RICERCA
Ottobre 2025: attacchi via MCP, backdoor nella quantizzazione, malware oltre Gmail
Ottobre 2025 mette alla prova gli agenti AI: un benchmark misura dodici attacchi tramite il Model Context Protocol, mentre la sola quantizzazione basta a nascondere una backdoor in un modello. Bastano 13 byte per far sbagliare strada al malware nel filtro di Gmail. Completano il mese la firma dei modelli su GPU, gli LLM contro gli aggiornamenti npm malevoli e l'amplificazione via inoltratori DNS.
Archivio: ricostruzione scritta a novembre 2026
1. MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
arXiv · Dongsen Zhang, Zekun Li, Xu Luo, Xuannan Liu et al.
In breve: MSB misura come nove agenti LLM resistono a dodici attacchi che passano per gli strumenti MCP.
Il Model Context Protocol standardizza il modo in cui gli agenti trovano e chiamano strumenti esterni, ma allarga la superficie d'attacco. MSB classifica dodici attacchi, dalla collisione di nomi alle istruzioni nascoste nelle descrizioni degli strumenti, e li esegue con strumenti reali: 2.000 casi su nove agenti, 10 domini e 405 strumenti. I modelli più capaci risultano i più vulnerabili.
Perché conta. Ogni strumento collegato a un agente è un canale d'ingresso: chi adotta MCP deve trattare cataloghi e descrizioni degli strumenti come codice di terzi.
Leggi il paper · PDF · Codice
2. Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
arXiv · Xiangxiang Chen, Peixin Zhang, Jun Sun, Wenhai Wang et al. · Sicurezza di AI e LLM
In breve: QuRA inserisce una backdoor in un modello solo scegliendo come arrotondare i pesi durante la quantizzazione.
La quantizzazione comprime i modelli per farli girare su dispositivi con poche risorse. QuRA non avvelena i dati né l'addestramento: seleziona i pesi critici e ne ottimizza la direzione di arrotondamento, amplificando l'effetto della backdoor attraverso gli strati senza perdere accuratezza. Raggiunge un successo vicino al 100% nella maggior parte dei casi e si adatta per eludere le difese note.
Perché conta. Un modello pulito può diventare malevolo nel passaggio di compressione: chi usa versioni quantizzate di terzi eredita un rischio difficile da vedere.
Leggi il paper · PDF · Codice
3. Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
ACM Conference on Computer and Communications Security · Milad Nasr, Yanick Fratantonio, Luca Invernizzi, Ange Albertini et al. · Malware e minacce
In breve: Modificando 13 byte, un malware inganna il modello che smista gli allegati di Gmail nel 90% dei casi.
La pipeline antimalware di Gmail usa Magika, un modello open source che riconosce il tipo di file e instrada ogni campione verso il classificatore specializzato. Esempi avversari che ingannano Magika mandano il malware al rilevatore sbagliato: con 13 byte modificati l'elusione riesce nel 90% dei casi. La difesa proposta, già in produzione, porta il successo al 20% anche con 50 byte.
Perché conta. Un singolo componente di machine learning può aprire una falla in tutto il sistema di difesa: i test avversari vanno fatti sulla catena intera.
4. Sentry: Authenticating Machine Learning Artifacts on the Fly
ACM Conference on Computer and Communications Security · Andrew Gan, Zahra Ghodsi · Crittografia post-quantistica
In breve: Sentry firma e verifica dataset e modelli direttamente sulla GPU, mentre vengono caricati.
I sistemi di machine learning dipendono da dataset e modelli scaricati da terzi, che possono essere avvelenati prima di arrivare. Hash e firme risolverebbero il problema ma pesano troppo su artefatti così grandi e non funzionano su GPU. Sentry lega le firme all'identità dello sviluppatore e verifica gli artefatti mentre entrano nella memoria della GPU, con alberi di Merkle accelerati.
Perché conta. Verificare la provenienza di modelli e dati è il primo controllo contro gli attacchi alla catena di fornitura dell'AI.
5. Evaluating LLM-Based Detection of Malicious Package Updates in npm
Research in Attacks, Intrusions and Defenses · Elizabeth Wyss, Dominic Tassio, Lorenzo De Carli, Drew Davidson · Supply chain del software
In breve: Un LLM, con il giusto pre e post-trattamento, riconosce tutti i 209 aggiornamenti npm malevoli del test.
Compromettere l'aggiornamento di un pacchetto npm permette di distribuire malware a sviluppatori e utenti finali. Gli autori valutano gli LLM come rilevatori: riducono il codice da analizzare prima di passarlo al modello e interpretano le risposte per classificarle. Il metodo regge alla scala di un intero registro e il modello migliore segnala 209 campioni malevoli storici su 209.
Perché conta. Gli attacchi agli aggiornamenti dei pacchetti colpiscono molte aziende insieme: un filtro automatico efficace riduce il rischio di cumulo.
6. Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
ACM Conference on Computer and Communications Security · Maynard Koch, Florian Dolzmann, Thomas C. Schmidt, Matthias Wählisch · Sicurezza di rete
In breve: Gli inoltratori DNS trasparenti trasformano i grandi resolver pubblici in amplificatori per attacchi DDoS.
Gli inoltratori DNS trasparenti passano le richieste ai resolver ricorsivi aperti senza riscrivere l'indirizzo di origine. Così i grandi resolver anycast partecipano, loro malgrado, ad attacchi di amplificazione riflessa. Gli inoltratori aggirano i limiti di frequenza, scalano fino a 14 volte grazie all'anycast e permettono di superare le regole firewall che proteggono i resolver.
Perché conta. Un componente di rete diffuso e trascurato alimenta attacchi DDoS su larga scala: le interruzioni colpiscono molti clienti insieme.
7. Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Research in Attacks, Intrusions and Defenses · Nazatul Haque Sultan, Xinlong Guan, Josef Pieprzyk, Wei Ni et al. · Sicurezza di rete
In breve: Una versione di 5G-AKA senza numeri di sequenza e con segretezza in avanti, compatibile con le SIM attuali.
5G-AKA, il protocollo di autenticazione delle reti 5G, protegge dagli attaccanti passivi ma è vulnerabile a quelli attivi. Usa numeri di sequenza da tenere sincronizzati e non offre segretezza in avanti: se le chiavi a lungo termine trapelano, il traffico passato è esposto. Gli autori propongono una versione senza stato, compatibile con SIM e reti esistenti, poi estesa con questa proprietà.
Perché conta. Il 5G regge sempre più infrastrutture critiche: un'autenticazione più robusta riduce il rischio di intercettazioni e furti d'identità sulla rete.
8. DPA-Style Attacks on HQC
IACR Transactions on Cryptographic Hardware and Embedded Systems · Zhuo Huang, Weijia Wang, Xiaogang Zhou, Yu Yu · Crittografia post-quantistica
In breve: Bastano 50 tracce di consumo per estrarre la chiave di HQC, il nuovo standard post-quantistico, da un microcontrollore.
HQC è il quinto algoritmo post-quantistico scelto dal NIST e l'unico basato su codici. Gli attacchi di analisi del consumo noti richiedono poche tracce ma tollerano poco rumore. Gli autori sviluppano un attacco di tipo DPA a testo cifrato scelto: su un STM32F4 recuperano la chiave con 50 tracce, 20 con profilazione, e circa 3.000 anche quando l'implementazione è protetta da mascheramento.
Perché conta. Gli algoritmi post-quantistici vanno protetti anche contro i canali laterali prima di arrivare in dispositivi e smart card.
9. OCR-APT: Reconstructing APT Stories from Audit Logs using Subgraph Anomaly Detection and LLMs
ACM Conference on Computer and Communications Security · Ahmed Aly, Essam Mansour, Amr Youssef · AI applicata alla sicurezza
In breve: OCR-APT individua le intrusioni APT nei log di sistema e un LLM ne ricostruisce la storia in linguaggio naturale.
I sistemi che cercano anomalie nei grafi di provenienza dei log generano molti falsi positivi e allarmi poco chiari, anche perché si affidano ad attributi fragili come percorsi e IP. OCR-APT usa reti neurali su grafi per imparare i comportamenti intorno ai nodi e poi un LLM che ricostruisce l'attacco fase per fase, validando ogni passo. Supera lo stato dell'arte su DARPA TC3, OpTC e NODLINK.
Perché conta. Un racconto chiaro dell'intrusione accelera la risposta e la ricostruzione del danno, due fattori che pesano sul costo di un sinistro.
10. Your Microphone Array Retains Your Identity: A Robust Voice Liveness Detection System for Smart Speakers
USENIX Security Symposium · Yan Meng, Jiachun Li, Matthew Pillari, Arjun Deopujari et al. · Identità e autenticazione
In breve: L'array di microfoni degli smart speaker distingue una voce reale da una registrata con il 99,84% di accuratezza.
Gli smart speaker sono esposti ad attacchi con voce registrata o sintetica. Il rilevamento passivo della voce dal vivo usa solo l'audio raccolto, ma soffre con i cambi di ambiente e richiede posture fisse. ArrayID sfrutta la disposizione circolare dei microfoni come impronta che resiste ai movimenti dell'utente: su 32.780 campioni e 14 dispositivi di spoofing raggiunge il 99,84% di accuratezza.
Perché conta. Con la voce sempre più usata per autorizzare acquisti e comandi domestici, distinguere una persona da una registrazione riduce le frodi.
Le tendenze del mese
Sicurezza di AI e LLM
389 paper del mese su questo tema
Con 389 paper su 1.883 la sicurezza dell'AI resta il primo tema. Il mese mostra tre punti deboli lungo la vita di un modello: gli strumenti collegati agli agenti tramite MCP, il passaggio di compressione che può nascondere una backdoor e il singolo componente di machine learning che, ingannato, apre una falla in un sistema antimalware usato da miliardi di utenti.
Paper citati:
- MCP Security Bench (MSB): Benchmarking Attacks Against Model Context Protocol in LLM Agents
- Rounding-Guided Backdoor Injection in Deep Learning Model Quantization
- Evaluating the Robustness of a Production Malware Detection System to Transferable Adversarial Attacks
Supply chain del software
18 paper del mese su questo tema
Sulla catena di fornitura arrivano due risposte pratiche. Sentry porta firme e verifiche dentro la GPU, così modelli e dataset di terzi si controllano mentre vengono caricati, e un LLM ben configurato riconosce tutti gli aggiornamenti npm malevoli di un archivio storico. Entrambi i controlli agiscono prima che il componente compromesso raggiunga molte aziende insieme.
Paper citati:
- Sentry: Authenticating Machine Learning Artifacts on the Fly
- Evaluating LLM-Based Detection of Malicious Package Updates in npm
Sicurezza di rete
38 paper del mese su questo tema
Due lavori riguardano l'infrastruttura di rete condivisa. Gli inoltratori DNS trasparenti aggirano i limiti dei grandi resolver pubblici e moltiplicano la forza degli attacchi DDoS, mentre una revisione dell'autenticazione 5G elimina la dipendenza dai numeri di sequenza e aggiunge la segretezza in avanti senza cambiare le SIM.
Paper citati:
- Forward to Hell? On the Potentials of Misusing Transparent DNS Forwarders in Reflective Amplification Attacks
- Active Attack Resilience in 5G: A New Take on Authentication and Key Agreement
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1883.