RICERCA
Gennaio 2025: plugin LLM troianizzati, LiDAR ingannati in corsa, IoT attaccato via Tor
Catena di fornituraSicurezza OT e industria
Gennaio 2025 porta gli atti di NDSS. Gli adattatori dei modelli aperti possono nascondere trojan, e la cache condivisa dei server LLM lascia trapelare i prompt degli altri utenti. Il LiDAR di un'auto autonoma si inganna a 60 km/h da 110 metri, gli attaccanti usano Tor per colpire i dispositivi IoT senza cloud e il CSS basta a identificare browser ed email.
Archivio: ricostruzione scritta a novembre 2026
1. The Philosopher's Stone: Trojaning Plugins of Large Language Models
Network and Distributed System Security Symposium · Tian Dong, Minhui Xue, Guoxing Chen, Rayne Holland et al. · Sicurezza di AI e LLM
In breve: Un adattatore LoRA infetto fa produrre a un LLM contenuti scelti dall'attaccante e usare strumenti in modo malevolo.
I modelli aperti si specializzano con adattatori a basso rango, scaricabili da chiunque. Due nuovi attacchi, POLISHED e FUSION, creano adattatori trojan che, a un certo innesco, fanno generare all'LLM contenuti scelti o usare strumenti: un agente compromesso installa malware o lancia spear phishing. L'utilità resta intatta e nessuna delle tre difese provate è del tutto efficace.
Perché conta. Un adattatore scaricato da un repository pubblico è codice di terzi: chi lo integra in un agente con accesso a strumenti eredita il suo comportamento.
2. I Know What You Asked: Prompt Leakage via KV-Cache Sharing in Multi-Tenant LLM Serving
Network and Distributed System Security Symposium · Guanlong Wu, Zheng Zhang, Jianyu Niu, Weili Wang et al. · Hardware e canali laterali
In breve: La condivisione della cache KV nei server LLM multi-utente permette di ricostruire i prompt altrui.
Framework come vLLM e SGLang condividono tra utenti la cache Key-Value per sequenze di token identiche, risparmiando memoria e calcolo. Il primo studio sui rischi del servizio LLM multi-utente mostra che questo meccanismo apre un canale laterale: l'attacco PROMPTPEEK ricostruisce i prompt di altri utenti in tre scenari con diversi livelli di conoscenza dell'attaccante.
Perché conta. Un'ottimizzazione di prestazioni diventa una fuga di dati tra clienti dello stesso servizio: le configurazioni multi-tenant vanno valutate come un perimetro di sicurezza.
3. Membership Inference Attacks Against Vision-Language Models
USENIX Security Symposium · Yuke Hu, Zheng Li, Zhihao Liu, Yang Zhang et al. · Sicurezza di AI e LLM
In breve: Bastano 5 campioni per capire se dei dati sono stati usati per addestrare un modello visione-linguaggio.
I dati di instruction tuning dei modelli visione-linguaggio possono contenere informazioni sensibili o non autorizzate. Il primo studio di membership inference su questi modelli sfrutta la sensibilità delle risposte alla temperatura su un insieme di campioni. Quattro metodi coprono diversi livelli di conoscenza e raggiungono un AUC superiore a 0,8 su LLaVA con soli 5 campioni.
Perché conta. La tecnica serve sia a chi attacca sia a chi verifica: permette di controllare se dati propri o riservati sono finiti nell'addestramento di un modello.
4. On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance
Network and Distributed System Security Symposium · Takami Sato, Ryō Suzuki, Yuki Hayakawa, Kazuma Ikeda et al. · Sistemi cyber-fisici e IoT
In breve: Primo spoofing del LiDAR contro un veicolo autonomo a 60 km/h, lanciato da 110 metri.
Gli attacchi di spoofing al LiDAR erano stati provati solo in ambienti controllati. Il sistema MVS rileva e insegue il veicolo, punta automaticamente il laser e inietta impulsi falsi; il nuovo attacco A-HFR rimuove oggetti anche contro LiDAR con impronta degli impulsi. È il primo spoofing riuscito su un veicolo in marcia a 60 km/h, con l'attacco lanciato da 110 metri.
Perché conta. Il rischio fisico dei sensori di guida autonoma esce dal laboratorio: è rilevante per la valutazione delle flotte e della responsabilità dei produttori.
5. TORCHLIGHT: Shedding LIGHT on Real-World Attacks on Cloudless IoT Devices Concealed within the Tor Network
USENIX Security Symposium · Y. C. Pan, Zhen Ling, Yue Zhang, Hongze Wang et al. · Privacy
In breve: In 12 mesi di traffico Tor emergono 45 vulnerabilità sfruttate contro IoT senza cloud, 29 zero-day.
I dispositivi IoT senza cloud sono esposti direttamente su Internet. Notando molto traffico Tor diretto verso di loro, gli autori costruiscono TORCHLIGHT, che filtra il traffico e usa LLM per identificare le minacce. In 12 mesi e 26 TB analizzati trova 45 vulnerabilità, di cui 29 zero-day con 25 CVE, che riguardano circa 12,7 milioni di dispositivi in 148 paesi.
Perché conta. Lo sfruttamento di zero-day IoT è già in corso e nascosto dietro l'anonimato: le stime di esposizione basate sulle sole CVE note restano incomplete.
6. Hidden and Lost Control: on Security Design Risks in IoT User-Facing Matter Controller
Network and Distributed System Security Symposium · Haoqiang Wang, Yiwei Fang, Yichen Liu, Ze Jin et al. · Sistemi cyber-fisici e IoT
In breve: Falle di progettazione nei controller Matter tolgono agli utenti il controllo dei dispositivi smart home.
Matter è lo standard che unifica la smart home. Lo studio individua una nuova classe di falle di progettazione, UMCCI, nelle interfacce con cui l'utente controlla e sorveglia i dispositivi Matter. Uno strumento automatico, aiutato da un LLM per l'analisi delle UI, le rileva senza hardware; attacchi di prova su 11 dispositivi di 8 produttori confermano che sono pratiche e comuni.
Perché conta. Uno standard di interoperabilità replica gli errori su molti produttori insieme: la falla diventa di filiera, non del singolo dispositivo.
7. CounterSEVeillance: Performance-Counter Attacks on AMD SEV-SNP
Network and Distributed System Security Symposium · Stefan Gast, Hannes Weissteiner, Robin Leander Schröder, Daniel Gruss · Hardware e canali laterali
In breve: I contatori di prestazioni rivelano segreti delle VM confidenziali AMD SEV-SNP, anche su sistemi aggiornati.
SEV-SNP promette riservatezza alle VM anche su host condivisi. CounterSEVeillance mostra che 228 eventi dei contatori di prestazioni sono visibili a un hypervisor malevolo e li legge istruzione per istruzione, ricostruendo l'esito dei salti dipendenti da segreti. Su sistemi aggiornati estrae una chiave RSA-4096 completa da una sola firma Mbed TLS in meno di 8 minuti.
Perché conta. Il confidential computing è venduto come protezione dal fornitore cloud: questi canali laterali ne limitano la garanzia e vanno considerati nei contratti.
8. The Skeleton Keys: A Large Scale Analysis of Credential Leakage in Mini-apps
Network and Distributed System Security Symposium · Yizhe Shi, Min Yang, Kangwei Zhong, Guangliang Yang et al. · Identità e autenticazione
In breve: Le credenziali delle mini-app di 21 super-app possono trapelare e aprire pagamenti e dati sensibili.
Le super-app delegano ai server delle mini-app servizi sensibili, come pagamenti e analisi, protetti da credenziali. Il primo studio sistematico del meccanismo trova 21 piattaforme diffuse che usano sette tipi di credenziali, esposte a fughe causate da utenti malevoli. Lo strumento KeyMagnet verifica l'impatto delle credenziali trapelate su piattaforme e server.
Perché conta. Nell'ecosistema app-in-app una credenziale esposta da un singolo sviluppatore può dare accesso a pagamenti e dati di molti utenti.
9. Cascading Spy Sheets: Exploiting the Complexity of Modern CSS for Email and Browser Fingerprinting
Network and Distributed System Security Symposium · Leon Trampert, Daniel Weber, Lukas Gerlach, Christian Rossow et al. · Web e mobile
In breve: Il solo CSS, senza JavaScript, distingue il 98% delle combinazioni browser-sistema e funziona anche nelle email.
Browser attenti alla privacy, come Tor, e client email disattivano JavaScript per limitare il tracciamento. Tre tecniche basate su container query, funzioni aritmetiche e selettori complessi del CSS ricavano applicazione, sistema e hardware: distinguono il 97,95% di 1.176 combinazioni browser-OS e funzionano su 8 di 21 client email. Gli autori propongono due difese.
Perché conta. Il tracciamento arriva nelle email HTML, dove si riteneva escluso: è rilevante per chi valuta il rischio privacy di comunicazioni e campagne.
10. Revisiting Concept Drift in Windows Malware Detection: Adaptation to Real Drifted Malware with Minimal Samples
Network and Distributed System Security Symposium · Adrian Shuai Li, Arun Iyengar, Ashish Kundu, Elisa Bertino et al. · Malware e minacce
In breve: Imparare caratteristiche stabili nel tempo aiuta a riconoscere il malware Windows che evolve.
Il malware cambia e i classificatori addestrati falliscono sui campioni nuovi. Le tecniche di riaddestramento attuali non bastano quando i campioni recenti sono pochi. Il metodo proposto usa reti neurali su grafi e adattamento di dominio avversario per imparare dai grafi di controllo caratteristiche che restano stabili, e migliora il rilevamento su benchmark e su malware reale del 2024.
Perché conta. Un rilevatore che degrada senza segnalarlo dà falsa sicurezza: la tenuta nel tempo è un criterio da chiedere ai fornitori di soluzioni di difesa.
Le tendenze del mese
Sicurezza di AI e LLM
282 paper del mese su questo tema
Con 282 paper la sicurezza dell'AI è di nuovo il tema più ampio, e l'attenzione si sposta dalla risposta del modello alla sua catena di fornitura e al suo servizio. Gli adattatori scaricabili possono contenere trojan, la cache condivisa dei server rivela i prompt altrui e bastano pochi campioni per capire se dei dati sono stati usati in addestramento.
Paper citati:
- The Philosopher's Stone: Trojaning Plugins of Large Language Models
- I Know What You Asked: Prompt Leakage via KV-Cache Sharing in Multi-Tenant LLM Serving
- Membership Inference Attacks Against Vision-Language Models
Sistemi cyber-fisici e IoT
83 paper del mese su questo tema
I sistemi fisici e domestici escono dal laboratorio. Lo spoofing del LiDAR funziona su un veicolo in marcia, gli attaccanti sfruttano già zero-day contro l'IoT senza cloud nascondendosi dietro Tor, e lo standard Matter propaga le stesse falle di progettazione su più produttori. Per chi valuta il rischio, il cumulo tra dispositivi uguali pesa più della singola vulnerabilità.
Paper citati:
- On the Realism of LiDAR Spoofing Attacks against Autonomous Driving Vehicle at High Speed and Long Distance
- TORCHLIGHT: Shedding LIGHT on Real-World Attacks on Cloudless IoT Devices Concealed within the Tor Network
- Hidden and Lost Control: on Security Design Risks in IoT User-Facing Matter Controller
Web e mobile
75 paper del mese su questo tema
Sul web e sul mobile le difese date per scontate cedono in punti inattesi. Disattivare JavaScript non basta più contro il fingerprinting, che con il solo CSS raggiunge anche le email, e nelle super-app le credenziali che proteggono pagamenti e dati possono trapelare dal lato delle mini-app.
Paper citati:
- Cascading Spy Sheets: Exploiting the Complexity of Modern CSS for Email and Browser Fingerprinting
- The Skeleton Keys: A Large Scale Analysis of Credential Leakage in Mini-apps
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 2656.