RICERCA
Marzo 2026: un worm tra gli agenti AI, chiavi Bitcoin e calcolo quantistico, chip truccati
Marzo 2026 è il mese di OpenClaw: il framework aperto per agenti locali è fragile e AgentWorm si propaga da un'istanza all'altra con un solo messaggio. Nuove stime abbassano le risorse quantistiche necessarie per rompere le chiavi delle criptovalute. Sull'hardware arrivano trojan invisibili al microscopio, chiavi Falcon recuperate a freddo e modelli rubati dalla GPU a un metro di distanza.
Archivio: ricostruzione scritta a novembre 2026
1. AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
arXiv · Yihao Zhang, Zeming Wei, Xiaokun Luan, Chengcan Wu et al. · Sicurezza di AI e LLM
In breve: AgentWorm è il primo worm che si autoreplica tra agenti AI in produzione, partendo da un solo messaggio.
OpenClaw, piattaforma aperta con oltre 40.000 istanze, dà agli agenti configurazioni persistenti, strumenti e messaggistica. AgentWorm ne dirotta la configurazione, esegue un payload a ogni riavvio e si propaga ai contatti senza altri interventi. Su cinque LLM il successo medio è del 63%, e i controlli che fermerebbero il contagio non risultano attivi in nessuna installazione osservata.
Perché conta. Un worm tra agenti può colpire molte organizzazioni in poco tempo: è uno scenario di cumulo da considerare per chi usa agenti autonomi.
2. Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
arXiv · Zhengyang Shan, Jiayun Xin, Yue Zhang, Minghui Xu · Sicurezza di AI e LLM
In breve: Senza difese proprie, OpenClaw blocca in media solo il 17% di 47 attacchi; un controllo umano lo porta fino al 92%.
OpenClaw esegue comandi di shell per conto dell'utente e non ha vincoli di sicurezza nativi: si affida al solo LLM. Su 47 scenari d'attacco tratti da MITRE ATLAS e ATT&CK la difesa media è del 17%, con forte esposizione all'evasione dalla sandbox. Gli autori aggiungono un livello di approvazione umana che blocca otto attacchi gravi e porta il tasso di difesa tra il 19% e il 92%.
Perché conta. Gli agenti con accesso alla shell vanno accompagnati da approvazioni umane sulle azioni a rischio: il modello da solo non basta.
3. Quantifying Frontier LLM Capabilities for Container Sandbox Escape
arXiv · Rahul Marchand, Art O Cathain, Jerome Wynne, Philippos Maximos Giavridis et al. · Sicurezza di sistemi e software
In breve: Un benchmark misura la capacità degli LLM di uscire dai container Docker: se c'è una falla, la trovano e la sfruttano.
Gli agenti AI vengono spesso isolati in container Docker o OCI. SandboxEscapeBench misura in sicurezza la capacità di un LLM di evaderne, con una sandbox annidata in cui lo strato esterno non ha vulnerabilità note. Gli scenari spaziano da configurazioni errate e privilegi eccessivi a falle del kernel e dell'orchestrazione. Quando le vulnerabilità ci sono, i modelli le individuano e le sfruttano.
Perché conta. Il container non è una garanzia sufficiente per gli agenti: configurazione e aggiornamento dell'isolamento diventano controlli critici.
4. AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
arXiv · Yu He, Haozhe Zhu, Yiming Li, Shuo Shao et al. · Sicurezza di AI e LLM
In breve: AttriGuard chiede perché l'agente vuole chiamare uno strumento e blocca le azioni dettate da contenuti esterni.
Le difese contro l'iniezione indiretta di prompt cercano di riconoscere i testi malevoli e faticano con attacchi nuovi. AttriGuard cambia prospettiva: per ogni chiamata a uno strumento riesegue l'agente con le osservazioni esterne attenuate e verifica se la chiamata nasce dall'intento dell'utente. Su quattro LLM e due benchmark azzera gli attacchi statici e regge anche contro quelli adattivi.
Perché conta. Controllare le azioni dell'agente, e non solo i testi che legge, rende le difese più robuste contro attacchi sconosciuti.
5. Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
arXiv · Ryan Babbush, Adam Zalcman, Craig Gidney, Michael Broughton et al. · Crittografia
In breve: Nuove stime: meno di mezzo milione di qubit fisici potrebbero rompere in pochi minuti le chiavi ellittiche delle criptovalute.
Gli autori stimano le risorse per rompere con Shor il logaritmo discreto su secp256k1, la curva di Bitcoin e di molte blockchain: circa 1.200-1.450 qubit logici e 70-90 milioni di porte Toffoli, validati con una prova a conoscenza zero. Su hardware superconduttore basterebbero minuti e meno di mezzo milione di qubit fisici, abbastanza per attaccare le transazioni prima della conferma.
Perché conta. La migrazione post-quantistica delle criptovalute e dei sistemi che custodiscono asset digitali ha tempi più stretti del previsto.
6. FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
IACR Transactions on Cryptographic Hardware and Embedded Systems · Hiroto Kaihara, Mehdi Tibouchi, Masayuki Abe · Crittografia
In breve: Un attacco cold boot recupera le chiavi della firma post-quantistica Falcon da un Raspberry Pi.
Gli attacchi cold boot leggono la RAM appena spenta, che conserva ancora quasi tutti i dati. Gli autori li applicano a Falcon, firma post-quantistica basata su NTRU con chiavi salvate in virgola mobile, e al suo predecessore DLP. Nonostante gli errori numerici recuperano le chiavi complete con buona probabilità, anche su un Raspberry Pi reale, e propongono contromisure leggere.
Perché conta. Le implementazioni post-quantistiche devono proteggere le chiavi in memoria anche dagli attacchi fisici, soprattutto su dispositivi esposti.
7. Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
IEEE Symposium on Security and Privacy · Kolja Dorschel, René Walendy, Lukas Plätz, Thorben Moos et al. · Sicurezza di AI e LLM
In breve: Celle logiche diverse ma identiche al microscopio elettronico permettono di nascondere trojan hardware nei chip.
Su immagini al microscopio elettronico di quattro circuiti integrati, gli autori valutano quanto le librerie di celle standard si prestino a nascondere trojan hardware. In tutte trovano celle con funzioni logiche diverse ma indistinguibili nelle immagini dal retro del chip. Le usano per costruire un trojan invisibile: una backdoor di escalation dei privilegi in un processore RISC-V Ibex.
Perché conta. La catena di fornitura dei semiconduttori può nascondere manomissioni difficili da rilevare anche con l'ispezione fisica.
8. Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
IEEE Conference on Secure and Trustworthy Machine Learning · Peter Horvath, Ilia Shumailov, Łukasz Chmielewski, Lejla Batina et al. · Hardware e canali laterali
In breve: Le emissioni elettromagnetiche dei Tensor Core delle GPU rivelano i parametri dei modelli, anche a un metro di distanza.
I grandi modelli costano milioni e attirano i ladri. Kraken è il primo attacco a canale laterale che estrae parametri dai Tensor Core delle GPU, le unità oggi più usate, analizzando le emissioni elettromagnetiche ravvicinate con la correlazione di potenza. Un'analisi esplorativa mostra che la radiazione della GPU lascia trapelare informazioni sugli LLM fino a 100 cm, anche dietro un vetro.
Perché conta. I modelli proprietari sono beni di grande valore: la protezione fisica dei server dove girano diventa parte della tutela della proprietà intellettuale.
9. Beyond Control: Exploring Novel File System Objects for Data-Only Attacks on Linux Systems
IEEE Transactions on Dependable and Secure Computing · Jinmeng Zhou, Ziyue Pan, Jiayi Hu, Jiaxun Zhu et al. · Sicurezza di sistemi e software
In breve: Oggetti del file system di Linux permettono exploit del kernel senza toccare il flusso di controllo, nonostante tutte le difese.
Con l'integrità del flusso di controllo, gli attaccanti puntano ai dati critici del kernel. Gli autori li cercano in modo semiautomatico nel file system di Linux, li classificano per strategia d'attacco e mostrano come aggirare l'isolamento che li protegge, spesso senza dover superare KASLR. Validano il metodo su 18 CVE reali e scrivono 10 exploit completi con tutte le mitigazioni attive.
Perché conta. Le mitigazioni del kernel non chiudono la porta all'escalation dei privilegi: patch tempestive restano la difesa principale.
10. NetPuzz: Testing Network Printers via Fully Black-Box and Feedback-Guided Protocol Fuzzing
IEEE Transactions on Dependable and Secure Computing · Jia-Ju Bai, Rui-Nan Hu, Chenglong Li, Jianjun Chen et al. · Sicurezza di sistemi e software
In breve: NetPuzz testa le stampanti di rete a scatola chiusa e trova 25 vulnerabilità nuove in sette modelli commerciali.
Le stampanti di rete hanno falle sfruttabili e firmware chiuso. NetPuzz esegue fuzzing dei protocolli di stampa senza codice sorgente, reverse engineering o emulazione: genera sequenze di pacchetti guidate dalle risposte della stampante e isola il caso minimo che provoca il guasto. Su sette stampanti commerciali trova 25 vulnerabilità nuove, 23 già con identificativo CVE o CNVD.
Perché conta. Le stampanti sono dispositivi di rete spesso dimenticati negli inventari: possono diventare un punto d'ingresso nella rete aziendale.
Le tendenze del mese
Sicurezza di AI e LLM
485 paper del mese su questo tema
Con 485 paper su 1.902 la sicurezza dell'AI resta il primo tema, e marzo lo concentra sugli agenti con accesso al sistema. OpenClaw blocca da solo meno di un attacco su cinque, un worm si propaga tra istanze con un messaggio e gli LLM sanno sfruttare le falle dei container. Le difese più promettenti, come AttriGuard e l'approvazione umana, controllano le azioni invece dei testi.
Paper citati:
- AgentWorm: Self-Propagating Attacks Across LLM Agent Ecosystems
- Don't Let the Claw Grip Your Hand: A Security Analysis and Defense Framework for OpenClaw
- Quantifying Frontier LLM Capabilities for Container Sandbox Escape
- AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations
Crittografia post-quantistica
63 paper del mese su questo tema
La transizione post-quantistica guadagna urgenza su due fronti. Le nuove stime riducono a meno di mezzo milione di qubit fisici l'hardware necessario per rompere le chiavi delle criptovalute in pochi minuti, mentre l'attacco cold boot a Falcon ricorda che anche gli algoritmi nuovi vanno implementati con attenzione alla protezione fisica delle chiavi.
Paper citati:
- Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations
- FrozenTRU: Cold Boot Attacks on NTRU-Based Hash-and-Sign Signatures
Hardware e canali laterali
29 paper del mese su questo tema
L'hardware resta un punto cieco. Celle logiche indistinguibili al microscopio permettono di nascondere trojan nei chip già in fase di produzione, e le emissioni elettromagnetiche delle GPU lasciano trapelare i parametri dei modelli anche a un metro di distanza. Fiducia nei fornitori e sicurezza fisica dei server restano parte del rischio.
Paper citati:
- Hardware Trojans from Invisible Inversions: On the Trojanizability of Standard Cell Libraries
- Kraken: Higher-order EM Side-Channel Attacks on DNNs in Near and Far Field
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1902.