RICERCA
Dicembre 2025: memoria avvelenata degli agenti, Telegram, ricariche a spese altrui
Dicembre 2025 porta agli agenti AI nuove minacce: ricordi avvelenati che persistono tra le sessioni, iniezioni che funzionano da qualunque fonte e prompt che bloccano un servizio in ragionamenti infiniti. Telegram e la ricarica automatica delle auto elettriche mostrano debolezze crittografiche concrete. Chiudono il mese l'evasione dalle macchine virtuali e il consenso nei moduli web.
Archivio: ricostruzione scritta a novembre 2026
1. MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
arXiv · Saksham Sahai Srivastava, Haoyu He · Sicurezza di AI e LLM
In breve: MemoryGraft impianta finte esperienze di successo nella memoria a lungo termine di un agente, che poi le imita.
Gli agenti LLM conservano le esperienze passate per migliorare. MemoryGraft sfrutta questa abitudine: con contenuti all'apparenza innocui letti durante il lavoro, induce l'agente a salvare procedure malevole tra i ricordi di successo. Quando arrivano compiti simili, l'agente le recupera e le copia. Pochi record avvelenati dominano i ricordi recuperati, con effetti che durano tra le sessioni.
Perché conta. Una compromissione che vive nella memoria dell'agente non si cancella chiudendo la sessione: va prevista una bonifica della memoria nella risposta agli incidenti.
Leggi il paper · PDF · Codice
2. ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
Network and Distributed System Security Symposium · Reachal Wang, Yuqi Jia, Neil Zhenqiang Gong · Sicurezza di AI e LLM
In breve: ObliInjection funziona anche se l'attaccante controlla una sola fonte su cento e non sa in che ordine verrà letta.
Spesso l'input di un'applicazione LLM unisce testi da più fonti, e l'attaccante ne controlla solo una parte senza sapere in che ordine verranno messe. ObliInjection è la prima iniezione di prompt pensata per questo scenario: ottimizza il testo malevolo perché funzioni con qualunque ordinamento. Su tre dataset e dodici LLM resta efficace anche con un solo segmento contaminato su 6-100.
Perché conta. Assistenti che riassumono recensioni, email o documenti di più autori possono essere deviati da un solo contributo ostile.
Leggi il paper · PDF · Codice
3. ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
Network and Distributed System Security Symposium · Yunzhe Li, Jianan Wang, Hongzi Zhu, James Lin et al.
In breve: ThinkTrap trova prompt che fanno ragionare un LLM all'infinito e riducono un servizio commerciale all'1% della capacità.
I servizi LLM in cloud sono esposti a una nuova negazione del servizio: input che spingono il modello in generazioni lunghissime o senza fine. ThinkTrap cerca questi prompt anche senza accesso al modello, ottimizzando in uno spazio continuo a bassa dimensione. Contro servizi commerciali chiusi, anche sotto dieci richieste al minuto, porta la capacità all'1% e talvolta al blocco totale.
Perché conta. Chi offre servizi basati su LLM rischia interruzioni e costi di calcolo fuori controllo: limiti sulla lunghezza del ragionamento diventano un controllo essenziale.
4. Chasing Shadows: Pitfalls in LLM Security Research
Network and Distributed System Security Symposium · Jonathan Evertz, Niklas Risse, Nicolai Neuer, Andreas Müller et al.
In breve: Tutti i 72 paper di sicurezza con LLM esaminati contengono almeno uno di nove errori metodologici ricorrenti.
Gli LLM rendono più difficili riproducibilità e valutazione nella ricerca sulla sicurezza. Gli autori individuano nove errori ricorrenti, dalla raccolta dei dati al prompting, e li cercano nei 72 paper delle principali sedi di sicurezza e ingegneria del software del 2023-2024: ognuno ne contiene almeno uno, ma solo il 15,7% viene discusso. Quattro casi di studio mostrano risultati gonfiati.
Perché conta. Le prestazioni dichiarate di strumenti di sicurezza basati su LLM vanno lette con prudenza prima di contarci in un'azienda.
5. Four Attacks and a Proof for Telegram
Journal of Cryptology · Martin R. Albrecht, Lenka Mareková, Kenneth G. Paterson, Igors Stepanovs · Metodi formali
In breve: Quattro attacchi e una prova formale sulla crittografia simmetrica di MTProto, il protocollo di Telegram.
È la prima analisi completa della crittografia simmetrica di MTProto 2.0, il TLS di Telegram. Una variante del protocollo risulta sicura in un modello formale, ma gli autori mostrano due attacchi alla specifica e due all'implementazione: canali temporali in tre client ufficiali per recuperare testo in chiaro e una falla nello scambio di chiavi dei server che permette attacchi man-in-the-middle.
Perché conta. Le app di messaggistica usate anche per lavoro possono avere debolezze crittografiche concrete: conviene sceglierle in base a protocolli verificati.
6. Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
arXiv · Jakob Löw, Vishwa Vasu, Thomas Hutzelmann, Hans-Joachim Hof · Crittografia
In breve: Una finta colonnina permette di ricaricare la propria auto elettrica facendo pagare il proprietario di un'altra.
Lo standard europeo ISO 15118 per la ricarica rapida permette alle auto elettriche di pagare da sole con certificati di contratto. L'attacco collega l'auto della vittima a una finta colonnina e inoltra la sua autenticazione a una colonnina reale, che ricarica l'auto dell'attaccante e addebita la vittima. Sfrutta la firma priva dell'identità della stazione e certificati TLS gestiti male.
Perché conta. Con la diffusione del plug-and-charge, frodi di pagamento come questa possono colpire flotte e operatori di ricarica prima che lo standard venga corretto.
7. Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
Network and Distributed System Security Symposium · Gaoning Pan, Yiming Tao, Qinying Wang, Chunming Wu et al. · Sicurezza di sistemi e software
In breve: Riusando la memoria degli ospiti, gli attacchi cross-domain rendono sfruttabili i bug degli hypervisor QEMU e VirtualBox.
Le falle di memoria negli hypervisor sono gravi ma difficili da sfruttare: le strutture utili sono rare e nascoste dalla randomizzazione. Gli autori osservano che la memoria della macchina ospite, controllata dall'attaccante, è accessibile dall'host e la usano come appoggio. Un sistema automatico costruisce intere catene di exploit, efficaci su 15 vulnerabilità reali.
Perché conta. L'evasione da una macchina virtuale colpisce tutti i clienti che condividono lo stesso host: un rischio di cumulo tipico del cloud.
8. Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
IEEE Symposium on Security and Privacy · Giada Stivala, Rafael Mrowczynski, Maria V. Hellenthal, Giancarlo Pellegrino · Sicurezza di sistemi e software
In breve: Ventiquattro provider di hosting spiegano perché le segnalazioni di vulnerabilità portano a così poche correzioni.
Le segnalazioni di vulnerabilità di massa ottengono poche correzioni. Gli autori intervistano 24 provider di hosting condiviso: quasi tutti ricevono e gestiscono le segnalazioni, ma considerano le falle delle applicazioni web una responsabilità del cliente. Tariffe basse e tante compromissioni quotidiane scoraggiano la prevenzione, e i provider attribuiscono la colpa ai proprietari dei siti.
Perché conta. Le piccole imprese su hosting condiviso non possono contare sul fornitore per correggere le falle: la responsabilità resta loro.
9. Breaking the illusion: Automated Reasoning of GDPR Consent Violations
IEEE Symposium on Security and Privacy · Ying Li, Wenjun Qiu, Faysal Hossain Shezan, Kunlin Cai et al. · Privacy
In breve: Cosmic trova violazioni del consenso GDPR nel 94,1% dei moduli web analizzati su 5.823 siti.
GDPR e CCPA chiedono un consenso informato, libero, specifico e inequivocabile, ma la ricerca ha guardato soprattutto ai banner dei cookie. Cosmic analizza in automatico i moduli web che raccolgono il consenso: su 5.823 siti e 3.598 moduli rileva 3.384 violazioni nel 94,1% dei moduli, dal consenso non libero alla mancata indicazione delle finalità e della revoca, con il 99,1% di veri positivi.
Perché conta. Le violazioni del consenso sono diffuse e ora rilevabili in automatico: il rischio di sanzioni privacy per i siti aziendali cresce.
Le tendenze del mese
Sicurezza di AI e LLM
277 paper del mese su questo tema
Con 277 paper su 1.532 la sicurezza dell'AI resta il primo tema. Gli attacchi agli agenti diventano più realistici: ricordi avvelenati che sopravvivono alla sessione, iniezioni che funzionano da una sola fonte su cento e prompt che esauriscono le risorse di un servizio. Allo stesso tempo, una revisione di 72 paper mostra che molti risultati sugli LLM in sicurezza vanno letti con cautela.
Paper citati:
- MemoryGraft: Persistent Compromise of LLM Agents via Poisoned Experience Retrieval
- ObliInjection: Order-Oblivious Prompt Injection Attack to LLM Agents with Multi-source Data
- ThinkTrap: Denial-of-Service Attacks against Black-box LLM Services via Infinite Thinking
- Chasing Shadows: Pitfalls in LLM Security Research
Crittografia
176 paper del mese su questo tema
Due protocolli di uso quotidiano mostrano debolezze concrete. MTProto di Telegram, pur dimostrato sicuro in una variante formale, cede a canali temporali nei client e a una falla nello scambio di chiavi dei server, mentre la ricarica automatica delle auto elettriche permette di far pagare il pieno a un altro automobilista con una finta colonnina.
Paper citati:
- Four Attacks and a Proof for Telegram
- Charge It to My Neighbor: A Relay Attack on ISO 15118 Plug and Charge Payment
Sicurezza di sistemi e software
48 paper del mese su questo tema
Sull'infrastruttura condivisa emergono due rischi. La memoria delle macchine ospiti diventa un appoggio per sfruttare i bug degli hypervisor e uscire dall'isolamento, e i provider di hosting condiviso lasciano ai clienti la correzione delle falle segnalate. In entrambi i casi un solo punto debole può toccare molti clienti insieme.
Paper citati:
- Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks
- Behind the Curtain: How Shared Hosting Providers Respond to Vulnerability Notifications
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1532.