RICERCA
RSA-2048 con 23.000 cat qubit; le prompt injection nei README colpiscono di più
Una stima dell'algoritmo di Shor su cat qubit indica circa 23.000 qubit fisici e 3,14 giorni per fattorizzare RSA-2048, con ipotesi hardware esplicite. Sugli agenti LLM, la prompt injection funziona meglio nascosta in README e TODO, e il role spoofing impersona l'utente. Gli altri paper misurano la distanza tra test e realtà, dai benchmark malware ai rilevatori industriali.
1. Shor's algorithm compiled on cat qubits: 22 593 qubits for RSA-2048 in 3.14 days
IACR Cryptology ePrint Archive · Axel Pappalardo, Dahmun Goudarzi, Victor Hertz, Hugo Jacinto et al. · Crittografia post-quantistica
In breve: Fattorizzare RSA-2048 con l'algoritmo di Shor richiederebbe circa 23.000 cat qubit e 3,14 giorni, secondo una stima end-to-end con ipotesi hardware esplicite.
Gli autori stimano le risorse per eseguire l'algoritmo di Shor su cat qubit superconduttori, fino alla disposizione dei qubit sul chip. Con ipotesi esplicite, tra cui assenza di bit-flip, RSA-2048 richiede circa 23.000 cat qubit e 3,14 giorni. ECDLP su secp256k1 richiede al massimo 30.000 qubit e un'ora. Senza l'ipotesi sui bit-flip, RSA-2048 sale a circa 45.000 qubit.
Perché conta. La stima abbassa molto il numero di qubit fisici ritenuto necessario per rompere RSA-2048 e secp256k1, anche se si basa su hardware non ancora disponibile. È un dato concreto per pianificare la migrazione alla crittografia post-quantum.
Per chi assicura. Il rischio "harvest now, decrypt later" sui dati cifrati oggi con RSA o ECC dipende da stime come questa: in fase di assunzione è ragionevole chiedere se l'assicurato ha un inventario crittografico e un piano di migrazione. Un attacco quantistico a RSA o ECC sarebbe per natura un evento di cumulo, perché colpirebbe molti assicurati insieme.
2. Where You Inject Matters: The Trust Region Effect in LLM Agents
arXiv · Chengquan Guo, Xiaodong Liu, Weiwei Yang, Mingqian Feng et al. · Sicurezza di AI e LLM
In breve: Conta dove si nasconde una prompt injection: un agente basato su GPT-5.4 segue istruzioni in README o TODO 2,6 volte più spesso che nel codice.
Gli studi sull'indirect prompt injection si sono concentrati sul contenuto delle istruzioni malevole. Gli autori ne misurano invece la posizione, in tre ambienti di test per agenti. Gli agenti si fidano di più di alcune zone, un effetto che chiamano "trust region". Un agente basato su GPT-5.4 segue un'istruzione in un README o TODO 2,6 volte più spesso che in un file di codice o di dati.
Perché conta. Per chi usa coding agent su repository di terzi, i file di documentazione sono una superficie d'attacco privilegiata, non contenuto innocuo. Difese e red team dovrebbero provare le iniezioni in più posizioni, non solo con payload diversi.
Per chi assicura. Per gli assicurati che usano coding agent su codice esterno o open source, la revisione del codice da sola non basta: anche README e TODO sono input non fidati. Nel questionario di assunzione sull'uso di agenti AI è utile chiedere quali permessi hanno gli agenti quando leggono repository non verificati.
3. Feistel-Like Structures Revisited: Classification and Cryptanalysis
Journal of Cryptology · Bo Yu, Zejun Xiang, Bing Sun, Zhengyi Dai et al. · Crittografia
In breve: Un'ampia classe di strutture Feistel-like, tra cui quelle di SM4 e MARS, risulta self-equivalent, con limiti esatti per impossible differential e zero-correlation.
Il lavoro, uscito sul Journal of Cryptology, studia le strutture Feistel-like usate nei cifrari a blocchi. Gli autori dimostrano che un'ampia classe di strutture, tra cui quelle di SM4 e MARS, è self-equivalent. Per la struttura SM4-like a d rami, l'impossible differential più lungo e lo zero-correlation linear hull coprono esattamente 3d-1 round. Non sono riportati attacchi a cifrari specifici.
Perché conta. Limiti esatti sui distinguisher strutturali aiutano chi progetta cifrari a blocchi a scegliere il numero di round con margini noti. Per i crittoanalisti, la classificazione unifica famiglie di strutture finora studiate separatamente.
Per chi assicura. Il risultato è teorico e non indica debolezze pratiche in SM4 o MARS: ha scarso impatto diretto sull'assicurazione cyber.
4. Understanding and Mitigating Role Spoofing in LLMs
arXiv · Ezra Edelman, Benjamin Edelman, Surbhi Goel, Eran Malach · Sicurezza di AI e LLM
In breve: Testo malevolo negli output dei tool può impersonare l'utente imitandone stile e struttura; l'adversarial training sul contenuto non basta, i linear probe lo rilevano.
Gli LLM possono attribuire un testo all'utente in base allo stile, non al ruolo. Gli autori chiamano "role spoofing" l'attacco che sfrutta questa confusione dagli output dei tool, come una pagina web. Gli attacchi che falsificano insieme struttura e contenuto sono molto efficaci. L'adversarial training sul solo contenuto lascia scoperta la struttura. Linear probe sui ruoli rilevano lo spoofing.
Perché conta. Il lavoro spiega perché modelli di frontiera, più resistenti a molte iniezioni, restano vulnerabili quando l'attaccante imita la struttura dei messaggi. Le difese devono considerare formattazione e control token, non solo il significato del testo.
Per chi assicura. Le garanzie dei fornitori sulla resistenza alla prompt injection possono non coprire gli attacchi basati sulla struttura. È un limite da considerare quando un assicurato si affida a quelle garanzie per agenti con accesso a dati o azioni sensibili.
5. Difficulty Calibration Across Time for Membership Inference in Diffusion Models
arXiv · Michael Joseph, Yedid Hoshen · Sicurezza di AI e LLM
In breve: Calibrare la difficoltà delle immagini nel tempo rende molto più affidabili i membership inference attack sui modelli di diffusione.
I membership inference attack verificano se un'immagine era nel training di un modello di diffusione. Il metodo standard sbaglia perché alcune immagini sono più facili da ricostruire. Gli autori propongono due calibrazioni: una confronta il modello con un checkpoint precedente, l'altra confronta istanti diversi del processo di diffusione. Secondo gli autori, battono lo stato dell'arte.
Perché conta. Strumenti di audit più affidabili permettono di verificare se dati sensibili o protetti sono stati usati per addestrare un modello generativo. Per chi pubblica modelli, cresce la probabilità che la memorizzazione dei dati di training venga dimostrata.
Per chi assicura. Audit più accurati rendono più facile dimostrare l'uso di immagini private o protette nel training. Questo può influire sulla frequenza e sull'esito delle richieste di risarcimento per violazione di privacy o copyright verso chi sviluppa o adatta modelli generativi.
Leggi il paper · PDF · Codice
6. DualGuard: Comprehensive and Efficient Memory Safety across Sequential and Speculative Execution
arXiv · Sixuan Dang, Quan Zhou, Kaiming Huang, Jianan Zhu et al. · Sicurezza di sistemi e software
In breve: DualGuard combina le difese di memory safety per l'esecuzione normale e speculativa senza ridondanze, con un overhead inferiore del 3-72%.
Le protezioni di memory safety si possono aggirare durante l'esecuzione speculativa, mentre Speculative Load Hardening non copre quella normale. Combinarle senza criterio crea ridondanze. DualGuard classifica i comportamenti di memoria e individua la combinazione minima che copre entrambi i casi. Implementato in LLVM, riduce l'overhead del 3-72% rispetto alle combinazioni ingenue.
Perché conta. Il lavoro, accettato a NDSS 2027, affronta il fatto che memory safety e difese contro Spectre si valutano di solito separatamente. Ridurre l'overhead è la condizione per adottare entrambe le protezioni nel software reale.
Per chi assicura. Il legame con l'assicurazione è indiretto: la memory safety dichiarata da un prodotto può non valere durante l'esecuzione speculativa. È un limite dei controlli di hardening da tenere presente nella valutazione tecnica del rischio.
7. Measuring Duplication, Leakage, and Rendering Dependence in Malware-as-Image Benchmarks
arXiv · Stefan Larson, Kevin Leach · Malware e minacce
In breve: I benchmark che classificano il malware come immagine contengono duplicati e fughe di dati tra training e test: eliminandoli, l'accuratezza scende fino a 8 punti.
Classificare il malware convertito in immagini dà accuratezze dichiarate del 97-99%. Gli autori analizzano dieci benchmark standard e trovano duplicati e leakage tra training e test: binari diversi producono immagini identiche, quindi la deduplicazione per hash non basta. Deduplicando sul contenuto, l'accuratezza top-1 scende fino a 8 punti e il macro-F1 fino a 15.
Perché conta. Molti risultati pubblicati in questo filone sovrastimano probabilmente le prestazioni reali. Cambiare solo la larghezza delle righe dell'immagine, senza toccare un byte, riduce l'accuratezza di 20-33 punti.
Per chi assicura. Le prestazioni dichiarate dagli strumenti di rilevamento malware basati su ML possono essere gonfiate da benchmark difettosi. Quando un assicurato o un fornitore cita accuratezze vicine al 99%, conviene chiedere su quali dati e con quale separazione tra training e test sono state misurate.
8. We Want to Quit but Can’t : Understanding Organizational Flawed Decision Makings on Email Security Practices
ACM Digital Threats — Research and Practice · Yuya Shibuya, Daishi Kondo, Rie Shigetomi Yamaguchi, Tomohiro Ishihara et al. · Fattore umano
In breve: Le aziende giapponesi continuano a inviare ZIP cifrati con la password in un'email separata perché la misura è visibile e attesa dai partner, non perché funziona.
In Giappone è diffuso l'invio di un file ZIP protetto da password con la password in un'email separata, sullo stesso canale. Chi accede a entrambi i messaggi decifra l'allegato. Con un sondaggio su larga scala e interviste, gli autori trovano che la visibilità della misura pesa più della sua efficacia. La pressione di concorrenti e partner ne mantiene l'uso.
Perché conta. Il lavoro mostra come una misura di sicurezza sopravviva perché è visibile e socialmente attesa, non perché funziona. Chi progetta controlli deve tenere conto di queste dinamiche aziendali e di filiera.
Per chi assicura. Una misura che dà solo l'apparenza di protezione può comparire tra i controlli dichiarati nel questionario di assunzione senza ridurre il rischio. Gli allegati cifrati possono anche ostacolare l'ispezione antimalware: conviene chiedere come vengono davvero protetti gli allegati riservati.
9. Adversarial Process Disturbances at a Deployable Alarm Budget: Detector Evaluation on a Simulator and a Real Plant
arXiv · Benjamin Blakely · Sistemi cyber-fisici e IoT
In breve: Undici rilevatori di anomalie industriali funzionano sul simulatore ma crollano sui dati di un impianto reale; la manipolazione sequenziale delle valvole li elude tutti.
I rilevatori di anomalie industriali si valutano soprattutto su simulatori. L'autore ne prova undici su un processo chimico simulato e su un impianto termoidraulico al sodio reale, con attacchi costruiti secondo un threat model e un budget di falsi allarmi fisso. Sul simulatore sembrano pronti all'uso, sull'impianto il rilevamento crolla. La manipolazione sequenziale delle valvole li elude tutti.
Perché conta. I risultati su simulatore non predicono le prestazioni su un impianto reale, soprattutto con un numero di falsi allarmi realistico. Gli attacchi lenti e sequenziali sugli attuatori restano un punto cieco per tutte le famiglie di rilevatori provate.
Per chi assicura. Per i rischi industriali e OT, il rilevamento delle anomalie di processo è un controllo da non sopravvalutare: le prestazioni misurate su simulatore possono non reggere su impianti reali. Manipolazioni graduali delle valvole possono passare inosservate fino a causare danni fisici o interruzione di attività.
10. Integrating Perception, Comprehension, and Projection for Alert Validation: A Unified Cyber Situational Awareness Framework
arXiv · Navodika Karunasingha, Mohan Baruwal Chhetri, Surya Nepal, Cecile Paris et al. · AI applicata alla sicurezza
In breve: Per validare gli alert di un SOC, il contesto causale dell'attacco migliora molto i risultati, ma aggiungere sempre più contesto non aiuta.
I SOC devono validare molti alert con pochi analisti, e spesso manca il contesto per capire se un'attività è un attacco. Gli autori confrontano tre livelli di situational awareness: percezione, comprensione e proiezione. Sul dataset DARPA TC il livello di comprensione, che aggiunge il contesto causale, migliora la Recall@5 fino a 28,6 e 75 punti. La proiezione aiuta solo in alcuni casi.
Perché conta. Il risultato suggerisce di arricchire gli alert in modo selettivo, in base a ciò che serve per validarli. Per i SOC è un argomento a favore dell'analisi basata sulla provenance.
Per chi assicura. Il legame con l'assicurazione è indiretto: una validazione più rapida degli alert può ridurre i tempi di rilevamento. I risultati però vengono da un dataset di ricerca e non dicono ancora come cambierebbero le prestazioni di un SOC reale.
Come nasce questo digest
I nuovi paper vengono raccolti ogni giorno e selezionati ogni settimana da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza (IEEE S&P, USENIX Security, ACM CCS, NDSS, CRYPTO, PoPETs, IEEE TIFS e altre). Un punteggio basato su fonte, tema e segnali iniziali individua i candidati; un modello di intelligenza artificiale li valuta e ne scrive le sintesi. Le sintesi si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper nuovi valutati in questa edizione: 81.