RICERCA
Ottobre 2024: agenti LLM sotto test, cloud cifrato fragile, DDoS da misurare meglio
Ottobre 2024 porta i primi benchmark ampi sulla sicurezza degli agenti LLM: gli attacchi riescono spesso e le difese reggono poco. Sul fronte della crittografia applicata, quattro servizi di cloud cifrato su cinque mostrano gravi falle e i compilatori annullano le protezioni constant-time. Uno studio confronta i dati di industria e università sui DDoS e trova visioni divergenti.
Archivio: ricostruzione scritta a novembre 2026
1. Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
arXiv · Hanrong Zhang, Jingyuan Huang, Kai Mei, Yifei Yao et al. · Sicurezza di AI e LLM
In breve: Un benchmark ampio mostra che gli agenti LLM cedono a molti attacchi e che le difese attuali servono poco.
Agent Security Bench copre 10 scenari, tra cui finanza ed e-commerce, oltre 400 strumenti e 27 metodi di attacco e difesa, provati su 13 modelli. Prompt injection, avvelenamento della memoria e una nuova backdoor nella pianificazione colpiscono ogni fase dell'agente. Il tasso medio di successo più alto arriva all'84,3%, mentre le 11 difese provate hanno efficacia limitata.
Perché conta. Dà una misura comune del rischio degli agenti: utile per valutare chi li usa con accesso a strumenti, dati e memoria.
Leggi il paper · PDF · Codice
2. Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
arXiv · Donghyun Lee, Mo Tiwari · Sicurezza di AI e LLM
In breve: Nei sistemi multi-agente un prompt malevolo si replica da un agente all'altro, come un virus.
Finora la ricerca guardava ai singoli LLM. Prompt Infection mostra invece un'iniezione tra LLM: il prompt malevolo si auto-replica tra agenti collegati e si diffonde in silenzio, con furto di dati, truffe, disinformazione e blocchi. I sistemi testati risultano molto esposti anche quando gli agenti non condividono tutte le comunicazioni. La difesa LLM Tagging riduce molto la diffusione.
Perché conta. Un singolo contenuto malevolo può propagarsi in tutta l'automazione di un'azienda: è un rischio di tipo sistemico, non puntuale.
3. SecAlign: Defending Against Prompt Injection with Preference Optimization
ACM Conference on Computer and Communications Security · Sizhe Chen, Arman Serikuly Zharmagambetov, Saeed Mahloujifar, Kamalika Chaudhuri et al. · Sicurezza di AI e LLM
In breve: Addestrare il modello a preferire la risposta sicura riduce le prompt injection sotto il 10%.
SecAlign costruisce un dataset con input contenenti injection, risposte sicure che seguono l'istruzione legittima e risposte insicure che seguono quella iniettata, poi applica l'ottimizzazione delle preferenze. È il primo metodo noto che porta il successo di diverse prompt injection sotto il 10%, anche contro attacchi più sofisticati di quelli visti in addestramento, mantenendo un'utilità simile.
Perché conta. Mostra che la resistenza alla prompt injection si può migliorare nel modello stesso: un elemento da chiedere ai fornitori.
Leggi il paper · PDF · Codice
4. End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
ACM Conference on Computer and Communications Security · Jonas Hofmann, Kien Tuong Truong
In breve: Quattro servizi su cinque di cloud con cifratura end-to-end hanno gravi falle crittografiche.
Gli autori analizzano Sync, pCloud, Icedrive, Seafile e Tresorit, che insieme contano oltre 22 milioni di utenti, nell'ipotesi di un server malevolo. Quattro hanno vulnerabilità gravi: il server può inserire file nello spazio cifrato, alterarne i dati e in alcuni casi leggerne il contenuto. Molti attacchi colpiscono più servizi allo stesso modo, segno di errori di progettazione comuni.
Perché conta. La cifratura end-to-end dichiarata da un fornitore non basta come garanzia: le promesse commerciali non reggono sempre all'analisi.
5. Breaking Bad: How Compilers Break Constant-Time Implementations
arXiv · Moritz Schneider, Daniele Lain, Ivan Puddu, Nicolas Dutly et al. · Hardware e canali laterali
In breve: Le ottimizzazioni dei compilatori rompono le difese constant-time anche nelle librerie crittografiche più blindate.
Il codice constant-time evita operazioni che dipendono dai segreti per resistere agli attacchi a tempo, ma la protezione vale solo se sopravvive alla compilazione. Con un nuovo strumento, gli autori eseguono analisi dinamiche su 44.604 target e sei architetture, da x86-64 a RISC-V. Trovano operazioni dipendenti dai segreti introdotte dal compilatore in alcune delle librerie più rinomate.
Perché conta. La sicurezza dichiarata di una libreria dipende anche da come viene compilata: un anello spesso ignorato della catena.
6. The Age of DDoScovery: An Empirical Comparison of Industry and Academic DDoS Assessments
arXiv · Raphael Hiesgen, Marcin Nawrocki, Marinho Pilla Barcellos, Daniel Kopp et al. · Sicurezza di rete
In breve: Industria e università vedono tendenze diverse negli attacchi DDoS: dipende da fonti, punti di osservazione e metodi.
Uno studio congiunto analizza 24 report di settore del 2022 e dieci dataset industriali e accademici dal 2019 al 2023, sugli attacchi diretti e di riflessione-amplificazione. Un metodo nuovo condivide con le aziende una lista di bersagli da incrociare con i loro dati privati, rivelando i punti ciechi delle fonti accademiche. Le discrepanze dipendono da fonti, punti di vista, metodi e parametri.
Perché conta. Le statistiche DDoS usate per stimare frequenza e gravità non sono neutre: vanno lette sapendo da quale osservatorio provengono.
7. Characterizing the MrDeepFakes Sexual Deepfake Marketplace
arXiv · Catherine Han, Anne Li, Deepak Kumar, Zakir Durumeric · Policy, diritto e società
In breve: Il principale mercato di deepfake sessuali analizzato: regole poco applicate e nuove tattiche per procurarsi risorse.
Il paper descrive in modo sistematico MrDeepFakes, il mercato più noto per la compravendita di deepfake sessuali: economia, persone prese di mira e discussioni su come crearli. Emergono un'applicazione scarsa delle regole interne, come il limite ai soli personaggi famosi, motivazioni finora non documentate e tattiche nuove per procurarsi le risorse di calcolo.
Perché conta. Per le coperture reputazionali e di responsabilità, i deepfake sono un mercato organizzato, non un fenomeno marginale.
8. Persistent Pre-Training Poisoning of LLMs
arXiv · Yiming Zhang, Javier Rando, Ivan Evtimov, Jianfeng Chi et al.
In breve: Avvelenare lo 0,1% dei dati di pre-addestramento basta a lasciare effetti che sopravvivono al fine-tuning.
Gli LLM si addestrano su testo raccolto dal web, che un attaccante può avvelenare. Gli autori addestrano da zero modelli da 600 milioni a 7 miliardi di parametri con quattro obiettivi: blocco del servizio, manipolazione delle convinzioni, jailbreak e furto del prompt. Con lo 0,1% di dati avvelenati tre attacchi su quattro persistono dopo l'allineamento; il blocco del servizio basta lo 0,001%.
Perché conta. La provenienza dei dati di addestramento diventa un tema di rischio per chi integra modelli di terzi nei propri processi.
9. OT-PCA: New Key-Recovery Plaintext-Checking Oracle Based Side-Channel Attacks on HQC with Offline Templates
IACR Transactions on Cryptographic Hardware and Embedded Systems · Haiyue Dong, Qian Guo · Hardware e canali laterali
In breve: Un nuovo attacco side-channel su HQC recupera la chiave con molte meno interrogazioni del dispositivo.
OT-PCA usa il decodificatore pubblico di HQC per costruire modelli offline che estraggono informazioni su centinaia di posizioni segrete con una sola interrogazione. Le chiamate necessarie calano di 2,4 volte per hqc-128 e di più per i livelli superiori; se l'oracolo è preciso al 95% la riduzione arriva a 7,6. La validità pratica è confermata con l'analisi dei consumi su un Cortex-M4.
Perché conta. Anche gli schemi post-quantum candidati alla standardizzazione vanno protetti contro i canali laterali prima della diffusione.
10. Zero day ransomware detection with Pulse: Function classification with Transformer models and assembly language
Computers & Security · Matthew Gaber, Mohiuddin Ahmed, Helge Janicke · Malware e minacce
In breve: Un modello Transformer riconosce ransomware mai visti dal loro codice assembly.
Pulse usa le istruzioni assembly del ransomware catturate da Peekaboo, uno strumento che aggira le tecniche di evasione. Seguono la legge di Zipf come il linguaggio naturale: terreno adatto ai Transformer. Eliminando ogni funzione comune tra campioni di test e di addestramento, il modello deve riconoscere il comportamento malevolo solo dal contesto, con alta accuratezza.
Perché conta. Il rilevamento di ransomware nuovi prima della cifratura è il punto in cui un controllo riduce davvero il danno.
Le tendenze del mese
Sicurezza di AI e LLM
254 paper del mese su questo tema
Con 254 paper classificati, la sicurezza dell'AI è il tema più ampio del mese, quasi il doppio rispetto a settembre. Arrivano i primi strumenti di misura comuni, come Agent Security Bench, e i primi scenari sistemici, con prompt che si propagano tra agenti come un virus. Le difese più promettenti agiscono sull'addestramento del modello, ma l'avvelenamento dei dati di pre-addestramento mostra che il rischio può entrare già alla fonte.
Paper citati:
- Agent Security Bench (ASB): Formalizing and Benchmarking Attacks and Defenses in LLM-based Agents
- Prompt Infection: LLM-to-LLM Prompt Injection within Multi-Agent Systems
- SecAlign: Defending Against Prompt Injection with Preference Optimization
- Persistent Pre-Training Poisoning of LLMs
Crittografia
196 paper del mese su questo tema
Il filo comune della crittografia applicata è la distanza tra promessa e realtà. Servizi di cloud cifrato con milioni di utenti non resistono a un server malevolo, e le difese constant-time scritte con cura vengono annullate dal compilatore. In entrambi i casi l'algoritmo è solido, ma l'implementazione no. Per chi valuta un rischio, una dichiarazione di cifratura dice poco senza verifiche indipendenti.
Paper citati:
- End-to-End Encrypted Cloud Storage in the Wild: A Broken Ecosystem
- Breaking Bad: How Compilers Break Constant-Time Implementations
Crittografia post-quantistica
37 paper del mese su questo tema
Dopo ML-KEM e ML-DSA, l'attenzione si estende a HQC, lo schema basato su codici che il NIST ha poi scelto a marzo 2025 come secondo meccanismo di incapsulamento. Un attacco side-channel riduce di molto il lavoro per recuperarne la chiave su microcontrollore. La ricerca anticipa così le implementazioni: chi pianifica la migrazione può pretendere contromisure già dalle prime versioni.
Paper citati:
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1491.