RICERCA
Giugno 2026: skill malevole per agenti, dirottamenti BGP invisibili e il caso Encrochat
A giugno 2026 le estensioni degli agenti di programmazione diventano una nuova dipendenza della catena di fornitura, e i rilevatori attuali ne vedono solo una parte. L'adozione parziale di ROV crea dirottamenti BGP che la vittima non vede, AirDrop e Quick Share mostrano falle senza clic e uno studio ricostruisce come le forze dell'ordine violarono Encrochat.
Archivio: ricostruzione scritta a novembre 2026
1. MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
arXiv · Wenbo Guo, Wei Zeng, Chengwei Liu, Xiaojun Jia et al. · Sicurezza di AI e LLM
In breve: MalSkillBench raccoglie quasi 4.000 skill malevole per agenti di programmazione, verificate in esecuzione, e misura i rilevatori.
Le skill sono pacchetti di istruzioni, script e permessi con cui gli agenti di programmazione si estendono: codice e prompt insieme. Il benchmark conta 3.944 skill malevole verificate in sandbox e 703 raccolte in rete, dominate da una campagna di furto di criptovalute. Il miglior rilevatore trova il 98,4% delle iniezioni di codice ma crolla su prompt injection e attacchi al controllo.
Perché conta. Gli sviluppatori installano skill di terzi come fossero documenti: è una nuova porta d'ingresso nei sistemi aziendali che i controlli attuali coprono male.
2. ARVO: Atlas of Reproducible Vulnerabilities for Open-Source Software
IEEE European Symposium on Security and Privacy · Xiang Mei, Jordi Del Castillo, Pulkit Singh Singaria, Haoran Xi et al.
In breve: ARVO rende riproducibili oltre 6.100 vulnerabilità reali di 311 progetti open source, con la relativa patch.
I dataset di vulnerabilità sacrificano quasi sempre la riproducibilità a quantità e varietà. Gli autori individuano gli ostacoli principali alla ricostruzione dei bug su larga scala e li risolvono per OSS-Fuzz: ARVO contiene oltre 6.100 vulnerabilità che si possono ricompilare, innescare e analizzare tra versioni, ne riproduce l'81% e individua in automatico la patch di ciascuna.
Perché conta. Strumenti che promettono di trovare o correggere falle in automatico vanno misurati su casi reali e ripetibili: ARVO fornisce questa base comune.
3. Understanding the Stealthy BGP Hijacking Risk in the ROV Era
Network and Distributed System Security Symposium · Yihao Chen, Qi Li, Ke Xu, Zhuotao Liu et al. · Sicurezza di rete
In breve: Con ROV adottato solo in parte, il traffico di una rete protetta può essere dirottato senza che la vittima veda rotte malevole.
Le ROA coprono ormai il 57% dei prefissi IPv4, ma la validazione ROV è attiva solo su poche migliaia di reti. Gli autori studiano un effetto collaterale: una rete protetta dai vicini che scartano le rotte false può vedere il proprio traffico deviato da reti non aggiornate lungo il percorso. Il dirottamento resta invisibile sul piano di controllo e sfugge alle difese basate sulle rotte.
Perché conta. Chi considera ROV una protezione sufficiente può avere traffico intercettato senza alcun segnale: il monitoraggio deve guardare anche al percorso effettivo dei pacchetti.
4. A Real-World Law-Enforcement Hack: The Case of Encrochat
CRYPTO · Martin R. Albrecht, Sunoo Park, Michael A. Specter, Douglas Stebila · Policy, diritto e società
In breve: Il resoconto pubblico più dettagliato finora di come le forze dell'ordine europee violarono Encrochat nel 2020.
Encrochat vendeva smartphone Android modificati con una propria PKI e un'app di messaggistica basata sul protocollo Signal, ed era molto usato dalla criminalità organizzata. Nel 2020 un'operazione coordinata vi rimase dentro per mesi, raccogliendo dati e metadati storici e in tempo reale usati in oltre 6.000 arresti. Gli autori ricostruiscono l'infrastruttura e il modo in cui fu compromessa.
Perché conta. La cifratura end-to-end non protegge se il fornitore controlla dispositivo e aggiornamenti: chi valuta piattaforme chiuse deve chiedersi chi può spingere codice sui terminali.
5. Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
USENIX WOOT Conference on Offensive Technologies · Arash Ale Ebrahim, Nils Ole Tippenhauer · Sicurezza di sistemi e software
In breve: Il primo studio incrociato di AirDrop e Quick Share trova sei vulnerabilità, tre delle quali raggiungibili senza autenticazione.
AirDrop e Quick Share, usati da oltre cinque miliardi di dispositivi, accettano dati da chiunque sia vicino in servizi privilegiati. Gli autori ricostruiscono i protocolli, costruiscono un fuzzer dedicato e trovano sei falle: tre pre-autenticazione in AirDrop, due in Quick Share di Samsung, tra cui un aggiramento della cifratura, e una nella versione Windows di Google.
Perché conta. I protocolli di prossimità sono una superficie d'attacco senza clic sui dispositivi aziendali: conviene limitarne la ricezione a contatti noti.
6. RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
IEEE Symposium on Security and Privacy · Qijun Wang, Chunqi Qian, Huacheng Zeng · Hardware e canali laterali
In breve: RadKey ricostruisce ciò che si digita attraverso un muro con una piccola etichetta radio senza batteria vicino alla tastiera.
Gli attacchi acustici o a vibrazione sulle tastiere richiedono sensori vistosi vicini e dati sulla vittima. RadKey usa un'etichetta passiva che trasforma vibrazioni e suoni dei tasti in una variazione del segnale radio riflesso, letta a distanza attraverso le pareti. Funziona su utenti e tastiere diversi e un modello linguistico affina la classificazione.
Perché conta. Password e dati sensibili digitati in uffici condivisi possono essere intercettati senza accesso alla rete: anche la sicurezza fisica delle postazioni conta.
7. Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
ACM Asia Conference on Computer and Communications Security · Aakanksha Saha, Martina Lindorfer, Juan Caballero · Malware e minacce
In breve: Solo un terzo dei gruppi di minaccia in MITRE ATT&CK ha tecniche esclusive: i profili pubblici attribuiscono male gli attacchi.
Gli autori analizzano i profili dei gruppi di minaccia in MITRE ATT&CK e Malpedia. Solo il 34% dei gruppi in ATT&CK usa tecniche che nessun altro usa; il software è più distintivo, con il 73%, ma la quota scende al 24% su Malpedia. Unire le fonti e aggiungere vulnerabilità sfruttate e tecniche estratte dai rapporti migliora poco: i gruppi con comportamenti esclusivi restano sotto il 30%.
Perché conta. Molte valutazioni del rischio e richieste di risarcimento poggiano sull'attribuzione: questi numeri dicono quanto è fragile quando si basa solo sulle tecniche.
8. The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
IEEE European Symposium on Security and Privacy · Zeya Umayya, Manan Aggarwal, Manan Chugh, Mann Nariya et al. · Malware e minacce
In breve: Su 3,5 milioni di app Android malevole, l'uso di proxy, VPN e Tor per nascondere il comando e controllo sale al 50% nel 2025.
Il primo studio longitudinale sui canali nascosti nel malware Android analizza 3,5 milioni di campioni dal 2009 a luglio 2025. Le regole statiche trovano 288.000 app di 511 famiglie che usano proxy, VPN o Tor; la quota sale dallo 0,3% del 2012 al 50% del 2025. Alcune famiglie combinano più canali o li cambiano spesso: una lo ha fatto 40 volte tra il 2019 e il 2025.
Perché conta. Il blocco per indirizzo dei server di comando funziona sempre meno sui dispositivi mobili: servono controlli basati sul comportamento dell'app.
9. Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
arXiv · He Sun, Shinan Liu, Siyuan Ma, Junhao Li et al. · Sicurezza di AI e LLM
In breve: SpliceLeak sfrutta i tempi della cache condivisa nei servizi di modelli linguistici per estrarre i prompt privati di altri utenti.
Per accelerare i servizi con recupero di documenti, i motori di inferenza riusano blocchi di cache anche fuori dall'inizio della richiesta. Gli autori mostrano che il modo deterministico in cui questi blocchi vengono allineati lascia una firma temporale misurabile. SpliceLeak la usa per stimare la lunghezza dei prompt nascosti ed estrarne il contenuto parola per parola, fino al 100% su vLLM.
Perché conta. Chi usa servizi AI condivisi tra più clienti deve sapere che le ottimizzazioni di prestazione possono far trapelare i dati inseriti da altri.
10. FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
arXiv · Zixin Rao, Wentian Zhu, Chan Aristella Lu, Zhaorun Chen et al. · Identità e autenticazione
In breve: FragFuse aggira i controlli d'accesso degli agenti AI spezzando una richiesta vietata in frammenti salvati nella memoria a lungo termine.
Gli agenti AI usano una memoria a lungo termine e, sempre più spesso, controlli che bloccano le richieste non consentite. FragFuse divide il contenuto vietato in frammenti innocui, li fa salvare in memoria in interazioni separate e li ricompone con una richiesta finale che non contiene nulla di sospetto. L'attacco supera tre meccanismi di controllo d'accesso in quattro scenari di agenti.
Perché conta. Filtrare la singola richiesta non basta quando l'agente ricorda: i controlli devono considerare anche ciò che la memoria raccoglie nel tempo.
Le tendenze del mese
Sicurezza di AI e LLM
513 paper del mese su questo tema
Con 513 articoli su 2.072, la sicurezza dell'AI resta il primo tema. Il rischio si sposta dal modello all'ecosistema intorno: skill di terzi installate negli agenti, cache condivise tra clienti dei servizi di inferenza e memorie a lungo termine che ricompongono richieste vietate. Ogni componente aggiunto per rendere gli agenti più utili apre un nuovo canale.
Paper citati:
- MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills
- Agent-Assisted Side-Channel Attacks on Non-Prefix KV Cache in RAG
- FragFuse: Bypassing Access Control of Large Language Model Agents via Memory-Based Query Fragmentation and Fusion
Malware e minacce
67 paper del mese su questo tema
Diversi lavori misurano quanto sia difficile vedere e attribuire gli attaccanti. Metà del malware Android nasconde ormai il comando e controllo dietro proxy, VPN o Tor, e i profili pubblici dei gruppi di minaccia distinguono poco un gruppo dall'altro. Il caso Encrochat ricorda che anche chi indaga sfrutta il controllo dei dispositivi più che la crittografia.
Paper citati:
- Kitten or Panda? Measuring the Specificity of Threat Group Behaviors in Public CTI Knowledge Bases
- The Invisible Ink of the Android Malware World: A Longitudinal Study on the Usage of Covert Communication Channels
- A Real-World Law-Enforcement Hack: The Case of Encrochat
Sicurezza di rete
58 paper del mese su questo tema
Le difese adottate a metà possono creare nuovi punti ciechi. ROV distribuito solo in parte permette dirottamenti BGP invisibili alla vittima, i protocolli di prossimità accettano dati da chiunque sia vicino e un'etichetta radio passiva legge la tastiera attraverso un muro. La superficie d'attacco include rete, aria e spazio fisico.
Paper citati:
- Understanding the Stealthy BGP Hijacking Risk in the ROV Era
- Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols
- RadKey: An LLM-Guided RF Backscatter System for Through-Wall Keystroke Inference
Come nasce questo digest
Questo numero fa parte dell'archivio del digest, ricostruito a posteriori. I paper del mese sono stati raccolti da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza; nella scelta contano anche le citazioni ricevute dopo l'uscita. Un modello di intelligenza artificiale ha valutato i candidati e scritto le sintesi, che si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper del mese valutati: 2072.