RICERCA
Aprile 2026: falle 5G prima del login, audio che dirotta gli agenti, PQC sotto attacco
Sicurezza OT e industriaCatena di fornituraNIS2 e DORAResponsabilità e prodotti
Aprile 2026 porta gli atti di IEEE S&P. Messaggi 5G validi ma incoerenti mandano in crash i modem di 542 modelli di smartphone, e audio impercettibile dirotta gli assistenti vocali. Gli agenti che usano il computer causano danni anche con istruzioni innocue. Sul fronte post-quantistico, HQC e Falcon cedono a canali laterali. Chiudono il mese il mercato dei lead assicurativi e l'AI Act.
Archivio: ricostruzione scritta a novembre 2026
1. Semantics Over Syntax: Uncovering Pre-Authentication 5G Baseband Vulnerabilities
arXiv · Qiqing Huang, Xingyu Wang, Wanda Guo, Guofei Gu et al. · Sicurezza di rete
In breve: Messaggi 5G corretti nella forma ma incoerenti nel contenuto mandano in crash i modem prima dell'autenticazione.
I telefoni 5G elaborano i messaggi di configurazione radio prima che autenticazione e protezione d'integrità siano attive. ConSeT ricava dalle specifiche i vincoli tra i campi, con l'aiuto di un LLM, e genera messaggi validi ma incoerenti. Sugli smartphone commerciali trova sette vulnerabilità nuove, tre CVE gravi, che toccano 64 chipset e oltre 542 modelli di telefono.
Perché conta. Un attaccante con una stazione radio falsa può bloccare i telefoni senza alcuna credenziale: il rischio riguarda intere flotte aziendali.
2. Hijacking Large Audio-Language Models via Context-Agnostic and Imperceptible Auditory Prompt Injection
IEEE Symposium on Security and Privacy · Miaona Chen, K Wang, Li Li, Jiaheng Zhang et al. · Sicurezza di AI e LLM
In breve: Audio avversario impercettibile, mascherato da riverbero, dirotta i modelli audio-linguistici fino al 96% delle volte.
I modelli audio-linguistici alimentano gli assistenti vocali e aprono un nuovo canale d'attacco. AudioHijack genera audio che funziona in qualunque contesto e lo nasconde in un riverbero naturale. Su 13 modelli recenti il dirottamento riesce in media tra il 79% e il 96% dei casi, e agenti vocali commerciali di Mistral AI e Microsoft Azure eseguono azioni non autorizzate per conto dell'utente.
Perché conta. Gli assistenti vocali che agiscono per conto dell'utente possono essere comandati da un suono nascosto: un rischio per frodi e accessi.
3. The Blind Spot of Agent Safety: How Benign User Instructions Expose Critical Vulnerabilities in Computer-Use Agents
arXiv · Xuwei Ding, Skylar Zhai, Linxin Song, Jiate Li et al. · Sicurezza di AI e LLM
In breve: Con istruzioni del tutto innocue, gli agenti che usano il computer causano danni in oltre il 90% dei casi.
Le valutazioni di sicurezza degli agenti guardano a usi malevoli e iniezioni di prompt, ma il danno può nascere anche da un compito innocuo in un contesto rischioso. OS-BLIND propone 300 compiti in 12 categorie e 8 applicazioni. La maggior parte degli agenti supera il 90% di successo dell'attacco; anche un modello molto allineato arriva al 73%, e al 92,7% quando lavora in un sistema multi-agente.
Perché conta. La responsabilità per i danni causati da un agente non dipende solo dalle intenzioni dell'utente: servono controlli sull'esito delle azioni.
4. Beyond Indistinguishability: Measuring Extraction Risk in LLM APIs
IEEE Symposium on Security and Privacy · R Liu, David Evans, Li Xiong · Sicurezza di AI e LLM
In breve: La privacy differenziale non basta a impedire che un LLM via API riveli testo protetto: serve una misura diretta dell'estraibilità.
Privacy differenziale e bassa inferenza d'appartenenza sono usate come prova che un modello non rivela i dati di addestramento. Gli autori dimostrano che non sono né sufficienti né necessarie contro l'estrazione via API. Propongono una definizione basata sulle richieste necessarie a far emettere un testo protetto, uno stimatore e linee guida pratiche.
Perché conta. Chi espone un LLM addestrato su dati riservati deve misurare il rischio di estrazione direttamente: le metriche di privacy usuali possono rassicurare a torto.
Leggi il paper · PDF · Codice
5. Breaking Optimized HQC: The First Cache-Timing Full Decryption Oracle Key-Recovery Attack in Post-Quantum Cryptography
CRYPTO · Haiyue Dong, Qian Guo · Crittografia post-quantistica
In breve: Un'ottimizzazione del compilatore rende non costante nel tempo HQC, standard post-quantistico, e ne espone la chiave in dieci secondi.
Il sorgente dell'implementazione AVX2 di HQC è a tempo costante, ma alcune ottimizzazioni del compilatore lo riscrivono e introducono salti che dipendono dal segreto. Un attaccante senza privilegi sulla stessa macchina osserva la cache con Flush+Reload e, con un nuovo metodo di decodifica accelerato su GPU, recupera la chiave completa di hqc-1 con meno di dieci secondi di tracce.
Perché conta. La sicurezza degli algoritmi post-quantistici dipende anche da come vengono compilati: va verificata sul binario, non solo sul codice.
6. Secret Key Recovery of FALCON using Simple Power Analysis in Conditional Calculator
IACR Transactions on Cryptographic Hardware and Embedded Systems · Gyusang Kim, Jeonghwan Lee, Myeonghoon Lee, Hong Seokhie et al. · Crittografia post-quantistica
In breve: Una singola traccia di consumo basta a recuperare la chiave segreta della firma post-quantistica Falcon.
Falcon, firma post-quantistica del NIST, usa la virgola mobile, il cui consumo può dipendere dai dati. Gli autori sfruttano il calcolatore condizionale nelle conversioni e nelle somme in virgola mobile con un'analisi semplice del consumo, anche su una sola traccia. Recuperano la chiave in 0,12 secondi e la ritrovano anche con il 9,3% dei bit misurati errati, su 1.000 chiavi diverse.
Perché conta. Le firme post-quantistiche su smart card e dispositivi embedded richiedono protezioni specifiche contro la misura del consumo.
7. GlitchSnipe: Toward Localized Voltage Fault Attacks
IACR Transactions on Cryptographic Hardware and Embedded Systems · Fatemeh Khojasteh Dana, Saleh Khalaj Monfared, Hamed Okhravi, Shahin Tajik · Hardware e canali laterali
In breve: Un segnale sinusoidale sull'alimentazione permette di indurre guasti solo in zone precise del chip.
Il glitch di tensione è considerato un attacco che colpisce tutto il chip in modo uniforme. Gli autori mostrano che la rete di alimentazione si comporta come un canale di comunicazione: frequenze diverse raggiungono zone diverse del die. Modulando l'alimentazione con una sola frequenza si inducono guasti localizzati. Il metodo funziona su FPGA contro macchine a stati e implementazioni AES-128.
Perché conta. Gli attacchi fisici diventano più precisi ed economici: i dispositivi che custodiscono chiavi devono considerarli nel progetto.
8. Security risk assessment of android automotive OS software supply chain using firmware reverse engineering
Computers & Security · Hanbo Yu, Faiyaz Khan, Steven H. H. Ding, Junjie Wu et al. · Sistemi cyber-fisici e IoT
In breve: L'analisi del firmware Android Automotive di quattro case auto trova componenti vulnerabili e pratiche SBOM incoerenti.
Android Automotive OS gestisce infotainment e parte delle funzioni del veicolo, e dipende da molte librerie di terzi. Gli autori estraggono il firmware di quattro grandi case automobilistiche, ne ricavano la distinta dei componenti software, mappano le CVE note e scrivono exploit di prova: una vulnerabilità critica viene attivata, altre sono neutralizzate da protezioni o dipendenze mancanti.
Perché conta. Il software dei veicoli eredita le falle della sua catena di fornitura: un tema rilevante per la responsabilità prodotto nel settore auto.
9. Understanding Data Collection, Brokerage, and Spam in the Lead Marketing Ecosystem
IEEE Symposium on Security and Privacy · Yash Vekaria, Nurullah Demir, Konrad Kollnig, Zubair Shafiq
In breve: I siti che offrono preventivi assicurativi sanitari passano i dati a decine di terzi e scatenano migliaia di chiamate.
Il mercato dei lead raccoglie dati personali tramite moduli web per preventivi in settori come le assicurazioni, e li rivende. Gli autori monitorano oltre 100 siti di lead sanitari e 200 recapiti di prova: i dati di salute arrivano a più di 70 terzi, vengono venduti ad acquirenti non verificati e talvolta arricchiti con dati inventati. Ne seguono oltre 8.000 chiamate, spesso entro pochi secondi.
Perché conta. Gli intermediari che comprano lead per vendere polizze possono esporsi a violazioni di privacy e reputazione lungo tutta la filiera.
10. AI Agents Under EU Law
arXiv · Luca Nannini, Adam Leon Smith, Michele Joshua Maggini, Enrico Panai et al. · Policy, diritto e società
In breve: Una mappa degli obblighi europei per chi fornisce agenti AI: AI Act, GDPR, Cyber Resilience Act, NIS2 e responsabilità prodotto.
Gli agenti AI autonomi ricadono sotto l'AI Act, ma anche sotto GDPR, Cyber Resilience Act, DSA, NIS2 e nuova direttiva sulla responsabilità da prodotto. Gli autori propongono una tassonomia in nove categorie e un percorso di conformità in dodici passi, e concludono che gli agenti ad alto rischio con comportamento non tracciabile oggi non possono essere conformi.
Perché conta. Chi adotta agenti AI deve inventariare azioni, dati e sistemi collegati: è il primo passo per conformità e valutazione del rischio.
Le tendenze del mese
Sicurezza di AI e LLM
466 paper del mese su questo tema
Con 466 paper su 1.861 la sicurezza dell'AI resta il primo tema. Il rischio si allarga oltre il testo: audio impercettibile comanda gli assistenti vocali commerciali, gli agenti che usano il computer fanno danni anche con istruzioni innocue e le garanzie di privacy più diffuse non bastano a evitare che un LLM via API riveli dati protetti.
Paper citati:
- Hijacking Large Audio-Language Models via Context-Agnostic and Imperceptible Auditory Prompt Injection
- The Blind Spot of Agent Safety: How Benign User Instructions Expose Critical Vulnerabilities in Computer-Use Agents
- Beyond Indistinguishability: Measuring Extraction Risk in LLM APIs
Crittografia post-quantistica
79 paper del mese su questo tema
Con l'arrivo degli standard post-quantistici, l'attenzione si sposta sulle implementazioni. Un'ottimizzazione del compilatore espone la chiave di HQC in dieci secondi, una sola traccia di consumo basta per Falcon e i guasti di tensione diventano mirati. La matematica regge, ma codice compilato e hardware vanno verificati uno per uno.
Paper citati:
- Breaking Optimized HQC: The First Cache-Timing Full Decryption Oracle Key-Recovery Attack in Post-Quantum Cryptography
- Secret Key Recovery of FALCON using Simple Power Analysis in Conditional Calculator
- GlitchSnipe: Toward Localized Voltage Fault Attacks
Policy, diritto e società
60 paper del mese su questo tema
Due lavori toccano da vicino il mondo assicurativo e la regolazione. Il mercato dei lead per i preventivi sanitari diffonde dati sensibili a decine di terzi e li vende senza controlli, mentre una mappa delle norme europee mostra che gli agenti AI ad alto rischio con comportamento non tracciabile oggi non possono rispettare l'AI Act.
Paper citati:
- AI Agents Under EU Law
- Understanding Data Collection, Brokerage, and Spam in the Lead Marketing Ecosystem
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 1861.