RICERCA
Febbraio 2025: agenti LLM con backdoor cifrate, booter che rinascono, chiavi Dilithium
Febbraio 2025 è dominato dagli agenti LLM: backdoor cifrate che sfuggono agli audit, una difesa contro l'iniezione indiretta di prompt, motori di ricerca AI che citano siti malevoli e un agente che compromette da solo una rete Active Directory. Fuori dall'AI, il sequestro globale dei servizi DDoS a pagamento ha effetti brevi e la firma post-quantum Dilithium cede a un canale laterale.
Archivio: ricostruzione scritta a novembre 2026
1. DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
arXiv · Pengyu Zhu, Zhenhong Zhou, Yuanhe Zhang, Shilinlu Yan et al. · Sicurezza di AI e LLM
In breve: Backdoor cifrate e frammentate negli agenti LLM raggiungono quasi il 100% di successo con rilevamento nullo.
Le backdoor negli agenti LLM si possono impiantare tramite le richieste degli utenti o il feedback dell'ambiente, ma gli audit sul ragionamento tendono a scoprirle. DemonAgent cifra dinamicamente la backdoor in contenuto innocuo e la divide in più frammenti. Su più dataset, incluso il nuovo AgentBackdoorEval, il successo si avvicina al 100% con un tasso di rilevamento dello 0%.
Perché conta. Gli audit del ragionamento non bastano a certificare un agente: chi lo adotta resta esposto a comportamenti nascosti difficili da provare dopo un incidente.
Leggi il paper · PDF · Codice
2. MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
arXiv · Kaijie Zhu, Xianjun Yang, Jindong Wang, Wenbo Guo et al. · Sicurezza di AI e LLM
In breve: MELON riconosce l'iniezione indiretta di prompt rieseguendo l'agente con la richiesta dell'utente mascherata.
Negli agenti LLM, istruzioni malevole nascoste nei dati letti dagli strumenti possono dirottare le azioni. MELON parte da un'osservazione: se l'attacco riesce, l'azione successiva dipende più dal compito malevolo che da quello dell'utente. Riesegue quindi la traiettoria con la richiesta mascherata e segnala l'attacco se le azioni coincidono. Su AgentDojo supera le difese esistenti.
Perché conta. Una difesa che non richiede riaddestramento e conserva l'utilità è più facile da adottare per chi integra agenti con accesso a email, documenti o pagamenti.
Leggi il paper · PDF · Codice
3. Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
USENIX Security Symposium · Zeren Luo, Zifan Peng, Yule Liu, Zhen Sun et al. · Sicurezza di AI e LLM
In breve: Sette motori di ricerca basati su LLM in produzione citano spesso siti malevoli anche con domande innocue.
Prima misura del rischio su sette motori di ricerca AI in produzione, con dati da PhishTank, ThreatBook e LevelBlue. Le risposte includono spesso URL malevoli anche con parole chiave innocue, e interrogare direttamente un URL aumenta il rischio. Due casi reali mostrano che si ingannano facilmente. Una difesa ad agenti riduce il rischio perdendo circa il 10,7% di informazioni.
Perché conta. Le risposte dei motori AI sembrano verificate e abbassano la guardia: diventano un nuovo canale di consegna per phishing e truffe.
4. Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
ACM Conference on Computer and Communications Security · Ali Naseh, Yuefeng Peng, Anshuman Suri, Harsh Chaudhari et al. · Sicurezza di AI e LLM
In breve: Con 30 domande naturali si scopre se un documento è nella base dati di un sistema RAG, senza farsi notare.
I sistemi RAG non modificano i pesi del modello, ma i documenti recuperati entrano nel contesto e possono trapelare. L'Interrogation Attack formula domande naturali a cui si può rispondere solo se il documento bersaglio è presente: bastano 30 domande, con un costo inferiore a 0,02 dollari per documento. I rilevatori semplici scoprono gli attacchi precedenti fino a circa 76 volte più spesso.
Perché conta. Sapere che un documento è nella base di un assistente aziendale può già essere una fuga di informazioni riservate, con un costo d'attacco trascurabile.
5. Can LLMs Hack Enterprise Networks? Autonomous Assumed Breach Penetration-Testing Active Directory Networks
arXiv · Andreas Happe, Jürgen Cito · Identità e autenticazione
In breve: Un sistema autonomo basato su LLM compromette account in una rete Active Directory di prova.
Il penetration test aziendale costa ed è limitato dalla scarsità di esperti. Un prototipo usa LLM per simulare in autonomia un Assumed Breach e compromette account nel banco di prova Active Directory GOAD. Con cinque modelli, il sistema adatta le strategie, analizza app web e dati non strutturati, genera password plausibili e si corregge, a costi inferiori a quelli di un professionista.
Perché conta. Il costo di un attacco interno a una rete Windows scende: lo scenario di compromissione di Active Directory va rivalutato in frequenza, non solo in gravità.
6. Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
USENIX Security Symposium · Anh V. Vu, Ben Collier, Daniel R. Thomas, John Kristoff et al. · Sicurezza di rete
In breve: Il sequestro globale dei servizi DDoS a pagamento riduce gli attacchi, ma i siti tornano in uno o due giorni.
Dal dicembre 2022 le forze dell'ordine di più paesi hanno colpito i servizi DDoS a pagamento con due ondate di sequestri e domini ingannevoli. Oltre metà dei siti della prima ondata torna in una mediana di un giorno, tutti quelli della seconda in due, ma con l'80-90% di visite in meno. La prima ondata riduce il volume globale di attacchi del 20-40%, la seconda ha effetti minimi.
Perché conta. Le operazioni di polizia riducono il rischio DDoS solo per poco: la frequenza attesa non va abbassata in modo duraturo dopo un sequestro annunciato.
7. MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
IEEE Symposium on Security and Privacy · Fatih Deniz, Mohamed Nabeel, Ting Yu, Issa M. Khalil
In breve: MANTIS individua i domini malevoli appena registrati osservando l'infrastruttura di hosting riutilizzata.
Gli attaccanti usano domini usa e getta, spesso già inattivi quando vengono rilevati o protetti da cloaking e captcha. Poiché riutilizzano le stesse infrastrutture di hosting, MANTIS costruisce un grafo di rete che le collega e riconosce i nuovi domini malevoli senza analizzarne il contenuto. Raggiunge una precisione del 99,7% e un recall dell'86,9%, con lo 0,1% di falsi positivi.
Perché conta. Bloccare i domini nelle prime ore riduce l'esposizione a phishing e malware proprio nella finestra in cui le liste tradizionali sono ancora vuote.
8. URL Inspection Tasks: Helping Users Detect Phishing Links in Emails
USENIX Security Symposium · Daniele Lain, Yoshimichi Nakatsuka, Kari Kostiainen, Gene Tsudik et al. · Fattore umano
In breve: Piccole prove sull'URL prima di aprire un link riducono il successo del phishing via email.
Il phishing riesce soprattutto per disattenzione, più che per mancanza di formazione. Lo studio propone brevi compiti, ispirati ai CAPTCHA, prima di aprire un link: scegliere l'URL giusto da una lista, evidenziare il nome di dominio o riscriverlo. In uno studio online con 2.673 partecipanti di tre culture e alfabeti, i compiti riducono in modo significativo i casi di phishing riusciti.
Perché conta. Rallentare l'utente nel momento del clic funziona meglio di altra formazione: è un controllo concreto da valutare tra le misure contro la frode via email.
9. Rejected Signatures' Challenges Pose New Challenges: Key Recovery of CRYSTALS-Dilithium via Side-Channel Attacks
IACR Transactions on Cryptographic Hardware and Embedded Systems · Yuanyuan Zhou, Weijia Wang, Yiteng Sun, Yu Yu · Crittografia post-quantistica
In breve: Le firme scartate di Dilithium rivelano la chiave privata in secondi o minuti tramite canale laterale.
Nelle firme su reticoli come ML-DSA/Dilithium il campionamento con rifiuto rende le firme indipendenti dal segreto. Gli autori riducono la fuga dalle firme scartate a un problema di programmazione lineare intera e recuperano la chiave privata per tutti e tre i livelli di sicurezza, in secondi o minuti e con successo del 100%, partendo da una sola traccia di canale laterale.
Perché conta. La migrazione alla crittografia post-quantum sposta il rischio sull'implementazione: dispositivi e moduli che firmano vanno verificati anche contro i canali laterali.
10. Chronus: Understanding and Securing the Cutting-Edge Industry Solutions to DRAM Read Disturbance
arXiv · Oğuzhan Canpolat, A. Giray Yağlıkçı, Geraldo F. Oliveira, Ataberk Olgun et al. · Hardware e canali laterali
In breve: La protezione da RowHammer integrata nelle nuove DRAM ha costi e punti deboli; Chronus li riduce.
La prima analisi rigorosa di PRAC, la difesa contro il read disturbance integrata nei chip DRAM più recenti, ne misura sicurezza, prestazioni, energia e costo. PRAC rallenta gli accessi e, per resistere al wave attack, va configurato con soglie molto basse, con costi proibitivi per i chip futuri. Chronus aggiorna i contatori in parallelo e regola i refresh preventivi, con un costo quasi nullo.
Perché conta. RowHammer resta un rischio di piattaforma condiviso tra clienti del cloud: le difese hardware vanno valutate per efficacia reale, non per presenza sulla scheda tecnica.
Leggi il paper · PDF · Codice
Le tendenze del mese
Sicurezza di AI e LLM
276 paper del mese su questo tema
Con 276 paper su 1.465 nel mese, la sicurezza dell'AI si concentra sugli agenti e sui sistemi che leggono fonti esterne. Le backdoor si nascondono agli audit, le istruzioni malevole arrivano dai dati letti dagli strumenti, i motori di ricerca AI citano siti malevoli e le basi documentali dei RAG rivelano cosa contengono. Le difese esistono, ma sono ancora inseguitrici.
Paper citati:
- DemonAgent: Dynamically Encrypted Multi-Backdoor Implantation Attack on LLM-based Agent
- MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents
- Unsafe LLM-Based Search: Quantitative Analysis and Mitigation of Safety Risks in AI Web Search
- Riddle Me This! Stealthy Membership Inference for Retrieval-Augmented Generation
Sicurezza di rete
36 paper del mese su questo tema
Due lavori guardano all'infrastruttura degli attaccanti. Il sequestro dei servizi DDoS a pagamento riduce gli attacchi solo per poco, perché i siti tornano in uno o due giorni, mentre il riuso degli stessi hosting permette di bloccare i domini malevoli appena nati. In entrambi i casi conta la velocità di reazione più del singolo colpo.
Paper citati:
- Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services
- MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
Crittografia post-quantistica
41 paper del mese su questo tema
Mentre ML-DSA entra negli standard, la ricerca si sposta dall'algoritmo all'implementazione. Le firme scartate di Dilithium, finora considerate innocue, bastano a ricostruire la chiave privata con una sola traccia di canale laterale: la conformità allo standard non garantisce da sola la sicurezza del dispositivo.
Paper citati:
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1465.