RICERCA
Settembre 2024: agenti web manipolabili, vishing automatico, post-quantum sotto attacco
Settembre 2024 segna il passaggio della sicurezza dell'AI dai modelli agli agenti: pagine web che rubano dati personali agli agenti e una difesa basata sui flussi. L'ingegneria sociale si automatizza con chiamate gestite da un LLM, mentre uno studio sul campo ridimensiona la formazione anti-phishing. Sul post-quantum, attacchi a iniezione di guasti colpiscono ML-KEM e ML-DSA su microcontrollori.
Archivio: ricostruzione scritta a novembre 2026
1. EIA: Environmental Injection Attack on Generalist Web Agents for Privacy Leakage
arXiv · Zeyi Liao, Lingbo Mo, Chejian Xu, Mintong Kang et al. · Sicurezza di AI e LLM
In breve: Contenuti nascosti in un sito ingannano gli agenti web e sottraggono i dati personali degli utenti.
Il paper studia i rischi per la privacy degli agenti web generalisti su siti compromessi. L'attacco EIA inserisce nella pagina contenuti adattati all'ambiente in cui l'agente opera. Su 177 passaggi reali con dati personali, ruba dati specifici fino al 70% delle volte e l'intera richiesta dell'utente nel 16%. È difficile da rilevare e un prompt di sistema difensivo non basta.
Perché conta. Un agente che prenota o compila moduli per conto dell'utente diventa un canale di fuga dei dati: basta che visiti una pagina manipolata.
2. System-Level Defense against Indirect Prompt Injection Attacks: An Information Flow Control Perspective
arXiv · Fangzhou Wu, Ethan Cecchetti, Chaowei Xiao · Metodi formali
In breve: Una difesa di sistema contro la prompt injection indiretta, basata sul controllo dei flussi di informazione.
Nei sistemi LLM l'output di ogni passaggio alimenta il successivo: un input malevolo da qualsiasi fonte può dirottare l'esecuzione. Il sistema "f-secure" genera piani strutturati ed eseguibili e un monitor tiene gli input non fidati fuori dalla pianificazione. Modelli formali e benchmark mostrano protezione robusta senza perdere funzionalità ed efficienza. Il codice è pubblico.
Perché conta. Sposta la difesa dal filtro dei prompt all'architettura: è il tipo di controllo da cercare negli agenti che toccano dati o pagamenti.
Leggi il paper · PDF · Codice
3. The Early Bird Catches the Leak: Unveiling Timing Side Channels in LLM Serving Systems
IEEE Transactions on Information Forensics and Security · Linke Song, Zixuan Pang, Wenhao Wang, Zihao Wang et al. · Sicurezza di sistemi e software
In breve: Le cache dei servizi LLM condivisi lasciano trapelare, dai tempi di risposta, i prompt di sistema e quelli di altri utenti.
Gli autori scoprono nuovi canali laterali temporali nei servizi LLM multiutente, dovuti a cache condivise e memoria GPU. Misurando i tempi e classificando i cache hit su KV cache e cache semantica, un attaccante deduce i prompt privati con alta precisione. Un algoritmo token per token ricostruisce i prefissi condivisi. I test black-box su servizi online diffusi confermano il rischio.
Perché conta. Le ottimizzazioni di prestazione dei fornitori di LLM diventano un rischio di riservatezza per i clienti che condividono l'infrastruttura.
4. Models Are Codes: Towards Measuring Malicious Code Poisoning Attacks on Pre-trained Model Hubs
arXiv · Jian Zhao, Shenao Wang, Yanjie Zhao, Xinyi Hou et al. · Supply chain del software
In breve: Primo studio sistematico del codice malevolo nascosto in modelli e dataset di Hugging Face.
I modelli pre-addestrati sono anche codice: alcuni formati lo eseguono al caricamento. Il paper classifica i formati vulnerabili e propone MalHug, che unisce deserializzazione, analisi del flusso dei dati e pattern euristici. In tre mesi su un mirror interno di una grande fintech ha esaminato più di 705.000 modelli e 176.000 dataset e trovato 91 modelli e 9 script di caricamento malevoli.
Perché conta. Scaricare un modello da un hub pubblico equivale a eseguire codice di terzi: è un nuovo anello della catena di fornitura software.
5. DarkGram: A Large-Scale Analysis of Cybercriminal Activity Channels on Telegram
USENIX Security Symposium · Sayak Saha Roy, Elham Pourabbas Vafa, Kobra Khanmohammadi, Shirin Nilizadeh · Sicurezza di sistemi e software
In breve: 339 canali Telegram del crimine informatico, seguiti da 23,8 milioni di utenti, analizzati su larga scala.
DarkGram, un classificatore basato su BERT con il 96% di accuratezza, analizza 53.605 post pubblicati tra febbraio e maggio 2024. Circolano credenziali compromesse, malware, exploit kit e truffe, spesso gratis per attirare clienti paganti. I canali colpiscono anche i propri iscritti: il 28,1% dei link è phishing e il 38% degli eseguibili contiene malware. Dopo la chiusura migrano rapidamente.
Perché conta. Mostra quanto sia facile e redditizio il mercato di credenziali e strumenti d'attacco, e quanto siano poco efficaci le chiusure dei canali.
6. On the Feasibility of Fully AI-automated Vishing Attacks
arXiv · João Figueiredo, Afonso Carvalho, Daniel Castro, Daniel Gonçalves et al. · Sicurezza di sistemi e software
In breve: Un sistema di vishing interamente automatico, guidato da un LLM, convince molte persone a rivelare dati sensibili.
ViKing combina un LLM con sintesi e riconoscimento vocale, tutto con tecnologia pubblica, per condurre chiamate fraudolente. In un esperimento controllato con 240 partecipanti ha convinto molti a rivelare informazioni sensibili, anche tra chi era stato avvisato esplicitamente del rischio. Le conversazioni sono state giudicate in genere realistiche.
Perché conta. Il costo di una campagna di frode telefonica crolla: più tentativi di furto di credenziali e di frode sui pagamenti, a parità di attaccanti.
7. Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training
ACM Conference on Computer and Communications Security · Daniele Lain, Tarek Jost, Siniša Matetić, Kari Kostiainen et al.
In breve: La formazione anti-phishing integrata funziona come promemoria, non per i contenuti, che quasi nessuno legge.
Uno studio su larga scala sui dipendenti di un'azienda partner scompone la formazione inviata a chi cade in una simulazione di phishing. L'effetto viene dal richiamo periodico della minaccia, non dal materiale formativo, poco consultato per mancanza di tempo e utilità percepita. Rinviare la formazione è efficace quanto la prassi attuale e i premi non migliorano i risultati.
Perché conta. Dare peso alla sola presenza di un programma di formazione dice poco: contano frequenza delle simulazioni e risultati misurati.
8. Mind the Faulty Keccak: A Practical Fault Injection Attack Scheme Apply to All Phases of ML-KEM and ML-DSA
IACR Cryptology ePrint Archive · Yuxuan Wang, Jintong Yu, Shipei Qu, Xiaolin Zhang et al. · Crittografia post-quantistica
In breve: Guasti indotti su Keccak permettono di recuperare chiavi e falsificare firme in ML-KEM e ML-DSA.
Keccak è l'hash usato da ML-KEM e ML-DSA per derivare informazioni sensibili. Interrompendo i suoi cicli con l'iniezione di guasti, gli autori costruiscono sei attacchi a ML-KEM e cinque a ML-DSA: recupero della chiave, falsificazione delle firme e aggiramento della verifica, in tutte le fasi. Su Cortex-M0+, M3, M4 e M33, con strumenti economici, il guasto riesce nell'89,5% dei casi.
Perché conta. La migrazione post-quantum su dispositivi embedded richiede contromisure fisiche, non solo l'adozione degli standard NIST.
9. The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach
arXiv · Giacomo Benedetti, Serena Cofano, Alessandro Brighente, Mauro Conti · Supply chain del software
In breve: Gli SBOM generati dagli strumenti attuali sono spesso incompleti e fanno sfuggire vulnerabilità note nei progetti Python.
Lo SBOM, l'elenco dei componenti di un software, dovrebbe rendere trasparente la catena di fornitura. Il paper analizza per primo come gli errori dei generatori di SBOM riducano la capacità degli strumenti a valle di trovare vulnerabilità. Le cause stanno soprattutto nell'identificazione dei componenti e delle dipendenze; la proposta, PIP-sbom, è più accurata dei migliori strumenti.
Perché conta. Uno SBOM non è una garanzia in sé: la sua qualità decide se le vulnerabilità dei componenti vengono davvero viste.
10. You Might Have Known It Earlier: Analyzing the Role of Underground Forums in Threat Intelligence
Research in Attacks, Intrusions and Defenses · Tommaso Paladini, Lara Ferro, Mario Polino, Stefano Zanero et al. · Malware e minacce
In breve: In vent'anni i forum underground hanno anticipato i report di sicurezza per oltre il 60% delle minacce, ma il vantaggio si riduce.
Gli autori analizzano 88 milioni di post di forum di hacker e 75.000 articoli in vent'anni, confrontando le date delle entità estratte. Le discussioni nei forum precedono i report ufficiali per oltre il 60% delle entità. Dal 2012 però l'anticipo cala costantemente, forse per la maggiore sorveglianza o il passaggio ad altri canali, mentre nei forum continuano a circolare malware nuovi.
Perché conta. La threat intelligence deve seguire gli attori dove si spostano, per esempio sui canali di messaggistica, per dare un preavviso utile.
Le tendenze del mese
Sicurezza di AI e LLM
134 paper del mese su questo tema
La sicurezza dell'AI è già uno dei temi più frequenti del mese. Il baricentro si sposta dai modelli isolati ai sistemi che li circondano: agenti web che agiscono sui siti, pipeline che concatenano passaggi, infrastrutture condivise tra clienti. Gli attacchi sfruttano l'ambiente, cioè pagine manipolate e cache comuni, più che il modello in sé. Per chi assicura, la domanda utile riguarda come un'azienda usa gli agenti e con quali permessi, non solo quale modello adotta.
Paper citati:
- EIA: Environmental Injection Attack on Generalist Web Agents for Privacy Leakage
- System-Level Defense against Indirect Prompt Injection Attacks: An Information Flow Control Perspective
- The Early Bird Catches the Leak: Unveiling Timing Side Channels in LLM Serving Systems
Fattore umano
27 paper del mese su questo tema
Due lavori guardano al fattore umano da lati opposti. Da una parte l'attacco: chiamate fraudolente condotte da un LLM convincono anche persone avvisate del rischio. Dall'altra la difesa: la formazione anti-phishing integrata funziona come promemoria periodico più che come insegnamento. Insieme indicano che l'ingegneria sociale diventa più economica e scalabile, mentre i controlli basati sulla consapevolezza hanno limiti misurabili. Restano decisivi i controlli di processo, come la doppia verifica dei pagamenti.
Paper citati:
- On the Feasibility of Fully AI-automated Vishing Attacks
- Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training
Crittografia post-quantistica
27 paper del mese su questo tema
Ad agosto 2024 il NIST ha pubblicato gli standard ML-KEM e ML-DSA, e a settembre la ricerca si concentra già sulle loro implementazioni. Gli attacchi a iniezione di guasti su Keccak, l'hash usato da entrambi gli schemi, mostrano che su microcontrollori economici si possono recuperare chiavi e falsificare firme. La lezione per la migrazione è che la scelta dell'algoritmo è solo il primo passo: la protezione fisica dei dispositivi pesa quanto lo standard.
Paper citati:
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1213.