RICERCA
Segreti che sopravvivono alla cancellazione negli agenti AI, Classic McEliece sotto esame
Agenti e modelli AI sono una nuova superficie di rischio: un segreto cancellato dalla memoria di un agente si recupera da riassunti e frammenti, un cloud provider deduce dati sensibili dalla latenza di un modello manipolato, AgentTriage ricostruisce cosa ha fatto un agente. Secondo filo, il social engineering. Sul post-quantum, una lettura critica degli attacchi a Classic McEliece.
1. Weaponizing the Exit: Input Privacy Leakage via Exit Routing Manipulation in Multi-Exit Networks
arXiv · Yulong Tian, Lei Wang, Jincan Yang, Hao Wu et al. · Sicurezza di AI e LLM
In breve: Un cloud provider malevolo che fornisce una rete multi-exit manipolata deduce proprietà sensibili degli input degli utenti dalla sola latenza.
Le reti multi-exit fanno terminare alcuni input a uscite intermedie per accelerare l'inferenza. Un cloud provider che fornisce il modello può addestrarla perché gli input con una proprietà sensibile escano da un'uscita precisa, e poi riconoscerli dalla latenza. Gli autori riportano un F1 medio di 0,73 contro 0,25 del miglior baseline, con un calo di accuratezza sotto l'1,3%.
Perché conta. È un side-channel temporale che non richiede accesso ai dati: con modelli forniti da terzi nel cloud, cifratura e isolamento degli input non bastano. La provenienza del modello entra nel threat model della privacy.
Per chi assicura. Nei servizi di AI in outsourcing la fuga di dati può avvenire senza alcuna violazione visibile, e questo complica la ricostruzione forense di un sinistro privacy. Conviene chiedere agli assicurati chi fornisce e controlla i modelli che trattano dati sensibili.
Leggi il paper · PDF · Codice
2. AfterDeleteBench: Auditing Post-Deletion Information Persistence in LLM Agents
arXiv · Ehsan Saleh, Roozbeh Nahavandi, Sama Salarian, Raef Bassily et al. · Sicurezza di AI e LLM
In breve: Cancellare un ricordo dalla memoria di un agente LLM non basta: il segreto si recupera spesso da stati derivati come riassunti o frammenti separati.
AfterDeleteBench confronta un agente esposto a un segreto e poi ripulito con un agente identico mai esposto. Una sola domanda recupera il segreto cancellato da Qwen2.5-7B-Instruct in circa due casi su tre. Anche senza una copia letterale, da componenti salvati separatamente la ricostruzione riesce nel 62-99% dei casi su Qwen, Mistral e Phi-3. Un filtro sulle stringhe esatte non basta a eliminarli.
Perché conta. La cancellazione va trattata come proprietà dell'intero sistema agente, non come operazione sul singolo record. I filtri letterali danno una falsa sicurezza.
Per chi assicura. Un'organizzazione che usa agenti con memoria può credere di aver cancellato dati personali che restano recuperabili. È un tema per i questionari sull'uso dell'AI e per i sinistri legati a dati ritenuti cancellati.
3. AgentTriage: Replayable Security Diagnosis Across Heterogeneous Agent Runtimes
arXiv · Jie Ying, Xutao Zhang, Ningyuan Chen, Mengce Zheng et al. · Sicurezza di AI e LLM
In breve: AgentTriage ricostruisce in modo riproducibile, senza giudizi di un LLM, gli eventi di sicurezza causati da agenti che usano strumenti su runtime diversi.
Quando un agente scrive file, esegue codice o invia dati, la sua risposta non spiega gli eventi di sicurezza che ne derivano. AgentTriage normalizza le tracce di runtime diversi, costruisce un grafo di provenance e lega ogni conclusione alle prove registrate, astenendosi se mancano. Su 120 casi gli autori riportano 0,858 di diagnosi corretta e un tasso di affermazioni non supportate di 0,036.
Perché conta. Con la diffusione degli agenti in azienda, ricostruire cosa ha fatto un agente diventa un problema di incident response. Un'analisi riproducibile e ancorata alle prove è più difendibile di una spiegazione generata dal modello.
Per chi assicura. Nei sinistri che coinvolgono agenti AI, ricostruire in modo verificabile la catena di eventi conta per attribuire le cause. In fase di assunzione è ragionevole chiedere se gli agenti in produzione registrano tracce adatte a questa analisi.
Leggi il paper · PDF · Codice
4. Faster and Smaller Anonymous Credentials from Standardized Signatures
IACR Cryptology ePrint Archive · Chad Sharp, Paul Grubbs · Crittografia
In breve: GordieHowe produce prove zero-knowledge verificate formalmente per credenziali anonime su ECDSA, RSA e ML-DSA, più veloci e compatte di Longfellow di Google.
Le credenziali anonime dimostrano un attributo, come la maggiore età, senza rivelare il documento. GordieHowe le costruisce sopra firme standard come ECDSA, RSA e ML-DSA, con un compilatore certificato e teoremi di sicurezza verificati in Lean. Secondo gli autori, una patente digitale firmata ECDSA si dimostra in 64,8 ms, 10,1 volte più veloce di Longfellow; con ML-DSA-44 è 70,2 volte più veloce.
Perché conta. Le identità digitali, dalle patenti ai wallet europei, sono già firmate con schemi standard: aggiungere privacy senza cambiare le firme rende pratica la divulgazione selettiva. Verifica formale e sicurezza post-quantum riducono il rischio di bug.
Per chi assicura. Il legame con l'assicurazione è indiretto: le credenziali anonime possono ridurre i dati personali raccolti nella verifica dell'identità, e quindi l'esposizione in caso di violazione.
5. Structural cryptanalysis of classic McEliece: Assessment of claims, costs and evidence
arXiv · Ramses Fernandez · Crittografia post-quantistica
In breve: Gli attacchi strutturali recenti a Classic McEliece preoccupano, ma le stime di costo dipendono dal modello e nessun attacco è dimostrato.
Negli ultimi due anni gli attacchi strutturali a McEliece con codici di Goppa hanno fatto più progressi che nei quarant'anni precedenti; a settembre 2026 il BSI tedesco ha sconsigliato nuove adozioni. L'autore separa risultati dimostrati, stime condizionali e recuperi di chiave reali. La principale incertezza è il modello di costo, con circa trenta bit di scarto, e nessun attacco è dimostrato.
Perché conta. Chi valuta Classic McEliece nella migrazione post-quantum ha qui una mappa di cosa è provato e cosa no. Aiuta a leggere la raccomandazione del BSI con i dati alla mano.
Per chi assicura. Il caso mostra che anche uno schema post-quantum ritenuto maturo può essere messo in discussione: nella valutazione del rischio conta la capacità di sostituire un algoritmo, la crypto-agility. Non c'è un attacco pratico, quindi nessun impatto immediato sui danni.
6. Social-HUMINT: An LLM-Augmented Unified Framework for Measuring Social Media Exposure
arXiv · Pellegrino Casoria, Simon Pietro Romano · Fattore umano
In breve: Social-HUMINT misura quanto i contenuti pubblici sui social permettono di profilare una persona e preparare attacchi di social engineering su misura.
Con gli LLM, profilare una persona dai social è diventato economico e automatico. Gli autori uniscono SOCMINT e Cyber-HUMINT in una tassonomia di 38 capacità validata da esperti e la trasformano in una pipeline multi-agente, testata sui dati pubblici di partecipanti reali. Riportano un F1 di estrazione del 97,3%; la pipeline prevede le scelte delle persone meglio del caso.
Perché conta. Il lavoro rende misurabile un rischio finora valutato a intuito: l'esposizione dei dipendenti al social engineering mirato. I difensori possono misurare la propria esposizione prima di un attaccante.
Per chi assicura. Il social engineering è all'origine di molti sinistri da frode e compromissione delle email aziendali. Uno strumento che misura l'esposizione delle persone chiave potrebbe affiancare le domande sulla formazione, ma per ora è un prototipo di ricerca.
7. Tritone: Pairwise Garbled Disputes for Multi-Party Proof Verification on Bitcoin
IACR Cryptology ePrint Archive · Oleksii Avramenko, Alessandro Baccarini, Torben Poguntke · Blockchain e DeFi
In breve: Tritone permette a Bitcoin di sbloccare fondi solo contro una prova Groth16 valida e sostituisce la fiducia in un quorum di firmatari con un solo operatore onesto.
I bridge federati su Bitcoin autorizzano i prelievi con un quorum di firmatari che, se colludono, può liberare i fondi. Tritone estende il protocollo BABE a un comitato di N operatori con garbled circuits e secret sharing verificabile, e funziona su Bitcoin oggi senza modifiche al consenso. Gli autori ne dimostrano la sicurezza fino a N-1 operatori corrotti e lo misurano su mainnet.
Perché conta. I bridge sono tra i componenti più attaccati dell'ecosistema crypto, e il punto debole ricorrente è il quorum di firmatari. Basta un operatore onesto: la superficie di collusione o compromissione delle chiavi si riduce.
Per chi assicura. Per chi assicura custodi o piattaforme di asset digitali, il rischio di un bridge dipende in larga parte dal modello di fiducia dei firmatari. Resta un lavoro di ricerca, senza dati di adozione reale.
8. Integer Coordinate Families and Threshold RSA Signatures for Any Prime Exponent
IACR Cryptology ePrint Archive · Shivansh Jaiswal, Somitra Sanadhya · Crittografia
In breve: Uno schema di firma RSA a soglia presentato a CT-RSA 2026 ammette falsificazioni banali; gli autori lo riparano e propongono un'alternativa per ogni esponente primo.
A CT-RSA 2026 Ng e Lau hanno proposto firme RSA a soglia basate su integer coordinate families. Gli autori mostrano che queste famiglie esistono sempre e si costruiscono in modo efficiente, ma che lo schema ammette falsificazioni banali e ha una dimostrazione errata. Propongono lo schema riparato PiIC e PiZ, valido per ogni esponente primo, entrambi sicuri sotto l'ipotesi RSA standard.
Perché conta. Le dimostrazioni di sicurezza pubblicate possono essere sbagliate, e gli schemi a soglia vanno rivisti prima dell'adozione. Chi valuta firme RSA a soglia per la custodia di chiavi ha ora una costruzione corretta.
Per chi assicura. Il legame con l'assicurazione è debole: lo schema rotto è recente e non risulta diffuso, quindi non c'è un rischio di cumulo da segnalare.
9. Mímir: A Stateless Private Search Engine
IACR Cryptology ePrint Archive · Gökberk Erdoğan, Emma Munisamy, Kamil Kluczniak · Privacy
In breve: Mímir è un motore di ricerca semantica privato e senza stato, basato su RLWE, che riduce molto la comunicazione per query rispetto a Tiptoe e PACMANN.
Un motore di ricerca privato restituisce documenti simili a una query senza rivelarla al server. Mímir usa la cifratura omomorfica, con sicurezza basata su Ring LWE, e non richiede comunicazione preliminare. Secondo gli autori, a parità di qualità usa 84 volte meno comunicazione per query di Tiptoe; rispetto a PACMANN migliora la qualità dal 76% all'81%, ma è 2,1 volte più lento.
Perché conta. La ricerca privata serve ai servizi che trattano query sensibili, dalla sanità alla consulenza legale. Meno comunicazione e nessuno stato sul client la avvicinano all'uso pratico su database che cambiano spesso.
Per chi assicura. Il legame con l'assicurazione è limitato: è una tecnologia di protezione della privacy ancora in fase di ricerca.
10. ReDence: A Hybrid Agentic and Decision-Model Framework for Rapid, Evidence-Grounded Detection of Modern Social Engineering Scams
arXiv · Jaishnoor Kaur, Josef Horáček, Ian Waskom, Sayak Saha Roy · Fattore umano
In breve: ReDence, framework open source con due modelli locali, rileva le truffe di social engineering in dodici categorie con il 96% di accuratezza e report basati sulle prove.
Riconoscere una truffa online richiede di seguire i flussi di un sito, verificare affermazioni e collegare prove su più pagine. ReDence affida l'indagine a un agente multimodale locale e le decisioni puntuali a un secondo modello specializzato. Gli autori riportano il 96% di accuratezza su dodici categorie di truffe, meglio dei sistemi esistenti e almeno quattro volte più veloce.
Perché conta. Per chi gestisce anti-frode e takedown, accorciare il tempo tra scoperta e rimozione di un sito truffa riduce le vittime. I report verificabili permettono agli analisti di controllare la decisione.
Per chi assicura. Le truffe di social engineering alimentano sinistri da frode e furto di credenziali, e un takedown più rapido può ridurre la durata delle campagne. I risultati vengono però da un benchmark degli autori.
Come nasce questo digest
I nuovi paper vengono raccolti ogni giorno e selezionati ogni settimana da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza (IEEE S&P, USENIX Security, ACM CCS, NDSS, CRYPTO, PoPETs, IEEE TIFS e altre). Un punteggio basato su fonte, tema e segnali iniziali individua i candidati; un modello di intelligenza artificiale li valuta e ne scrive le sintesi. Le sintesi si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper nuovi valutati in questa edizione: 79.