RICERCA
Maggio 2026: il calcolo confidenziale cede all'hardware economico, falle OAuth e MCP
Maggio 2026 è il mese di IEEE S&P. Con hardware economico sul bus di memoria, due gruppi violano Intel SGX, TDX e AMD SEV-SNP, e il Rowhammer sulle GPU porta fino al controllo del sistema. Gli strumenti MCP si combinano in catene che esfiltrano dati, e i browser con agenti AI aggirano l'isolamento dei siti. OAuth, password manager e attribuzione degli attacchi completano il mese.
Archivio: ricostruzione scritta a novembre 2026
1. TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
IEEE Symposium on Security and Privacy · Jalen Chuang, Alex Seto, Nicolas Berrios, Stephan van Schaik et al. · Hardware e canali laterali
In breve: Con componenti comprati online, TEE.Fail intercetta il bus DDR5 ed estrae chiavi da Intel SGX, TDX e AMD SEV-SNP.
Il passaggio delle enclavi dai PC alle macchine virtuali confidenziali sui server ha tolto alla cifratura della memoria integrità e protezione dai replay. Gli autori costruiscono con pezzi da e-commerce un dispositivo per intercettare il bus DDR5 e, grazie alla cifratura deterministica, estraggono chiavi segrete, in alcuni casi di attestazione, da macchine in stato pienamente fidato.
Perché conta. Molti servizi cloud promettono riservatezza anche verso il fornitore: chi ci conta deve sapere che l'accesso fisico la annulla con poca spesa.
2. Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
IEEE Symposium on Security and Privacy · Jesse De Meulemeester, David Oswald, Ingrid M.R. Verbauwhede, Jo Van Bulck · Hardware e canali laterali
In breve: Un interposer DDR4 a basso costo altera al volo gli indirizzi di memoria e rompe l'attestazione di SGX e SEV-SNP.
Il calcolo confidenziale cifra la memoria e, dopo recenti attacchi, controlla gli alias all'avvio. Battering RAM è un interposer DDR4 economico che modifica le linee di indirizzo durante l'esecuzione, aggirando questi controlli. Gli autori leggono e scrivono in chiaro in Scalable SGX, estraggono la chiave di provisioning e violano di nuovo l'attestazione di AMD SEV-SNP.
Perché conta. Le difese firmware contro l'aliasing non bastano contro un attaccante fisico: il rischio riguarda soprattutto data center di terzi.
3. GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
IEEE Symposium on Security and Privacy · Chris S. Lin, Yuqin Yan, Guozhen Ding, Joy Qu et al. · Hardware e canali laterali
In breve: GPUBreach usa il Rowhammer sulla memoria delle GPU NVIDIA per scalare i privilegi fino al controllo dell'intero sistema.
Il Rowhammer sulle GPU era finora usato solo per alterare a caso i pesi dei modelli. GPUBreach individua dove vengono allocate le tabelle delle pagine della GPU e le altera con bit flip mirati: un processo senza privilegi accede alla memoria di altri processi o clienti, estrae chiavi crittografiche e modifica il codice dei modelli. Da lì arriva a una shell di root sulla CPU, aggirando l'IOMMU.
Perché conta. Le GPU condivise nel cloud diventano un punto di compromissione per tutti i clienti che le usano: un rischio di cumulo da valutare.
4. Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
IEEE Symposium on Security and Privacy · Shuli Zhao, Qinsheng Hou, Zihan Zhan, Yanhao Wang et al. · Sicurezza di AI e LLM
In breve: Istruzioni nascoste nei dati combinano strumenti MCP legittimi in catene che esfiltrano informazioni private.
Con il Model Context Protocol gli LLM orchestrano catene di strumenti. Gli autori descrivono gli attacchi parassiti: istruzioni nascoste in fonti esterne lette durante un compito legittimo assemblano strumenti innocui in un flusso che raccoglie ed esfiltra dati privati, senza interazione della vittima. Un censimento di 12.230 strumenti su 1.360 server MCP mostra molte componenti sfruttabili.
Perché conta. MCP manca di isolamento e privilegi minimi: collegare strumenti aziendali a un agente richiede di limitarne con cura i permessi.
5. Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
IEEE Symposium on Security and Privacy · Suyoung Lee, Seongho Keum, C W Lee, Dongwon Shin et al. · Sicurezza di AI e LLM
In breve: Tutti i browser e le estensioni con agenti AI analizzati permettono di aggirare l'isolamento tra siti.
L'isolamento dei siti impedisce a una pagina malevola di leggere i dati di altri siti. I browser con agenti AI, però, collegano processi privilegiati e pagine non fidate con canali interni. Analizzando due browser open source e sette estensioni, gli autori sfruttano questi canali per iniettare prompt e sottrarre dati dell'utente da altri siti. Tutti i prodotti testati risultano vulnerabili.
Perché conta. I browser con agenti AI riaprono un rischio che l'isolamento dei siti aveva chiuso: l'adozione in azienda va valutata con attenzione.
6. Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
IEEE Symposium on Security and Privacy · Yihe Duan, D Y Wang, Yutong Li · Identità e autenticazione
In breve: I controlli delle password violate nei password manager lasciano tracce che permettono di identificare gli utenti e indovinare le password.
Molti password manager verificano le credenziali su servizi come Have I Been Pwned con richieste a k-anonimato, ma deterministiche e riconoscibili. Un servizio curioso può identificare tra l'83% e l'88% degli utenti e aumentare del 15-30% il successo nell'indovinare la password al primo tentativo. Dieci su 14 password manager sono vulnerabili.
Perché conta. Anche le funzioni di sicurezza possono far trapelare informazioni: i fornitori terzi nella catena dei password manager vanno valutati.
7. Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
IEEE Symposium on Security and Privacy · Pedram Hosseyni, Ralf Küsters, Tim Würtele · Identità e autenticazione
In breve: Una nuova classe di attacchi a OAuth e OpenID Connect permette di impersonare gli utenti anche nell'open banking.
Gli attacchi di audience injection colpiscono standard come OAuth 2.0, OpenID Connect e FAPI, usati anche in open banking, assicurazioni e sanità. Sfruttano la gestione del destinatario nelle firme di autenticazione dei client quando sono coinvolti più server. L'attaccante può impersonare gli utenti e accedere alle loro risorse. Una dozzina di standard è in revisione.
Perché conta. Le piattaforme assicurative e finanziarie che usano questi standard devono verificare che i fornitori applichino le correzioni.
8. Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
IEEE Symposium on Security and Privacy · Kaixuan Luo, Xianbo Wang, Pui Ho Adonis Fung, Wing Cheong Lau · Web e mobile
In breve: Il collegamento di account via OAuth nei connettori di app e agenti AI permette di prendere il controllo di account altrui.
App, piattaforme di automazione e agenti AI si collegano a strumenti esterni con connettori OAuth, spingendo il protocollo oltre il suo modello originale. Gli autori mostrano come queste connessioni rompono l'integrità della sessione e permettono di prendere il controllo degli account: 40 fornitori risultano vulnerabili, oltre a 8 servizi OAuth gestiti.
Perché conta. Ogni connettore che collega un agente ai sistemi aziendali è un possibile punto di furto d'account: va incluso nella valutazione del rischio.
9. APT to Disagree: A Comparative Analysis of Attribution in Commercial TI
IEEE Symposium on Security and Privacy · Aksel Ethembabaoglu, Rolf van Wegberg, Yury Zhauniarovich, Michel J. G. van Eeten · Malware e minacce
In breve: Sette fornitori di threat intelligence, 13,5 milioni di indicatori: si sovrappongono poco e concordano solo sul paese.
Gli autori confrontano 13,5 milioni di indicatori di compromissione raccolti in 14 anni da sette fornitori commerciali di threat intelligence. La maggior parte degli attori seguiti da un fornitore non è seguita dagli altri, e solo l'1% degli indicatori compare in più fonti. L'accordo sull'attribuzione al gruppo di attaccanti è moderato, mentre quello sul paese d'origine è alto.
Perché conta. L'attribuzione di un attacco pesa su clausole come l'esclusione per atti di guerra: questo studio mostra quanto possa variare tra fonti.
10. Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
IEEE Symposium on Security and Privacy · Brian Singer, Keane Lucas, Lakshmi Adiga, Meghna Jain et al. · Sicurezza di AI e LLM
In breve: Incalmo conquista gli asset critici in 37 reti aziendali simulate su 40, in meno di un'ora e con meno di 15 dollari di LLM.
Gli strumenti di attacco basati su LLM falliscono quando devono muoversi tra molti host di una rete aziendale. Incalmo usa l'LLM per pianificare in compiti di alto livello, eseguiti da agenti specializzati, con servizi che tengono traccia del contesto e degli asset acquisiti. Su 40 reti simulate da 22 a 50 host raggiunge gli obiettivi in 37 casi, contro 3 dei sistemi precedenti, in 12-54 minuti.
Perché conta. Gli attacchi complessi a più fasi diventano automatizzabili e poco costosi: frequenza e velocità degli incidenti possono crescere.
Le tendenze del mese
Hardware e canali laterali
57 paper del mese su questo tema
Il calcolo confidenziale perde un'altra garanzia. Due gruppi indipendenti, con hardware economico sul bus di memoria DDR4 e DDR5, estraggono chiavi e rompono l'attestazione di Intel e AMD, mentre GPUBreach dimostra che il Rowhammer sulle GPU porta al controllo completo del sistema. Le protezioni promesse dai fornitori cloud reggono contro il software, non contro chi ha accesso fisico.
Paper citati:
- TEE.Fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition
- Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing
- GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer
Sicurezza di AI e LLM
723 paper del mese su questo tema
Con 723 paper su 2.627 la sicurezza dell'AI resta il primo tema. Gli strumenti MCP si combinano in catene che esfiltrano dati, i browser con agenti AI aggirano l'isolamento dei siti e un sistema autonomo conquista reti aziendali simulate in meno di un'ora. Gli agenti ampliano sia la superficie d'attacco sia la capacità offensiva.
Paper citati:
- Parasites in the Toolchain: A Large-Scale Analysis of Attacks on the MCP Ecosystem
- Site Isolation is Dead: How Site Isolation is Broken in Agentic Browsers and Extensions
- Incalmo: an Autonomous Llm-Assisted System for Red Teaming Multi-Host Networks
Identità e autenticazione
85 paper del mese su questo tema
Gli standard di identità mostrano crepe strutturali. Una nuova classe di attacchi tocca OAuth e OpenID Connect fino all'open banking e alle assicurazioni, i connettori OAuth di app e agenti permettono di rubare account e i controlli delle password violate nei password manager rivelano più di quanto dovrebbero. Le correzioni passano dagli enti di standardizzazione.
Paper citati:
- Audience Injection Attacks: A New Class of Attacks on Web-Based Authorization and Authentication Standards
- Demystifying the (In)Security of Oauth-Based Account Linking in Connector Ecosystems
- Credential Extraction Attacks Against Compromised Credential Checking Services of Password Managers
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 2627.