RICERCA
Aprile 2025: agenti dirottati via MCP e strumenti, meteo AI manipolabile, la lezione di XZ
Catena di fornituraSicurezza OT e industria
Aprile 2025 è il mese degli agenti collegati a strumenti esterni: MCP permette di esfiltrare credenziali, un documento malevolo dirotta la scelta degli strumenti e una nuova difesa allena un LLM a riconoscere l'iniezione di prompt. Fuori dall'AI, la backdoor di XZ Utils viene ricostruita, le previsioni meteo basate su AI si falsano e SSH post-quantum riceve la prima analisi completa.
Archivio: ricostruzione scritta a novembre 2026
1. MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
arXiv · Brandon Radosevich, John Halloran · Identità e autenticazione
In breve: Server MCP malevoli o mal configurati inducono gli LLM a eseguire codice, aprire accessi remoti e rubare credenziali.
Il Model Context Protocol standardizza il collegamento tra LLM, dati e strumenti, e si è diffuso in fretta. Gli autori mostrano che LLM di punta possono essere indotti, tramite strumenti MCP, a compromettere il sistema dello sviluppatore con esecuzione di codice malevolo, accesso remoto e furto di credenziali. Propongono MCPSafetyScanner, che verifica la sicurezza di un server MCP.
Perché conta. Ogni server MCP aggiunto è una dipendenza con accesso a dati e sistemi: va censito e verificato come qualsiasi integrazione di terzi.
Leggi il paper · PDF · Codice
2. Prompt Injection Attack to Tool Selection in LLM Agents
arXiv · Jiawen Shi, Zenghui Yuan, Guiyao Tie, Pan Zhou et al. · Sicurezza di AI e LLM
In breve: ToolHijacker inserisce un documento malevolo nella libreria di strumenti e costringe l'agente a sceglierlo.
Gli agenti LLM scelgono gli strumenti in due passaggi, recupero e selezione, da una libreria di descrizioni. ToolHijacker vi inserisce un documento ottimizzato che porta l'agente a scegliere sempre lo strumento dell'attaccante per un compito prefissato, anche senza conoscere modello e libreria. Supera gli attacchi esistenti, e le difese provate, preventive e di rilevamento, non bastano.
Perché conta. Chi pubblica uno strumento in un catalogo condiviso può dirottare gli agenti di altri: le librerie di strumenti diventano un punto di attacco alla filiera.
3. DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
IEEE Symposium on Security and Privacy · Yupei Liu, Yuqi Jia, Jinyuan Jia, Dawn Song et al. · Sicurezza di AI e LLM
In breve: DataSentinel addestra un LLM, con un approccio da teoria dei giochi, a riconoscere anche l'iniezione di prompt adattiva.
App e agenti basati su LLM sono esposti all'iniezione di prompt, e i rilevatori esistenti reggono poco contro gli attacchi forti, ancor meno contro quelli adattivi. DataSentinel formula il problema come ottimizzazione minimax e addestra un LLM a riconoscere input contaminati da prompt pensati per eludere il rilevamento. Su più benchmark rileva attacchi noti e adattivi.
Perché conta. Un rilevatore che regge agli attacchi adattivi è un controllo concreto da chiedere a chi espone LLM a contenuti esterni come email o pagine web.
Leggi il paper · PDF · Codice
4. Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
arXiv · Piotr Przymus, Thomas Durieux · Supply chain del software
In breve: La backdoor di XZ Utils ricostruita dalle tracce GitHub: l'attacco ha sfruttato il processo di sviluppo, non solo il codice.
Lo studio ricostruisce la cronologia dell'attacco a XZ Utils (CVE-2024-3094), che ha inserito una backdoor in una libreria di compressione fondamentale per Linux. Dagli eventi GitHub emerge un nuovo tipo di attacco alla filiera: contributi utili all'infrastruttura e alla manutenzione, gestione della comunità e configurazioni CI/CD sono serviti a guadagnare legittimità e controllo di lungo periodo.
Perché conta. Progetti open source essenziali e con pochi manutentori sono un punto di cumulo per migliaia di aziende: la loro salute è un fattore di rischio, non solo il codice.
5. The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
USENIX Security Symposium · Xinhui Shao, Zhen Ling, Yue Zhang, Huaiyu Yan et al. · Sicurezza di sistemi e software
In breve: Un'ottimizzazione di prestazioni in ThreadX permette di aggirare i controlli del kernel nei dispositivi IoT.
Molti dispositivi IoT usano sistemi operativi real-time. FreeRTOS manca di protezioni essenziali, mentre Zephyr e ThreadX le hanno ma le implementano in modo diverso. In ThreadX un'ottimizzazione per le prestazioni permette di saltare la verifica dei parametri delle chiamate di sistema: l'attacco Kernel Object Masquerading manipola oggetti del kernel fino a modificare dati o ottenere privilegi.
Perché conta. Lo stesso sistema operativo embedded gira su moltissimi dispositivi di produttori diversi: una falla di progetto crea esposizione diffusa e difficile da correggere.
6. Adversarial Observations in Weather Forecasting
ACM Conference on Computer and Communications Security · Erik Imgrund, Thorsten Eisenhofer, Konrad Rieck · Sistemi cyber-fisici e IoT
In breve: Alterare meno dello 0,1% delle osservazioni basta a far prevedere a un modello AI uragani inesistenti.
Le previsioni meteo basate su AI, come GenCast, sostituiscono i metodi tradizionali. Un nuovo attacco ai modelli di diffusione autoregressivi introduce perturbazioni statisticamente indistinguibili dal rumore naturale, su meno dello 0,1% delle misure, l'equivalente di un solo satellite. Basta per falsare le previsioni e inventare eventi estremi come uragani, ondate di calore e piogge intense.
Perché conta. Le previsioni meteo guidano decisioni operative e modelli catastrofali: la loro integrità diventa una questione di sicurezza, con effetti oltre il settore cyber.
7. Making Acoustic Side-Channel Attacks on Noisy Keyboards Viable with LLM-Assisted Spectrograms' "Typo" Correction
USENIX WOOT Conference on Offensive Technologies · Seyyed Ali Ayati, Park, Jin Hyun, Cai, Yichen, Marcus Felipe Botacin · Hardware e canali laterali
In breve: Visual Transformer e LLM rendono praticabile il furto di testo digitato dal suono della tastiera, anche nel rumore.
I microfoni ovunque aumentano il rischio di attacchi acustici che ricavano i tasti premuti dal loro suono, ma i modelli finora reggevano poco in ambienti rumorosi. Lo studio combina Visual Transformer, che sfruttano il contesto di sequenze lunghe, e LLM che correggono gli errori di riconoscimento in base al senso della frase. È il primo approccio di questo tipo e rende l'attacco più pratico.
Perché conta. Le videochiamate e i dispositivi con microfono diventano un canale per catturare password e testi riservati: il rischio riguarda anche il lavoro da remoto.
8. Post-quantum Cryptographic Analysis of SSH
IEEE Symposium on Security and Privacy · Benjamin Benčina, Benjamin Dowling, Varun Maram, Keita Xagawa · Crittografia post-quantistica
In breve: Prima analisi crittografica completa di SSH post-quantum, inclusi gli attacchi «raccogli ora, decifra dopo».
SSH è stato tra i primi protocolli ad adottare uno scambio di chiavi ibrido resistente ai computer quantistici, predefinito in OpenSSH dal 2022, ma mancava un'analisi completa. Gli autori estendono il modello di sicurezza ACCE per includere gli attacchi «raccogli ora, decifra dopo», dimostrano la sicurezza di SSH in questo modello e analizzano Streamlined NTRU Prime, usato da OpenSSH e TinySSH.
Perché conta. I dati intercettati oggi possono essere decifrati in futuro: sapere che SSH ibrido regge offre una base concreta per i piani di migrazione post-quantum.
9. Clubcards for the WebPKI: smaller certificate revocation tests in theory and practice
IEEE Symposium on Security and Privacy · John M. Schanck
In breve: Le clubcard comprimono lo stato di revoca dei certificati web in 6,7 MB, ora predefinito in Firefox Nightly.
CRLite distribuisce ai browser lo stato di revoca dei certificati in forma compatta e rispettosa della privacy. Una nuova struttura dati, la clubcard, codifica le oltre 8 milioni di revoche tra 900 milioni di certificati validi in 6,7 MB, il 54% in meno della versione originale, con aggiornamenti ogni sei ore da circa 26,8 kB. Il sistema è il controllo di revoca predefinito di Firefox Nightly.
Perché conta. Un controllo di revoca che funziona davvero riduce la finestra in cui un certificato rubato resta utile per impersonare un sito.
Le tendenze del mese
Sicurezza di AI e LLM
233 paper del mese su questo tema
Con 233 paper su 1.400 la sicurezza dell'AI resta il primo tema, e il punto debole si sposta sui collegamenti degli agenti. I server MCP e le librerie di strumenti sono nuove dipendenze da cui l'agente prende istruzioni: un server malevolo porta al furto di credenziali, un documento ottimizzato dirotta la scelta degli strumenti. I rilevatori migliorano, ma le difese provate contro ToolHijacker non bastano.
Paper citati:
- MCP Safety Audit: LLMs with the Model Context Protocol Allow Major Security Exploits
- Prompt Injection Attack to Tool Selection in LLM Agents
- DataSentinel: A Game-Theoretic Detection of Prompt Injection Attacks
Sicurezza di sistemi e software
39 paper del mese su questo tema
Due lavori mostrano come le scelte di sviluppo creino esposizione diffusa. Nel caso di XZ Utils l'attaccante ha usato il processo open source stesso, con contributi utili e anni di pazienza, per arrivare a una libreria presente in quasi ogni sistema Linux. In ThreadX un'ottimizzazione di prestazioni apre una falla su un sistema operativo installato in moltissimi dispositivi IoT.
Paper citati:
- Wolves in the Repository: A Software Engineering Analysis of the XZ Utils Supply Chain Attack
- The Cost of Performance: Breaking ThreadX with Kernel Object Masquerading Attacks
Crittografia post-quantistica
45 paper del mese su questo tema
Il post-quantum riceve una buona notizia: la prima analisi completa di SSH ibrido, predefinito in OpenSSH dal 2022, ne dimostra la sicurezza anche contro chi intercetta oggi per decifrare in futuro. Per chi pianifica la migrazione è un riferimento concreto su un protocollo usato ovunque per l'amministrazione dei sistemi.
Paper citati:
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1400.