RICERCA
Settembre 2025: EchoLeak e l'assistente aziendale, dieci anni di APT, chiavi SSH deboli
Catena di fornituraSicurezza OT e industria
Settembre 2025 si apre con EchoLeak, la prima iniezione di prompt senza clic sfruttata in un assistente aziendale in produzione. Gli atti di ACM CCS portano anche una difesa per gli agenti che usano il computer, dieci anni di campagne APT analizzati, attacchi alle firme SSH dei client e alla k-anonimizzazione dei dati clinici, e un dirottamento TCP da remoto su indirizzi IP condivisi.
Archivio: ricostruzione scritta a novembre 2026
1. EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System
arXiv · Pavan Reddy, Aditya Sanjay Gujral · Sicurezza di AI e LLM
In breve: Una sola email preparata ad arte bastava a far esfiltrare dati a Microsoft 365 Copilot, senza alcun clic.
EchoLeak (CVE-2025-32711) è la prima iniezione di prompt senza clic sfruttata in un sistema LLM in produzione. Con una singola email, l'attacco aggirava il classificatore anti-iniezione di Microsoft 365 Copilot, la rimozione dei link, le immagini caricate in automatico e un proxy di Teams ammesso, esfiltrando dati senza autenticazione. Lo studio analizza perché le difese hanno fallito.
Perché conta. Gli assistenti collegati a posta e documenti aziendali sono un nuovo vettore di violazione dei dati: l'iniezione di prompt è ormai una classe di vulnerabilità ad alta gravità.
2. AgentSentinel: An End-to-End and Real-Time Security Defense Framework for Computer-Use Agents
ACM Conference on Computer and Communications Security · Haitao Hu, Peng Chen, Yanpeng Zhao, Yuqi Chen · Sicurezza di AI e LLM
In breve: AgentSentinel blocca le operazioni sensibili degli agenti sul computer finché un controllo non le verifica.
Gli agenti che usano il computer possono eseguire comandi dannosi per errore o manipolazione. Il nuovo benchmark BadComputerUse, con 60 scenari d'attacco, arriva in media all'87% di successo su quattro LLM avanzati. AgentSentinel intercetta le operazioni sensibili e le sospende finché un controllo non confronta il compito in corso con le tracce di sistema; respinge il 79,6% degli attacchi.
Perché conta. Un controllo che ferma l'agente prima delle azioni rischiose è il tipo di misura che rende assicurabile l'uso di agenti con accesso ai sistemi.
3. ImportSnare: Directed "Code Manual" Hijacking in Retrieval-Augmented Code Generation
ACM Conference on Computer and Communications Security · Kai Ye, Liangcai Su, Chenxiong Qian · Sicurezza di AI e LLM
In breve: Documentazione avvelenata induce gli assistenti di programmazione a suggerire dipendenze malevole.
Gli assistenti di programmazione con RAG consultano manuali esterni per scrivere codice migliore, ma questo apre una nuova superficie d'attacco. ImportSnare crea documentazione avvelenata che sale nei risultati di ricerca e induce l'LLM a raccomandare dipendenze malevole come «matplotlib_safe». In Python, Rust e JavaScript supera il 50% di successo per librerie popolari come matplotlib e seaborn.
Perché conta. La fiducia degli sviluppatori nei suggerimenti dell'AI diventa una porta d'ingresso per pacchetti malevoli nella filiera software aziendale.
4. A Decade-long Landscape of Advanced Persistent Threats: Longitudinal Analysis and Global Trends
ACM Conference on Computer and Communications Security · Shakhzod Yuldoshkhujaev, Mijin Jeon, Doowon Kim, Nick Nikiforakis et al. · Malware e minacce
In breve: 1.509 dossier su dieci anni di APT ricostruiscono 603 gruppi, i settori colpiti e il legame con eventi come le elezioni.
Lo studio raccoglie 1.509 dossier pubblici sulle minacce persistenti avanzate, oltre 24.000 pagine dal 2014 al 2023, da sei fonti affidabili, e identifica 603 gruppi distinti. Con un metodo che combina regole e ricerca basata su LLM, ricostruisce come sono cambiati attori, vettori d'attacco e settori colpiti, e il legame tra campagne ed eventi rilevanti come le elezioni.
Perché conta. Una base storica su attori statali e settori colpiti aiuta a stimare frequenze e cumuli, e a valutare le esclusioni legate agli attacchi di Stato.
5. HADES: Detecting and Investigating Active Directory Attacks via Whole Network Provenance Analytics
IEEE Transactions on Dependable and Secure Computing · Qi Liu, Kaibin Bao, Wajih Ul Hassan, Veit Hagenmeyer · Malware e minacce
In breve: HADES segue un attacco ad Active Directory da una macchina all'altra e supera un rilevatore commerciale.
Active Directory è un bersaglio primario degli attori APT, e i sistemi di rilevamento basati sulla provenienza si fermano alla singola macchina. HADES ricostruisce i legami causali tra più macchine grazie alla suddivisione per sessioni di accesso, e si attiva solo quando un modello leggero rileva un'anomalia di autenticazione. Supera sistemi open source diffusi e un noto rilevatore commerciale.
Perché conta. Ricostruire fin dove si è spinto l'attaccante nella rete riduce i tempi e i costi dell'indagine dopo un incidente.
6. On the Security of SSH Client Signatures
ACM Conference on Computer and Communications Security · Fabian Bäumer, Marcus Brinkmann, Maximilian Radoy, Jörg Schwenk et al. · Identità e autenticazione
In breve: Su 31 milioni di chiavi SSH pubbliche ne emergono centinaia deboli, e la chiave di PuTTY si ricava da 58 firme.
Le chiavi SSH dei client servono ad accedere a server critici e a pubblicare codice, ma non si possono scansionare come quelle dei server. Gli autori raccolgono 31.622.338 chiavi pubbliche da GitHub, GitLab e altre fonti: a gennaio 2025 trovano 98 chiavi troppo corte, 139 da casualità debole e 149 con fattori comuni. Mostrano anche che la chiave privata di un client PuTTY si ricava da 58 firme.
Perché conta. Una chiave SSH compromessa dà accesso diretto a server e repository: la gestione delle chiavi degli sviluppatori va inclusa nei controlli di accesso.
7. Off-Path TCP Exploits: PMTUD Breaks TCP Connection Isolation in IP Address Sharing Scenarios
ACM Conference on Computer and Communications Security · Xuewei Feng, Zhaoxi Li, Qi Lecky Li, Ziqiang Wang et al. · Sicurezza di sistemi e software
In breve: Con un IP condiviso, un attaccante esterno può dirottare le connessioni TCP degli altri dispositivi nel 70% dei casi.
Path MTU Discovery non è progettato per gli indirizzi IP condivisi tra più dispositivi, comuni dietro NAT. Un attaccante su Internet, con un dispositivo complice nella stessa rete, può osservare il valore MTU stabilito dal server e dedurre i numeri di sequenza delle connessioni TCP altrui. L'attacco riesce nel 70% dei casi in circa 220 secondi, e permette DoS su SSH e iniezione in FTP e HTTP.
Perché conta. Reti condivise come Wi-Fi pubbliche, operatori mobili e uffici condivisi non isolano davvero le connessioni: il rischio colpisce molti utenti insieme.
8. Fingerprinting Deep Packet Inspection Devices by Their Ambiguities
ACM Conference on Computer and Communications Security · Diwen Xue, Armin Huremagic, Wayne Wang, Ram Sundara Raman et al. · Web e mobile
In breve: Le ambiguità nel modo in cui analizzano il traffico permettono di riconoscere e mappare da remoto i dispositivi DPI.
Censura, rallentamenti e intercettazioni crescono perché i dispositivi di deep packet inspection sono ormai alla portata di quasi ogni operatore. dMAP sfrutta il fatto che ogni produttore interpreta in modo diverso i comportamenti poco specificati dei protocolli: con fuzzing differenziale crea sonde che rendono osservabili queste differenze e raggruppa i dispositivi DPI su scala globale.
Perché conta. Sapere dove il traffico viene ispezionato o alterato serve a valutare il rischio per comunicazioni aziendali in paesi con controllo di rete.
9. Exposing Privacy Risks in Anonymizing Clinical Data: Combinatorial Refinement Attacks on k-Anonymity Without Auxiliary Information
ACM Conference on Computer and Communications Security · Somiya Chhillar, Mary Kirtley Righi, Rebecca Sutter, Evgenios M. Kornaropoulos · Privacy
In breve: I dati clinici k-anonimizzati con ARX rivelano valori sensibili anche senza informazioni esterne.
La k-anonimità resta molto usata perché semplice e allineata alle norme, e si sostiene che senza informazioni esterne non sia attaccabile. I Combinatorial Refinement Attack smentiscono questa idea: sfruttano il modo in cui ARX, software open source diffuso in ambito clinico, ottimizza l'anonimizzazione. Su dati reali di una rete di cliniche gratuite, la privacy promessa non viene garantita.
Perché conta. Dati considerati anonimi possono rientrare nella disciplina dei dati personali: chi li condivide sulla base della k-anonimità resta esposto a sanzioni.
10. Asymmetry Vulnerability and Physical Attacks on Online Map Construction for Autonomous Driving
ACM Conference on Computer and Communications Security · Yang Lou, Haibo Hu, Qun Song, Qian Xu et al. · Sistemi cyber-fisici e IoT
In breve: Ostacoli e patch mirate ingannano le mappe costruite a bordo dalle auto autonome e rendono irraggiungibili molte rotte.
Le auto autonome costruiscono spesso le mappe ad alta definizione dai propri sensori. Lo studio scopre che questi modelli tendono a prevedere strade simmetriche: a biforcazioni e immissioni disegnano un bordo dritto inesistente. Con accecamento delle telecamere e patch avversarie gli autori rendono irraggiungibile fino al 44% delle rotte bersaglio e moltiplicano le traiettorie a rischio.
Perché conta. Un difetto del modello si sfrutta con mezzi fisici semplici: per la responsabilità dei produttori conta la robustezza, non solo la precisione media.
Le tendenze del mese
Sicurezza di AI e LLM
312 paper del mese su questo tema
Con 312 paper su 1.708 la sicurezza dell'AI resta il primo tema, e settembre porta il primo caso reale di grande impatto. EchoLeak dimostra che l'iniezione di prompt in un assistente aziendale può esfiltrare dati con una sola email. Gli agenti che usano il computer cadono in media nell'87% degli attacchi di prova, e la documentazione avvelenata induce gli assistenti di programmazione a suggerire pacchetti malevoli.
Paper citati:
- EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System
- AgentSentinel: An End-to-End and Real-Time Security Defense Framework for Computer-Use Agents
- ImportSnare: Directed "Code Manual" Hijacking in Retrieval-Augmented Code Generation
Sicurezza di rete
55 paper del mese su questo tema
Tre lavori di CCS guardano alle fondamenta della rete. Centinaia di chiavi SSH pubbliche risultano deboli e un client diffuso perde la chiave privata dalle firme, gli indirizzi IP condivisi rompono l'isolamento delle connessioni TCP e i dispositivi DPI che censurano o intercettano il traffico si possono mappare da remoto. Sono rischi infrastrutturali che toccano molte organizzazioni insieme.
Paper citati:
- On the Security of SSH Client Signatures
- Off-Path TCP Exploits: PMTUD Breaks TCP Connection Isolation in IP Address Sharing Scenarios
- Fingerprinting Deep Packet Inspection Devices by Their Ambiguities
Malware e minacce
51 paper del mese su questo tema
Sugli attori statali arrivano due contributi utili. Dieci anni di dossier APT ricostruiscono 603 gruppi e mostrano come cambiano settori colpiti e vettori in relazione a eventi come le elezioni, mentre HADES segue gli attacchi ad Active Directory da una macchina all'altra. Per la valutazione del rischio servono entrambi: la frequenza storica e la capacità di misurare l'estensione di un incidente.
Paper citati:
- A Decade-long Landscape of Advanced Persistent Threats: Longitudinal Analysis and Global Trends
- HADES: Detecting and Investigating Active Directory Attacks via Whole Network Provenance Analytics
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1708.