Il phishing non cerca più di ingannare solo le persone. Con la diffusione di agenti basati sull’intelligenza artificiale capaci di navigare il web, confrontare fonti e persino eseguire transazioni, è nata una nuova frontiera degli attacchi: l’indirect prompt injection. Non serve più cliccare un link sospetto o aprire un allegato. Basta che l’AI legga una pagina apparentemente innocua, ma costruita per manipolarla.
Come funziona l’attacco
Nell’indirect prompt injection, il contenuto malevolo non viene inserito direttamente dall’utente, ma è nascosto all’interno di una risorsa che l’AI è programmata per esaminare. Può essere testo invisibile, commenti HTML, metadati o prompt camuffati in articoli, PDF, recensioni. Quando l’agente AI accede a quella fonte, interpreta le istruzioni come legittime e le esegue. Ad esempio, un assistente virtuale che riassume una mail fraudolenta potrebbe essere indotto a inoltrare dati sensibili o a modificare impostazioni senza il consenso umano.
Perché è più pericoloso del phishing tradizionale
Nel phishing classico, l’anello debole è l’utente: basta un momento di distrazione. Qui il bersaglio è un software che non ha dubbi né sospetti: segue semplicemente le regole del suo modello linguistico. Se l’AI ha accesso a sistemi aziendali, database o strumenti di pagamento, un comando nascosto può causare fughe di dati, acquisti fraudolenti o l’esecuzione di codice. Inoltre, non ci sono segnali tipici come errori grammaticali o indirizzi sospetti: il contenuto può sembrare del tutto normale a un umano.
Scenari concreti già in circolazione
Ricerche e test pratici mostrano come un agente di procurement, incaricato di acquistare forniture, possa essere reindirizzato verso siti falsi o prodotti compromessi dopo aver letto un catalogo online manipolato. Oppure, un chatbot di assistenza clienti potrebbe rivelare dati interni dopo aver “studiato” una pagina web trappola. Le campagne malevole iniziano a sfruttare queste tecniche, prendendo di mira organizzazioni che adottano agenti autonomi senza adeguate protezioni.
Come difendersi: strategie per le aziende
Proteggersi richiede un approccio a più livelli. Innanzitutto, limitare i permessi degli agenti: un’AI non dovrebbe mai avere accesso illimitato ai sistemi critici. Poi, è fondamentale filtrare e sanitizzare i contenuti in ingresso, rimuovendo prompt nascosti o riconoscendo pattern sospetti. L’uso di modelli che separano le istruzioni dai dati (instruction/data separation) riduce la superficie di attacco. Infine, il monitoraggio continuo dei log e delle azioni eseguite dagli agenti aiuta a rilevare anomalie.
Cosa significa per chi legge
La sicurezza informatica deve evolversi con l’AI. Ecco tre punti chiave:
- Rivedere i processi di automazione: se la tua organizzazione usa agenti AI, verifica quali dati e strumenti sono accessibili e limita i privilegi al minimo indispensabile.
- Formare i team tecnici: sviluppatori e security manager devono conoscere i rischi della prompt injection indiretta e integrare controlli specifici nelle pipeline di sviluppo.
- Non fidarsi ciecamente dell’AI: anche i modelli più avanzati possono essere manipolati: mantieni sempre la supervisione umana per le azioni critiche e prepara piani di risposta agli incidenti.