Un'email che dà ordini al posto tuo
Cosa succede se un agente AI legge un'email e obbedisce alle istruzioni scritte dentro, invece di limitarsi a riassumerla? Succede che l'attaccante non ha bisogno di parlare con l'agente: gli basta lasciare il messaggio nei dati che l'agente prima o poi elaborerà. Un documento condiviso, un ticket di assistenza, una pagina web. Si chiama prompt injection indiretta, e ICT Security Magazine la indica come il vettore che oggi i SOC non stanno guardando. Il motivo è semplice: un modello linguistico non distingue tra le istruzioni di sistema, i dati legittimi e il testo ostile. Tutto quello che entra nel contesto ha lo stesso peso.
Non è teoria: gli attacchi ci sono già
A giugno 2025 Microsoft ha corretto EchoLeak (CVE-2025-32711, CVSS 9.3), descritto come il primo exploit zero-click contro un agente AI in produzione. Bastava una mail: Copilot ne recuperava il contenuto tramite RAG, le istruzioni nascoste si attivavano e i dati uscivano tramite link in markdown che aggiravano le policy di sicurezza. Secondo Checkmarx finivano fuori chiavi API, documenti riservati, cronologie delle chat, file SharePoint.
Non è un caso isolato. A novembre 2025 su ServiceNow Now Assist sono comparsi attacchi cross-agente: un utente con pochi privilegi scrive istruzioni in un ticket, un agente con privilegi più alti lo elabora, i controlli d'accesso saltano. GitHub Copilot ha avuto una falla (CVE-2025-53773) che portava all'esecuzione di codice modificando un file di configurazione. CrowdStrike parla di circa 90 organizzazioni colpite da attacchi di questo tipo nel corso dell'anno, incluse campagne statali che hanno automatizzato gran parte del lavoro di spionaggio.
Perché il SOC non se ne accorge
Un agente autorizzato ad accedere a SharePoint che porta dati fuori genera traffico legittimo, verso domini Microsoft affidabili, con le sue credenziali. Il SIEM e l'EDR non vedono nulla di strano perché formalmente l'agente sta facendo il suo lavoro. Un agente che esegue codice diecimila volte di fila sembra normale. I numeri dicono il resto: per Cisco l'83% delle aziende sta adottando sistemi ad agenti, ma solo il 29% si sente pronto a difenderli. E con il RAG poisoning bastano cinque documenti costruiti bene per arrivare al 90% di efficacia.
Cosa si può fare
La patch non esiste: OpenAI stessa a dicembre 2025 ha ammesso che la prompt injection, come lo spam e il social engineering, difficilmente sarà mai «risolta» del tutto. Restano le contromisure. Privilegio minimo: accesso a cartelle ed etichette specifiche, non a interi sistemi. Separazione tra il contesto fidato e i contenuti esterni, così il modello sa da dove arriva ogni pezzo di testo. Logging di ogni prompt, risposta, tool call e documento recuperato. Una baseline comportamentale per ogni agente: quali endpoint contatta, che volumi muove, a che ora lavora. Documenti-esca che nessuno dovrebbe mai aprire, con un allarme se qualcuno lo fa. E approvazione umana per le azioni che pesano: mail verso l'esterno, modifica di record, spostamento di file. L'EU AI Act, in vigore dal 2 agosto 2026, chiede già sistemi resilienti contro le alterazioni non autorizzate: conviene arrivarci preparati.
💬 Il mio commento
Il punto che rende questa storia diversa dal solito allarme è che non c'è una vulnerabilità da applicare in patch: c'è un modo di funzionare. Un agente AI mette sullo stesso piano le istruzioni che gli dai tu e il testo che trova dentro un'email o un documento, e finché è così ogni dato che elabora è anche un potenziale canale di comando. Le contromisure elencate nell'articolo — privilegio minimo davvero stretto, separazione fra contesto fidato e contenuti esterni, log di ogni tool call, approvazione umana sulle azioni che pesano — non sono un di più da aggiungere in un secondo momento: sono il perimetro.
Il guaio ricorrente, nelle aziende con cui lavoro, è che gli agenti vengono agganciati a posta, file e ticket con un unico account di servizio e pochi limiti, perché "così parte subito". Si ottiene un utente non umano con molti privilegi e nessuno che ne osservi il comportamento. Prima di allargare quello che un agente può fare conviene mappare quali sistemi tocca, che volumi muove e con quali credenziali: è un lavoro tedioso, ma è ciò che permette di accorgersi quando qualcosa esce dai binari. L'EU AI Act, in vigore da inizio agosto, lo mette già nero su bianco: arrivarci con log e limiti al loro posto costa meno che rincorrere dopo.