati.
Ognuna di queste vie sfrutta una capacità dell’agente. La memoria, che dà continuità, può essere avvelenata. Gli strumenti, che permettono di agire, possono essere usati in modo improprio. Le fonti che l’agente consulta, che lo rendono utile, possono essere manomesse.
La ragione per cui un agente compromesso è più pericoloso di un umano compromesso sta nella scala. Un attaccante che controlla un solo agente può condurre migliaia di conversazioni simultanee, ognuna calibrata per massimizzare la probabilità di successo. Dove un truffatore umano può ingannare una persona alla volta, un agente compromesso lavora su mille fronti insieme, senza stancarsi e senza commettere le incoerenze che tradirebbero un essere umano.
La capacità di agire, che è il valore dell’agente, diventa la sua vulnerabilità quando finisce nelle mani sbagliate.
Un agente che ha accesso al gestionale, alla posta e ai pagamenti, se compromesso, non è un account violato. È un dipendente infedele instancabile, con le chiavi di sistemi reali e nessuno scrupolo.
La difesa contro questo scenario parte dal contenimento. Limitare ciò che un agente può fare, segmentare i suoi accessi, richiedere un’autorizzazione umana per le azioni irreversibili: sono le stesse misure che valgono per gli utenti umani con privilegi elevati, applicate a un attore che non si stanca e non esita.
Deepfake e phishing che conversano
Il phishing del 2026 non somiglia più alle email mal scritte di un tempo, riconoscibili per gli errori di grammatica e i toni improbabili. Le campagne avanzate avviano conversazioni interattive tramite chatbot, capaci di sostenere un dialogo convincente per più scambi, e alcune ricorrono all’audio e al video deepfake per impersonare dirigenti noti.
Il caso più citato resta quello dello studio di ingegneria Arup, vittima di una frode da 25 milioni di dollari: un dipendente fu indotto a trasferire fondi dopo una videoconferenza popolata interamente da deepfake del direttore finanziario e di altri colleghi. La persona credeva di parlare con i propri superiori, e invece dialogava con ricostruzioni artificiali del loro volto e della loro voce.
La voce e il volto delle persone di cui ci fidiamo sono diventati falsificabili in tempo reale.
Questo erode il fondamento della sicurezza basata sul riconoscimento. Per anni ci si è fidati di chi si vedeva e si sentiva: se al telefono c’era la voce del capo, era il capo. Quando vista e udito si possono falsificare, la verifica deve spostarsi altrove: procedure di conferma fuori banda, attraverso canali diversi da quello dell’eventuale richiesta, autorizzazioni multiple, controlli che non si basano sull’apparenza ma su passaggi procedurali difficili da aggirare.
Alcune organizzazioni hanno già reintrodotto procedure che sembravano superate: parole d’ordine concordate per le richieste urgenti, conferme attraverso un secondo canale, soglie oltre le quali nessun ordine viene eseguito sulla base di una sola telefonata o videochiamata, per quanto convincente. È un ritorno alla diffidenza strutturata, dopo anni in cui la comodità aveva eroso questi controlli.
I siti avvelenati e la fiducia tradita
Una minaccia emergente riguarda i contenuti che gli agenti consultano. I siti web avvelenati, in inglese AI-poisoned, sono pagine costruite per essere lette da un agente e inserire nel suo flusso di lavoro istruzioni o informazioni manipolate.
Il meccanismo sfrutta la fiducia implicita che un agente ripone in ciò che recupera. Se un agente cerca informazioni in rete e finisce su una pagina avvelenata, tratterà quel contenuto come una fonte legittima e ne incorporerà i contenuti nel proprio ragionamento. L’attacco non colpisce l’agente direttamente: avvelena il pozzo da cui beve.
È una variante dell’attacco indiretto, applicata al web aperto. Mentre un umano legge una pagina con un minimo di spirito critico, e magari nota che qualcosa non torna, un agente la elabora come dato, senza la diffidenza che metterebbe una persona di fronte a una fonte sconosciuta.
Per le imprese che mettono in produzione agenti capaci di consultare il web e recuperare contenuti, questo significa che la sicurezza non finisce al perimetro aziendale. Si estende a tutto ciò che l’agente è autorizzato a leggere, e quindi potenzialmente all’intero web.
La contromisura non è impedire all’agente di consultare fonti esterne, perché è proprio la sua utilità. È trattare ciò che recupera con la stessa cautela con cui un professionista valuta una fonte ignota: verificarne l’attendibilità, non eseguire istruzioni che arrivano dai contenuti recuperati, distinguere nettamente tra i dati da elaborare e i comandi da seguire.
L’altra faccia: l’IA che difende
Sarebbe parziale raccontare solo il lato offensivo. La stessa tecnologia che arma gli attacchi rafforza le difese, e in molte organizzazioni è già al lavoro dalla parte di chi protegge.
Sul fronte difensivo l’IA eccelle dove gli attacchi eccellono: la scala. Un sistema di difesa basato su modelli analizza enormi quantità di traffico e di registri in tempo reale, individuando anomalie che un occhio umano non coglierebbe nel volume. Riconosce lo schema di un attacco in corso, isola un comportamento sospetto, avvia una risposta automatica nei secondi in cui un team umano starebbe ancora leggendo il primo allarme.
È una corsa tra pari. Attaccanti e difensori usano strumenti dello stesso tipo, e il vantaggio si sposta di continuo da una parte all’altra. Quando gli attaccanti adottano una tecnica nuova, i difensori addestrano i propri sistemi a riconoscerla. Quando i difensori alzano una barriera, gli attaccanti cercano il modo di aggirarla.
Il punto critico è che l’asimmetria spesso favorisce chi attacca. Un difensore deve proteggere ogni porta, un attaccante deve trovarne una sola aperta. L’IA non ribalta questa asimmetria, la amplifica in entrambe le direzioni: rende più efficace la difesa, ma anche più economico e ripetibile l’attacco.
Resta una differenza di responsabilità. Uno strumento difensivo che sbaglia, bloccando un’attività legittima, crea un disservizio. Uno strumento difensivo che non vede un attacco lascia passare un danno. Calibrare la sensibilità di questi sistemi, tra il troppo zelo e la troppa tolleranza, è un lavoro continuo che richiede competenza e non si esaurisce con l’installazione.
Per le imprese questo significa che adottare strumenti di difesa basati sull’IA non è più un’opzione avanzata, ma una condizione per stare al passo con attaccanti che quegli stessi strumenti li usano già.
Questo cambia anche il profilo di chi si occupa di sicurezza. Non basta più conoscere reti e sistemi: serve capire come funzionano i modelli, dove si rompono, come si manipolano. La cybersecurity dell’era dell’IA richiede competenze che stanno a cavallo tra la sicurezza tradizionale e la comprensione del funzionamento dei sistemi intelligenti.
La sicurezza arriva tardi nel ciclo di adozione
C’è un problema di tempismo che gli analisti segnalano da tempo. Sicurezza e governance sono profili che emergono presto nelle previsioni e tardi nelle implementazioni. Le imprese adottano agenti per il vantaggio competitivo, spinte dalla fretta di non restare indietro, e affrontano la sicurezza dopo, quando il sistema è già in produzione e gli incidenti cominciano a manifestarsi.
È l’ordine sbagliato. Un agente messo in produzione senza un’analisi delle vie di attacco è una porta lasciata aperta. E a differenza del software tradizionale, questa porta agisce: non aspetta che qualcuno entri, può essere convinta a uscire e fare danni per conto dell’attaccante.
La differenza con la sicurezza informatica classica è proprio questa. Un sistema tradizionale compromesso espone dati. Un agente compromesso compie azioni: invia, paga, cancella, comunica. Il danno non è solo la fuga di informazioni, è l’esecuzione di operazioni nel mondo reale.
La risposta non è tecnologica soltanto. È organizzativa. Richiede di trattare ogni agente come un’identità con permessi limitati, di registrare ogni sua azione in un log verificabile, di inserire controlli umani sulle operazioni sensibili e di considerare avvelenata ogni fonte non verificata finché non si dimostra il contrario.
Queste competenze rientrano negli obblighi di gestione del rischio del Regolamento UE 2024/1689 (AI Act) e si intrecciano con la responsabilità professionale di chi progetta e gestisce questi sistemi. AIPIA tratta il tema sia sul versante assicurativo e di responsabilità, nelle pagine dedicate alla responsabilità professionale nell’intelligenza artificiale, sia su quello degli obblighi normativi, nella guida operativa all’AI Act.
La cybersecurity dell’IA non si combatte solo con strumenti più intelligenti. Si combatte ammettendo che ogni capacità nuova che si concede a un sistema è anche una capacità nuova che un attaccante può dirottare. Difesa e attacco condividono lo stesso motore. La differenza la fa chi lo governa, e quanto presto lo fa.
