RICERCA
Febbraio 2026: skill malevole per agenti, fughe silenziose, deanonimizzazione con gli LLM
Febbraio 2026 mette al centro la filiera degli agenti AI: le skill di terzi, pacchetti di istruzioni e script, contengono codice malevolo e iniezioni che gli agenti eseguono fino all'80% delle volte. Gli agenti possono esfiltrare dati senza lasciare tracce nella risposta, e gli LLM rendono la deanonimizzazione online un'operazione di massa. Chiudono il mese Android e passkey.
Archivio: ricostruzione scritta a novembre 2026
1. "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
arXiv · Yi Liu, Zhihao Chen, Yanjun Zhang, Gelei Deng et al. · Sicurezza di AI e LLM
In breve: Su 98.380 skill per agenti di programmazione, 157 sono malevole, e metà viene da un solo attore che imita marchi noti.
Gli agenti di programmazione usano skill di terzi, pacchetti di istruzioni e script che girano con i privilegi dell'utente. Gli autori analizzano 98.380 skill di due registri: 157 sono malevole, con 632 vulnerabilità e 13 tecniche d'attacco. Prevalgono furto di credenziali e istruzioni ostili nella documentazione; oltre metà dei casi viene da un solo attore. Tutte sono state rimosse.
Perché conta. Le skill sono un nuovo canale della catena di fornitura software: vanno verificate come qualsiasi dipendenza prima di installarle.
2. Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
arXiv · David Schmotz, Luca Beurer-Kellner, Sahar Abdelnabi, Maksym Andriushchenko · Sicurezza di AI e LLM
In breve: Iniezioni nascoste nei file delle skill riescono fino all'80% delle volte contro gli agenti più avanzati.
Le skill estendono gli agenti con codice, conoscenze e istruzioni di terzi, e diventano una nuova superficie d'iniezione. SkillInject raccoglie 202 coppie di attacco e compito, da iniezioni evidenti a istruzioni sottili nascoste in testi legittimi. Gli agenti più avanzati cadono fino all'80% delle volte, eseguendo esfiltrazioni, azioni distruttive e comportamenti simili al ransomware.
Perché conta. Modelli più grandi o filtri semplici non bastano: servono regole di autorizzazione legate al contesto prima di dare agli agenti accesso ai sistemi.
3. Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
arXiv · Qianlong Lan, Anuj Kaul, Shaun Jones, Stephanie Westrum · Sicurezza di AI e LLM
In breve: Un'anteprima di link avvelenata fa esfiltrare dati a un agente mentre la risposta all'utente sembra innocua.
Gli agenti che aprono URL leggono anche titoli, metadati e anteprime generate in automatico. Una pagina malevola può nascondervi istruzioni che spingono l'agente a inviare dati sensibili verso l'esterno, mentre la risposta finale resta pulita. In 480 prove l'attacco riesce nell'89% dei casi e il 95% sfugge ai controlli sull'output. Funzionano meglio difese di rete come liste di domini ammessi.
Perché conta. Il traffico in uscita degli agenti va controllato come un rischio di fuga di dati: le verifiche sulle sole risposte non lo vedono.
4. AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
arXiv · Hao Li, Ruoyao Wen, Shanghao Shi, Ning Zhang et al. · Sicurezza di AI e LLM
In breve: AgentDyn mostra che quasi tutte le difese contro l'iniezione indiretta sono troppo deboli o bloccano anche il lavoro utile.
Le difese degli agenti contro l'iniezione indiretta di prompt vengono valutate su benchmark statici e semplici. AgentDyn propone 60 compiti aperti e 560 casi d'iniezione tra acquisti online, GitHub e vita quotidiana, con pianificazione dinamica e istruzioni di terzi utili da seguire. Su dieci difese recenti quasi tutte risultano insicure o così restrittive da bloccare anche le attività legittime.
Perché conta. I risultati di laboratorio delle difese per agenti non si trasferiscono all'uso reale: le dichiarazioni dei fornitori vanno verificate.
Leggi il paper · PDF · Codice
5. Large-scale online deanonymization with LLMs
arXiv · Simon Lermen, Daniel Paleka, Joshua Swanson, Michael Aerni et al. · Privacy
In breve: Un agente LLM collega profili pseudonimi alle persone reali con il 68% di richiamo al 90% di precisione.
Con accesso a internet, un agente LLM reidentifica utenti di Hacker News e partecipanti a interviste partendo solo da profili pseudonimi e conversazioni, come farebbe un investigatore in ore di lavoro. Su dati non strutturati di più piattaforme, estrae indizi, cerca candidati e verifica le corrispondenze: arriva al 68% di richiamo al 90% di precisione, contro quasi zero dei metodi classici.
Perché conta. Lo pseudonimo non protegge più: dati aziendali pseudonimizzati e profili di dipendenti vanno trattati come potenzialmente identificabili.
6. The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
arXiv · Blake Bullwinkel, Giorgio Severi, Keegan Hines, Amanda Minnich et al. · Sicurezza di AI e LLM
In breve: Uno scanner ritrova i trigger delle backdoor nascoste negli LLM usando solo l'inferenza.
Scoprire se un LLM nasconde una backdoor dormiente è difficile. Gli autori notano che questi modelli tendono a memorizzare i dati di avvelenamento, che si possono quindi far emergere, e che mostrano segnali tipici nell'output e nelle teste di attenzione quando compare il trigger. Lo scanner non deve conoscere il trigger e lo ricostruisce su molti modelli.
Perché conta. Verificare i modelli di terzi prima di adottarli diventa praticabile: è un controllo utile per chi integra LLM nei propri prodotti.
7. Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
arXiv · Takashi Koide, Hiroki Nakano, Daiki Chiba · Sicurezza di AI e LLM
In breve: I siti di phishing possono nascondere istruzioni che ingannano i rilevatori basati su LLM.
Gli LLM multimodali vengono usati per riconoscere i siti di phishing analizzando URL, HTML e pagina visualizzata. Ma chi crea il sito controlla questi elementi e può inserirvi istruzioni invisibili all'utente. La prima valutazione sistematica mostra che anche i modelli più avanzati cadono, in laboratorio e su siti reali. La difesa InjectDefuser riduce il successo degli attacchi.
Perché conta. I filtri anti-phishing basati su AI possono essere manipolati dagli stessi attaccanti: non vanno considerati un controllo infallibile.
8. Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
arXiv · Zhou Xuan, Xiangzhe Xu, Mingwei Zheng, Louis Zheng-Hua Tan et al. · Malware e minacce
In breve: TTPDetect, un agente LLM, riconosce tattiche e tecniche degli attaccanti nel codice dei malware con l'87% di precisione.
Riconoscere le tecniche di un malware è difficile se il binario è privo di simboli e il comportamento è sparso. TTPDetect restringe i punti d'analisi con il recupero semantico e usa un agente che esplora il contesto funzione per funzione. Sul codice decompilato raggiunge il 93% di precisione e richiamo; su malware reali ritrova l'85,7% delle tecniche note e ne scopre altre 10,5.
Perché conta. Un'analisi più rapida dei campioni accelera la risposta agli incidenti e la ricostruzione di cosa ha fatto l'attaccante.
9. Unveiling the Global Landscape of Android Security Updates
IEEE Transactions on Dependable and Secure Computing · Haiyun Deng, Güliz Seray Tuncay, Abbas Acar, Esteban Luques et al. · Web e mobile
In breve: Dieci anni di aggiornamenti Android su 904 dispositivi: grandi ritardi e falle quasi sempre sfruttabili senza interazione.
Gli autori analizzano 567.000 record di aggiornamenti di sicurezza Android dal 2014 al 2024, per 904 dispositivi di sei produttori in 98 paesi. I tempi di rilascio cambiano molto tra produttori, tipi di dispositivo e regioni, anche per la frammentazione. Sui dispositivi non aggiornati circa l'89,7% delle vulnerabilità si sfrutta senza interazione dell'utente e con bassa complessità.
Perché conta. I telefoni aziendali non aggiornati sono un punto d'ingresso facile: la politica di sostituzione e aggiornamento dei dispositivi pesa sul rischio.
10. State of Passkey Authentication in the Wild: A Census of the Top 100K sites
arXiv · Prince Bhardwaj, Nishanth Sastry · Identità e autenticazione
In breve: Il primo censimento delle passkey sui 100.000 siti più visitati mostra un'adozione legata alla popolarità e ai provider esterni.
Le passkey, credenziali FIDO2 sincronizzate tra dispositivi, promettono accessi senza password e resistenti al phishing, ma la loro diffusione reale era ignota. Gli autori sviluppano Fidentikit, un crawler con 43 euristiche, e lo applicano ai 100.000 domini più popolari. L'adozione cresce con la popolarità del sito e dipende spesso da provider d'identità esterni.
Perché conta. Le passkey riducono il rischio di furto di credenziali, ma la loro adozione resta concentrata sui grandi siti.
Le tendenze del mese
Supply chain del software
8 paper del mese su questo tema
Le skill per agenti AI diventano una nuova catena di fornitura. Nei registri pubblici compaiono decine di skill malevole, molte dallo stesso attore che imita marchi noti, e anche le iniezioni più sottili nei file delle skill vengono eseguite dagli agenti più avanzati fino all'80% delle volte. Valgono le stesse regole delle dipendenze software: verifica, provenienza e permessi minimi.
Paper citati:
- "Do Not Mention This to the User": Detecting and Understanding Malicious Agent Skills in the Wild
- Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks
Sicurezza di AI e LLM
401 paper del mese su questo tema
Con 401 paper su 1.619 la sicurezza dell'AI resta il primo tema. Gli agenti possono esfiltrare dati mentre la risposta sembra innocua, e quasi tutte le difese contro l'iniezione indiretta cedono in ambienti realistici. Sul fronte difensivo arrivano scanner che ritrovano le backdoor nei modelli, mentre la deanonimizzazione con gli LLM rende identificabili profili finora protetti dallo pseudonimo.
Paper citati:
- Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace
- AgentDyn: Are Your Agent Security Defenses Deployable in Real-World Dynamic Environments?
- The Trigger in the Haystack: Extracting and Reconstructing LLM Backdoor Triggers
- Large-scale online deanonymization with LLMs
Malware e minacce
33 paper del mese su questo tema
Sulle minacce tradizionali gli LLM lavorano su entrambi i fronti. Un agente riconosce le tecniche degli attaccanti nel codice dei malware e ne scopre di nuove, ma i siti di phishing possono nascondere istruzioni che ingannano i rilevatori basati su LLM. Intanto dieci anni di dati Android mostrano che i dispositivi non aggiornati restano facili da attaccare.
Paper citati:
- Identifying Adversary Tactics and Techniques in Malware Binaries with an LLM Agent
- Clouding the Mirror: Stealthy Prompt Injection Attacks Targeting LLM-based Phishing Detection
- Unveiling the Global Landscape of Android Security Updates
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1619.