RICERCA
Luglio 2025: Rowhammer sulle GPU, agenti email dirottati, malware nei modelli AI
Catena di fornituraSicurezza OT e industria
Luglio 2025 porta Rowhammer sulle GPU usate per l'AI, con modelli la cui accuratezza crolla fino all'80%. I modelli scaricati possono contenere malware autoestraente, gli agenti che gestiscono la posta cedono a un nuovo tipo di iniezione di prompt e un agente AI genera exploit redditizi per smart contract. Sul mobile, WebView e SDK aggirano le protezioni.
Archivio: ricostruzione scritta a novembre 2026
1. GPUHammer: Rowhammer Attacks on GPU Memories are Practical
USENIX Security Symposium · Chris S. Lin, Joy Qu, Gururaj Saileshwar · Hardware e canali laterali
In breve: Primo attacco Rowhammer riuscito su una GPU dedicata: pochi bit alterati fanno crollare l'accuratezza dei modelli.
Rowhammer era stato studiato su CPU e memorie DDR, non sulle memorie GDDR delle GPU usate per il machine learning. GPUHammer ricostruisce la mappatura proprietaria delle righe GDDR6, intensifica gli accessi e aggira le difese. Su una NVIDIA A6000 induce fino a 8 bit alterati in 4 banchi di memoria, sufficienti a ridurre l'accuratezza dei modelli fino all'80%.
Perché conta. Le GPU sono condivise tra clienti nel cloud: un cliente malevolo può sabotare i modelli di altri senza toccarne il software.
2. Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
IEEE Transactions on Dependable and Secure Computing · Dorjan Hitaj, Giulio Pagnotta, Fabio De Gaspari, Sediola Ruko et al. · Malware e minacce
In breve: MaleficNet 2.0 nasconde malware autoestraente nei parametri di una rete neurale, senza degradarne le prestazioni.
Molti usano modelli pre-addestrati presi da repository pubblici come se fossero semplici dati. MaleficNet 2.0 inserisce nei parametri un payload malevolo con codifica a spettro diffuso e correzione d'errore: è difficile da scoprire, non peggiora il modello e resiste ai tentativi di rimozione, anche nel federated learning. Un prototipo si estrae ed esegue da solo in un framework diffuso.
Perché conta. Un modello scaricato è software di terzi: va controllato come un eseguibile, con le stesse regole di provenienza e verifica.
3. Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
arXiv · Jiangrong Wu, Yuhong Nan, Jianliang Wu, Zitong Yao et al. · Sicurezza di AI e LLM
In breve: Un nuovo tipo di iniezione di prompt dirotta tutti i 63 agenti email reali testati, in meno di due tentativi.
Gli agenti LLM per la posta trattano messaggi sensibili e autenticazioni. Le iniezioni classiche funzionano poco contro di loro, con successo tra il 4,58% e l'8,13%. ESPI presenta invece le azioni volute dall'attaccante come correzioni necessarie a uno stato falso della casella: raggiunge il 73,54% di successo e dirotta tutte le 63 applicazioni valutate, con meno di due tentativi.
Perché conta. La casella email è la chiave per reimpostare password e approvare pagamenti: un agente che la gestisce va trattato come un utente con privilegi elevati.
4. Depth Gives a False Sense of Privacy: LLM Internal States Inversion
USENIX Security Symposium · Tian Dong, Yan Meng, Shaofeng Li, Chen, Guoxing et al.
In breve: Gli stati interni di un LLM, ritenuti irreversibili, permettono di ricostruire il prompt, anche lungo e medico.
Inferenza collaborativa e audit basati sui neuroni espongono gli stati interni di un LLM, finora ritenuti non invertibili. Gli autori propongono quattro attacchi di inversione, sia con accesso ai pesi sia senza, e uno che traduce gli stati in testo. Su sei LLM e dati di consulenza medica e programmazione, un prompt medico di 4.112 token viene ricostruito quasi alla perfezione.
Perché conta. Inviare solo rappresentazioni intermedie non protegge i dati: le architetture che promettono privacy in questo modo vanno valutate con cautela.
5. AI Agent Smart Contract Exploit Generation
arXiv · Arthur Gervais, Liyi Zhou · Blockchain e DeFi
In breve: Un agente AI genera exploit verificati per smart contract vulnerabili, fino a 8,59 milioni di dollari per attacco.
A1 trasforma un LLM in generatore di exploit con sei strumenti e verifica ogni risultato eseguendolo su stati reali della blockchain. Su 36 contratti vulnerabili di Ethereum e Binance Smart Chain ha successo nel 63% dei casi del benchmark VERITE ed estrae fino a 8,59 milioni di dollari per exploit. Agli attaccanti basta un valore di 6.000 dollari per guadagnare, ai difensori ne servono 60.000.
Perché conta. Il costo di trovare e sfruttare una falla crolla, mentre quello di difendersi no: la finestra tra scoperta e furto diventa di ore, non di settimane.
6. Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
Proceedings on Privacy Enhancing Technologies · Nipuna Weerasekara, José Miguel Moreno, Srdjan Matic, Joel Reardon et al. · Web e mobile
In breve: Nelle app Android le WebView vengono configurate per aggirare le protezioni e tracciare gli utenti tra app e web.
Le WebView mostrano contenuti web dentro le app, come le pubblicità. Il primo studio su larga scala mostra che sviluppatori e SDK le configurano per aggirare le protezioni. Codice JavaScript dannoso, spesso distribuito tramite aste pubblicitarie in tempo reale non controllate, sincronizza cookie, fa fingerprinting e trasmette identificativi e posizione all'insaputa degli utenti.
Perché conta. Gli annunci mostrati in un'app possono raccogliere dati personali a nome dell'editore: è un rischio regolatorio che dipende dalla filiera pubblicitaria.
7. KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
Proceedings on Privacy Enhancing Technologies · Jenny Blessing, Ross Anderson, Alastair R. Beresford · Web e mobile
In breve: Il 56% delle app che dichiarano dati sensibili non usa l'hardware sicuro di Android per proteggere le chiavi.
Gli smartphone moderni offrono hardware dedicato per custodire chiavi e credenziali anche se il sistema operativo è compromesso. Analizzando 490.119 app Android e le loro dichiarazioni sulla gestione dei dati, lo studio trova che il 56% delle app che trattano dati sensibili non usa affatto questo hardware, e solo il 5% usa la forma più robusta, un secure element separato dal processore.
Perché conta. La protezione delle chiavi è una buona pratica di base: il suo uso scarso aumenta l'impatto di un malware sul telefono anche per app finanziarie e sanitarie.
8. Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
Proceedings on Privacy Enhancing Technologies · Leon Böttger, Alexander Matern, Dennis Arndt, Matthias Hollick · Web e mobile
In breve: La rete Trova il mio dispositivo di Google, attiva di default su Android, presenta falle di sicurezza e privacy.
Da aprile 2024 la rete Find My Device di Google usa miliardi di dispositivi Android per localizzare tracker e cuffie smarriti, ed è attiva di default. Google promette cifratura end-to-end e privacy, ma il sistema è specificato solo in parte. Gli autori ricostruiscono le parti proprietarie e trovano problemi, tra cui attacchi denial-of-service e un possibile attacco di collegamento su Android.
Perché conta. Le reti di localizzazione attive su miliardi di telefoni sono un'infrastruttura condivisa: una falla di design tocca tutti gli utenti insieme.
9. OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
IEEE Transactions on Dependable and Secure Computing · Futai Zou, Zehui Zhang, Yuzong Hu · Identità e autenticazione
In breve: OTP-Hunter trova 68 vulnerabilità nelle password monouso di 59 app IoT, con presa di controllo remota dei dispositivi.
Le password monouso verificano l'identità in registrazione, accesso e recupero, ma se implementate male permettono invio massivo di SMS o email, forza bruta e aggiramento. OTP-Hunter combina analisi statica e dinamica direttamente nelle app, senza dover decifrare i protocolli. Su 59 app IoT trova 68 vulnerabilità, che permettono di controllare i dispositivi conoscendo solo il numero di telefono.
Perché conta. Un codice OTP debole annulla il secondo fattore: per chi produce dispositivi connessi è un rischio di responsabilità verso migliaia di clienti.
Le tendenze del mese
Sicurezza di AI e LLM
235 paper del mese su questo tema
Con 235 paper su 1.244 la sicurezza dell'AI resta il primo tema, e luglio la tocca a ogni livello. L'hardware delle GPU si può alterare con Rowhammer, i modelli scaricati possono portare malware nascosto, gli stati interni dei modelli rivelano i prompt e gli agenti di posta eseguono azioni dell'attaccante. La catena dell'AI va valutata intera, dal chip all'agente.
Paper citati:
- Your Mailbox Is Mine: Prompt Injection Attacks Against Real-World LLM Email Agents
- Do You Trust Your Model? Emerging Malware Threats in the Deep Learning Ecosystem
- Depth Gives a False Sense of Privacy: LLM Internal States Inversion
- GPUHammer: Rowhammer Attacks on GPU Memories are Practical
Web e mobile
36 paper del mese su questo tema
Gli atti di PETS e altri lavori misurano il mobile su larga scala. Le WebView aggirano le protezioni di Android per il tracciamento, più di metà delle app con dati sensibili non usa l'hardware sicuro, la rete di localizzazione di Google ha falle di design e le password monouso delle app IoT si aggirano. Le difese esistono, ma spesso non vengono adottate.
Paper citati:
- Tracking Without Borders: Studying the Role of WebViews in Bridging Mobile and Web Tracking
- KeyDroid: A Large-Scale Analysis of Secure Key Storage in Android Apps
- Okay Google, Where’s My Tracker? Security, Privacy, and Performance Evaluation of Google's Find My Device Network
- OTP-Hunter: An App-Based Fuzzing Framework to Discover One Time Password Vulnerabilities
Blockchain e DeFi
31 paper del mese su questo tema
Nel mondo degli smart contract l'AI cambia l'economia dell'attacco. Un agente che genera e verifica exploit da solo trova falle reali e le rende redditizie già con poche migliaia di dollari in gioco, mentre la difesa richiede risorse dieci volte maggiori. La velocità di correzione diventa decisiva.
Paper citati:
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1244.