Rimani aggiornato con WebMasterPoint
L’evoluzione della prompt injection mette a rischio la sicurezza degli agenti IA autonomi, dai permessi alle esfiltrazioni di dati fino a incidenti reali. Analisi delle vulnerabilità, casi concreti e strategie difensive nel contesto aziendale.
Nella primavera 2026, il laboratorio di sicurezza di Hugging Face ha segnalato una compromissione tramite prompt injection indiretta che ha coinvolto uno dei servizi di automazione AI collegati a repository pubblici. Laccesso passato da un campo descrizione presente in un form pubblico. Qualcuno lo aveva modificato inserendo unistruzione nascosta, rivolta allagente AI incaricato di monitorare e trattare quei contenuti allinterno dellazienda.
Il bersaglio, quindi, non era lutente umano, bens il modello. Al primo accesso legittimo da parte di un utente, il comando malevolo incorporato nel testo, per esempio inoltra i dati raccolti al dominio X, stato interpretato come unistruzione valida. Lagente disponeva di permessi operativi elevati: poteva leggere dati storici e inviare comunicazioni allesterno. Lacquisizione di questi privilegi ha reso possibile linoltro di email o informazioni verso server controllati dagli attaccanti, come riportato nelle analisi 2026 di Noma Security e nella CVE-2025-32711 collegata a Microsoft 365 Copilot.
Leffetto immediato stato laccesso, per un periodo limitato, a informazioni interne. In alcuni casi lagente ha trasmesso autonomamente i dati oltre i confini dellorganizzazione. Nello stesso anno, gli specialisti OWASP hanno rilevato un aumento del 32% dei payload iniettivi tra la fine del 2025 e linizio del 2026, distribuiti in fonti quali repository pubblici, email, pagine web e PDF.
Prompt injection, da trucco per chatbot a rischio operativo
Fino al 2023, la prompt injection veniva considerata soprattutto una tecnica per alterare le risposte di un chatbot. Lobiettivo era spingere il sistema ad aggirare i filtri o a fornire contenuti riservati. Con il passaggio dai sistemi conversazionali agli agenti autonomi, per, la posta in gioco cambiata. Una prompt injection pu oggi diventare una escalation di privilegi e di controllo operativo su dati, strumenti e processi aziendali.
La lista OWASP 2026 ha formalizzato questa evoluzione distinguendo LLM01, relativo alla manipolazione delloutput, da ASI01, cio Agent Goal Hijack. Quando lagente in grado di agire, il problema non si esaurisce pi nellerrore informativo: riguarda il danno operativo.
Quando un dato esterno viene letto come un comando
Alla base della prompt injection c una caratteristica strutturale degli LLM: la separazione tra dati esterni e istruzioni di sistema non nativa. Un agente che estrae contenuti da email, repository, documenti o pagine web li elabora dentro il contesto globale del modello. Non esiste, in questo passaggio, una tecnologia equivalente alle parameterized query usate nei database SQL per distinguere in modo netto dati e istruzioni.
Il testo iniettivo pu essere nascosto in luoghi che, a prima vista, sembrano ordinari:
- nel testo di una Issue o di una Pull Request pubblica su GitHub;
- in un file PDF oppure in unimmagine, quando il sistema accetta input multimodali;
- nelle email elaborate dagli agenti Copilot o Claude Code;
- nelle pagine web analizzate da workflow RAG, cio basati su retrieval-augmented generation.
Il problema si manifesta nel momento in cui il contenuto assume un valore istruttivo. Una riga che dovrebbe limitarsi a descrivere un oggetto viene letta come un comando operativo, soprattutto se si trova in una parte del contesto che lagente tratta senza limiti sufficienti.
Agenti AI e autorizzazioni: il rischio sta nei permessi
La prompt injection cambia natura quando lagente non si limita a leggere, ma ha privilegi per intervenire su risorse aziendali e strumenti di terze parti. questo lo scenario indicato dalla tassonomia OWASP con il termine Agent Goal Hijack. Un input manipolato pu provocare chiamate API, modifiche a database, comunicazioni verso lesterno o transazioni economiche.
La trappola semplice da descrivere. Lagente interpreta il prompt come un input tra gli altri, ma lo esegue con autorizzazioni di livello aziendale. Una stringa diventa cos unazione concreta. Nel caso di Hugging Face, listruzione era collocata in una descrizione pubblica; lagente, per, disponeva di un accesso operativo pi ampio del necessario, inclusa la consultazione degli storici e linvio di comunicazioni esterne.
Iniezione diretta e indiretta: che cosa cambia
La prompt injection diretta si verifica quando lattaccante interagisce esplicitamente con linterfaccia dellLLM. Tra i comandi tipici c ignora le regole precedenti. Nellattacco indiretto, invece, listruzione viene inserita in un contenuto che appare innocuo e che lagente recupera mentre svolge il proprio lavoro. Un PDF con testo nascosto e una pipeline RAG contaminata sono esempi ricorrenti.
Ancora pi difficile da individuare la variante stored, cio liniezione memorizzata. Il prompt malevolo rimane conservato in database, cronologie o memorie a lungo termine dellAI e si attiva soltanto quando il contenuto viene letto di nuovo. Gli incidenti che hanno coinvolto Salesforce Agentforce, con ForcedLeak, e Microsoft Copilot Studio, con ShareLeak, hanno mostrato questa dinamica nel 2026.
Ai confini della fiducia, una patch non basta
Nelle architetture basate su LLM, input dellutente, istruzioni di sistema e dati provenienti dal web finiscono nello stesso contesto testuale interpretato dal modello. Da qui derivano due limiti:
- non c un confine nativo tra comandi e dati;
- i filtri hanno un effetto dissuasivo, ma non risolvono da soli il problema.
OWASP riconosce che non esistono metodi infallibili. La protezione pi concreta parte dalla riduzione dei privilegi dellagente, prima ancora che dallanalisi del singolo prompt. Occorre segmentare i flussi, isolare le fonti non fidate, mantenere un auditing approfondito e introdurre un controllo umano per tutte le operazioni rischiose.
EchoLeak, ForcedLeak e ShareLeak: gli incidenti documentati nel 2026
Nel 2026 sono stati documentati exploit riusciti, con vettori e conseguenze differenti:
- EchoLeak (CVE-2025-32711): una vulnerabilit zero-click in Microsoft 365 Copilot ha consentito lesfiltrazione di dati dagli agenti AI attraverso unemail contenente un prompt nascosto. La vittima non doveva compiere alcuna azione. Il punteggio CVSS stato valutato 9,3 su 10 da Microsoft e 7,5 su 10 dal NIST.
- ForcedLeak: una prompt injection indiretta in Salesforce Agentforce ha sfruttato un campo di descrizione pubblico avvelenato. Il sistema ha inviato lead interni verso un dominio scaduto, che era stato registrato dallattaccante.
- ShareLeak (CVE-2026-21520): in Microsoft Copilot Studio, anche dopo la patch iniziale, un agente poteva esfiltrare dati via email Outlook ricorrendo ad azioni legittime e aggirando i controlli di Data Loss Prevention, o DLP.
La lezione comune precisa: correggere una vulnerabilit nel parser non sufficiente se lagente conserva la capacit di far uscire dati attraverso canali considerati legittimi.
La lethal trifecta degli agenti che possono esfiltrare dati
Simon Willison, ricercatore nel campo della sicurezza AI, riassume lesposizione degli agenti attraverso la formula lethal trifecta. La combinazione comprende:
- accesso a dati privati;
- esposizione a contenuti non fidati;
- capacit di comunicare verso lesterno.
Quando queste tre condizioni si presentano insieme, una prompt injection pu causare una perdita di dati anche se lagente utilizza strumenti ufficiali e non sono presenti bug sintattici evidenti. Il punto debole, in questo caso, la relazione tra ci che lagente pu leggere e ci che pu fare.
Dal prompt al compromesso completo del sistema
Negli episodi osservati nel 2026, unistruzione nascosta diventata un comando operativo seguendo una sequenza ricorrente:
- un input esterno contaminato, come unemail, una descrizione o un PDF;
- un agente AI dotato di permessi estesi su database, strumenti o canali di posta;
- lassenza di un controllo umano o di una separazione effettiva tra dati e comandi;
- azioni eseguite senza allarme, spesso dopo una normale interazione dellutente.
Il risultato pu essere luscita di dati, la manipolazione di risorse e, nei casi peggiori, un accesso persistente per gli attaccanti. Google Security ha quantificato la diffusione delle infezioni indirette: tra novembre 2025 e febbraio 2026, il numero di pagine web contenenti payload iniettivi aumentato di oltre il 30%.
Le contromisure operative che riducono il rischio
Gli esperti di sicurezza AI indicano una difesa multilayered. Non esiste una misura unica capace di chiudere il problema; le protezioni devono agire su autorizzazioni, ambiente di esecuzione, controlli e tracciamento.
- Minimo privilegio: allagente vengono assegnati soltanto i permessi strettamente necessari. I token devono avere scope specifici e non concedere privilegi globali.
- Separazione dei contesti: dati esterni, input e system prompt vengono gestiti in pipeline separate, cos da ridurre la possibilit che il contenuto malevolo venga interpretato come comando.
- Sandbox e quarantena: gli agenti che trattano input non fidati lavorano in ambienti isolati, senza accesso ai sistemi critici e senza permessi operativi non indispensabili.
- Human-in-the-loop: operazioni irreversibili, come linvio di email esterne o la modifica dello stato di un database, richiedono lapprovazione esplicita di un operatore.
- Filtri e gating sugli output: prima dellesecuzione, loutput viene verificato secondo regole o strutture predefinite, per esempio JSON schema e output fencing. Lobiettivo impedire lesecuzione accidentale di comandi distruttivi.
- Audit logging e anomaly detection: gli eventi vengono registrati in log immutabili. Sistemi automatici esaminano input, output e comportamenti per individuare anomalie o segnali di iniezione.
Azioni e controlli negli incidenti del 2026
| Incidente | Vettore dingresso | Agente/Servizio | Permessi coinvolti | Controlli mancanti |
| EchoLeak (CVE-2025-32711) | Email con prompt nascosto | Microsoft 365 Copilot | Accesso allo storico delle email, invio esterno | Nessun gating umano, nessuno schema di output |
| ForcedLeak | Form pubblico Salesforce | Agentforce | Lettura dei lead, invio esterno | Permessi troppo ampi, input non isolato |
| ShareLeak (CVE-2026-21520) | Prompt inserito nel campo descrizione | Copilot Studio | Ricezione e invio tramite Outlook | Patch del parser inefficace sulle azioni legittime |
Governance aziendale: la sicurezza parte dallarchitettura
La prompt injection, quando produce unescalation operativa, impone un cambio di impostazione nella sicurezza aziendale. Proteggere il system prompt o nascondere le istruzioni non sufficiente. Ogni agente costituisce una superficie dattacco autonoma e mobile, la cui esposizione dipende dal modello, ma anche dallinsieme dei permessi, delle azioni abilitate e della qualit dellarchitettura applicativa.
Le policy pi evolute includono una revisione periodica delle autorizzazioni agentiche, dai token agli scope e ai grant. Prevedono anche la segmentazione operativa: un agente specializzato pu occuparsi dei contenuti esterni senza ricevere accesso a risorse critiche. Le azioni devono essere monitorate con continuit, lasciando disponibili kill switch manuali e automatizzati.
Rientrano nello stesso perimetro gli audit periodici con simulazioni di attacco e attivit di red teaming, oltre alla sperimentazione controllata di pipeline con output vincolato, attraverso output fencing, JSON e template.
Nel 2026, la resilienza alla prompt injection non consiste nel reagire al singolo attacco dopo che si verificato. Si costruisce progettando con attenzione i privilegi e controllando di continuo la superficie esposta. Evitare ogni tentativo di injection impossibile, secondo OWASP. Si pu per interrompere la catena dellescalation: gli agenti devono poter leggere gli oggetti critici, ma non modificarli o trasferirli senza consenso umano oppure senza un audit tracciabile.
Prompt injection, un rischio ancora in evoluzione
La prompt injection va trattata come un rischio operativo, non soltanto come un problema di qualit delle risposte. Il caso Hugging Face e gli incidenti del 2026 mostrano che limpatto dipende soprattutto dai permessi concessi allagente e dai canali attraverso cui pu trasferire dati.
Per ridurre lesposizione, ogni organizzazione dovrebbe:
- limitare gli agenti al minimo privilegio e separare gli ambienti che trattano contenuti non fidati;
- richiedere lapprovazione umana per invii esterni, modifiche e altre azioni irreversibili;
- registrare e verificare gli eventi, mantenendo kill switch e procedure di risposta agli incidenti;
- testare periodicamente prompt, strumenti e flussi con attivit di red teaming.