RICERCA
Sicurezza degli LLM al centro, segreti rubati via NVLink e XSS attraverso DoH
Settimana dominata dalla sicurezza degli LLM: difese per gli agenti, per il fine-tuning e per le app Android che li integrano, più il watermarking del testo generato. Sul fronte hardware, canali laterali su NVLink tra GPU e un attacco Spectre-v2 negli engine JIT. Completano una nuova XSS via DoH, difetti del Single Sign-On mobile e la verifica del ratchet post-quantum di Signal.
1. NVBleed: Covert and Side-Channel Attacks on NVIDIA Multi-GPU Interconnect
ACM Conference on Computer and Communications Security · Yicheng Zhang, Ravan Nazaraliyev, Sankha Baran Dutta, Andrés Márquez et al. · Hardware e canali laterali
In breve: NVBleed mostra che i collegamenti NVLink tra GPU fanno trapelare informazioni, abilitando canali nascosti e attacchi side-channel anche tra VM su Google Cloud.
Gli autori analizzano NVLink V1-V3 e individuano due fonti di leakage: variazioni di tempo dovute alla contesa e contatori di prestazioni, visibili da una GPU remota. Ottengono un covert channel oltre 70 kbps e attacchi side-channel che riconoscono le applicazioni con F1 fino al 96,77%. Il leakage avviene anche tra VM su GCP, con F1 oltre l'88% su Blender.
Perché conta. I server multi-GPU condivisi nel cloud ospitano spesso carichi di machine learning sensibili. L'interconnessione tra GPU va considerata parte della superficie di attacco nei modelli di isolamento.
Per chi assicura. Per chi assicura fornitori cloud o aziende che addestrano modelli su GPU condivise, l'isolamento tra clienti risulta meno solido del previsto. Un difetto in hardware molto diffuso può generare un cumulo di esposizioni simili.
2. Safeguarding LLM Agents against Long-Horizon Threats via Shadow Memory
ACM Conference on Computer and Communications Security · Yuhui Wang, Tanqiu Jiang, Jiacheng Liang, Charles Fleming et al. · Sicurezza di AI e LLM
In breve: ShadowMem protegge gli agenti LLM dagli attacchi che si sviluppano su molti passaggi, con una memoria dedicata alla sicurezza ispirata allo shadow stack.
Gli attacchi long-horizon sfruttano interazioni lunghe tra utente, agente e ambiente per obiettivi improbabili in un solo turno. ShadowMem conserva in una memoria separata il contesto rilevante per la sicurezza lungo l'esecuzione e valuta il rischio di ogni azione prima che parta. Gli autori riportano precisione superiore alle difese esistenti e costo trascurabile.
Perché conta. Le difese che guardano un solo messaggio non vedono un attacco distribuito su molti passi. Una memoria di sicurezza separata è un modello semplice da adottare per chi costruisce agenti.
Per chi assicura. Per le aziende che affidano compiti reali ad agenti AI, i controlli valutati sul singolo prompt possono dare un falso senso di sicurezza. È una domanda utile nella valutazione dei controlli sull'uso dell'AI.
3. Branch Target Reuse: Practical Spectre-v2 Attacks in JIT Engines via Stale Branch Prediction Entries
ACM Conference on Computer and Communications Security · Sander Wiebing, Yuhui Zhu, Alessandro Biondi, Cristiano Giuffrida · Hardware e canali laterali
In breve: Branch Target Reuse è il primo attacco Spectre-v2 pratico negli engine JIT, che riusa voci di predizione dei salti obsolete dopo la rigenerazione del codice.
I processori ripristinano la coerenza del codice dopo l'auto-modifica, ma non sempre invalidano le voci di predizione dei salti indiretti. Negli engine JIT queste voci obsolete sopravvivono e vengono riusate. Gli autori lo provano su SpiderMonkey, GraalVM e il JIT cBPF del kernel Linux e recuperano l'hash della password di root in pochi minuti, nonostante le mitigazioni.
Perché conta. Le mitigazioni Spectre esistenti non coprono questo riuso di voci obsolete negli engine JIT. È un promemoria che l'esecuzione transiente resta un problema aperto su hardware diffuso.
Per chi assicura. Per chi assicura, un attacco che estrae segreti aggirando mitigazioni note incide sui controlli dati per efficaci. Vista la diffusione degli engine JIT, è anche uno scenario di cumulo.
4. An Empirical Study of Observability Limits in Advanced Software Supply Chain Attacks
ACM Conference on Computer and Communications Security · Zhuoran Tan, Wenbo Guo, Jiewen Luo, Taylor Brierley et al. · Supply chain del software
In breve: SynthChain è un dataset multi-fonte con verità di base per gli attacchi avanzati alla catena di fornitura software e mostra i limiti dell'osservabilità runtime.
Gli attacchi avanzati alla supply chain lasciano tracce frammentate. Gli autori rilasciano SynthChain, sette scenari su PyPI, npm e C++, con 2.919 indicatori di compromissione verificati su 22 file di log. Nessuna singola fonte ricostruisce oltre il 40% dei passi; unirne due migliora la ricostruzione di circa 1,6 volte, ma conta quali fonti si combinano.
Perché conta. Ricostruire una catena di attacco richiede più fonti di telemetria, non solo più dati. Il lavoro offre linee guida di pianificazione della telemetria utili ai difensori.
Per chi assicura. Per sinistri e forensics legati alla supply chain, una sola fonte di log è spesso insufficiente a ricostruire l'accaduto. Chi assicura può considerare la copertura della telemetria tra i controlli richiesti.
5. PiMRef: Deducing Ever-evolving Spear-phishing Emails with Knowledge Base Invariants
ACM Conference on Computer and Communications Security · Ruofan Liu, Yun Lin, Yuxin Wang, Xiwen Teoh et al. · AI applicata alla sicurezza
In breve: PiMRef rileva le email di spear-phishing generate da LLM verificando l'identità dichiarata del mittente contro una base di conoscenza di fatti.
Gli autori mostrano che gli LLM generano spear-phishing credibile che inganna i rilevatori. PiMRef individua l'identità dichiarata del mittente, ne verifica il dominio contro una base di conoscenza aggiornabile e deduce gli inviti all'azione. Riduce i falsi positivi allo 0,81% con recall del 90,7-93,1%, e tocca l'86,4% su SpearMail (14.672 email da LLM).
Perché conta. Lo spear-phishing generato da LLM supera i rilevatori basati su regole e feature. Verificare fatti verificabili sul mittente è un approccio che regge meglio all'evoluzione degli attacchi.
Per chi assicura. Il phishing è un innesco frequente di sinistri cyber, dal ransomware alla frode. Un rilevamento che tiene con lo spear-phishing da LLM riguarda i controlli email su cui chi assicura fa affidamento.
6. XSS-over-DoH: On the Adverse Side Effects of DoH on Web Security
ACM Conference on Computer and Communications Security · Matthias Gierlings, Lukas Knittel, Jörg Schwenk, Christian Mainka · Web e mobile
In breve: XSS-over-DoH è una nuova classe di attacchi web che sfrutta il DNS-over-HTTPS per ottenere XSS e aggirare la Content Security Policy.
Il DoH introduce HTTP come protocollo aggiuntivo e riusa la porta 443, senza imporre header essenziali. Gli autori mostrano Direct-XSS-over-DoH, che ottiene XSS anche senza injection di markup, e CSP-Bypass-over-DoH, che aggira anche una CSP forte. Su oltre 3 milioni di domini trovano 1.297 server DoH, il 72% con header insicuri, e 2.265 CSP vulnerabili, incluso un caso su Proton Mail.
Perché conta. Una funzione introdotta per migliorare la privacy del DNS può invalidare difese web consolidate come la CSP. Nuovi componenti web vanno studiati a fondo prima dell'adozione.
Per chi assicura. La CSP è un controllo su cui molti contano per contenere le XSS. Se il DoH la aggira, chi assicura dovrebbe considerare la configurazione dei server DoH e delle intestazioni tra i fattori di rischio web.
7. Automated Side-Channel Analysis of Cryptographic Protocol Implementations
ACM Conference on Computer and Communications Security · Faezeh Nasrabadi, Robert Künnemann, Hamed Nemati · Metodi formali
In breve: Una toolchain estrae modelli di protocollo dai binari reali e li analizza per canali laterali, trovando un leak di cache in WhatsApp Desktop.
Gli autori colmano il divario tra specifiche verificate ed eseguibili: sollevano il codice macchina, lo strumentano con contratti di leakage per constant-time e speculazione tipo Spectre-PHT, e traducono le tracce per Tamarin, ProVerif e DeepSec. Sui componenti di WhatsApp Desktop individuano un canale laterale sulla cache delle istruzioni che consente l'inferenza del grafo sociale.
Perché conta. La verifica formale di solito ignora il codice compilato e i canali microarchitetturali. Partire dai binari reali trova leak che i modelli simbolici non vedono.
Per chi assicura. La rilevanza assicurativa diretta è limitata. Il lavoro mostra però che un'app di messaggistica diffusa può esporre metadati relazionali tramite canali laterali, utile a chi valuta rischi di privacy.
8. Understanding and Preserving Safety in Fine-Tuned LLMs
ACM Conference on Computer and Communications Security · Jiawen Zhang, Yangfan Hu, Kejia Chen, Lipeng He et al. · Sicurezza di AI e LLM
In breve: SPF preserva l'allineamento di sicurezza degli LLM durante il fine-tuning, rimuovendo le componenti del gradiente in conflitto con un sottospazio di sicurezza a basso rango.
Il fine-tuning può degradare la sicurezza anche con dati innocui. Gli autori osservano che i gradienti di sicurezza stanno in un sottospazio a basso rango, spesso in conflitto con quelli di utilità, e stimabile da un solo campione. SPF rimuove le componenti in conflitto, garantendo convergenza dell'utilità e limitando la deriva di sicurezza, anche sotto fine-tuning avversario.
Perché conta. Il dilemma tra sicurezza e prestazioni ha finora reso fragile il fine-tuning. Un metodo leggero che mantiene entrambe è utile a chi applica gli LLM a compiti specifici.
Per chi assicura. Per chi assicura servizi che offrono il fine-tuning di LLM, un controllo che conserva l'allineamento riduce il rischio che un modello perda le sue protezioni. Rileva una misura tecnica concreta.
9. One Click to Leak: Characterizing the Real-World Usage and Threat Impact of MNO-based Single Sign-On Websites
ACM Conference on Computer and Communications Security · Jiasheng Huang, Mingxuan Liu, Pei Chen, Baojun Liu et al. · Identità e autenticazione
In breve: Lo studio sul Single Sign-On basato sugli operatori mobili (MSSO) sul web trova difetti di fiducia che permettono di rubare numeri di telefono con una sola visita.
Gli autori individuano tre difetti di fiducia nel flusso MSSO e dimostrano One-Click-to-Leak, in cui una sola visita espone il numero di telefono. In uno studio di un anno su 116.852 URL di 729 domini, il 73,6% ha almeno un difetto: il 69,4% espone credenziali di sviluppatore e il 27,1% emette token privilegiati prima del consenso.
Perché conta. Il login senza password via operatore mobile si sta diffondendo sul web, ma le sue implementazioni espongono dati di identità. Il consenso dell'utente arriva spesso dopo l'emissione del token.
Per chi assicura. I numeri di telefono trapelati alimentano frode e SIM swap, inneschi di sinistri cyber. Per chi assicura, le implementazioni MSSO sono un controllo di autenticazione da verificare, non un dato acquisito.
10. A Formal Analysis of Signal's Sparse Post-Quantum Ratchet Protocol and its Implementation
ACM Conference on Computer and Communications Security · Karthikeyan Bhargavan, Maxime Buyse, Graeme Connell, Franziskus Kiefer et al. · Metodi formali
In breve: Prima specifica e analisi formale di SPQR, il ratchet post-quantum basato su ML-KEM che Signal ha messo in produzione nel 2025.
SPQR affianca il Double Ratchet per ottenere forward secrecy e post-compromise security ibride: reggono finché non si rompono sia la curva ellittica sia il KEM post-quantum. Gli autori verificano il progetto con ProVerif in vari scenari di compromissione e integrano la toolchain hax nella CI di Signal per provare la sicurezza runtime dell'implementazione in produzione, usata da milioni di utenti.
Perché conta. È un raro esempio di verifica formale applicata dal progetto a un protocollo distribuito a milioni di persone. Mostra come legare le garanzie del progetto all'implementazione reale.
Per chi assicura. La rilevanza assicurativa diretta è bassa. Il lavoro è però un riferimento su come la verifica formale può ridurre il rischio di difetti in software di messaggistica critici.
11. Janus: Characterizing Bidirectional Privacy and Security Risks in LLM-Integrated Android Apps
ACM Conference on Computer and Communications Security · Junhua Guo, Zongze Li, Haipeng Cai · Web e mobile
In breve: Janus è un'analisi statica che misura i rischi di privacy e sicurezza nelle app Android integrate con LLM, trovandoli diffusi.
Le integrazioni LLM sono bidirezionali: dati sensibili entrano nei prompt e il testo generato esce verso logica, UI e API. Janus ricostruisce le pipeline end-to-end e classifica i rischi. Trova problemi ricorrenti: chiavi API e system prompt esposti lato client, invio di dati sensibili a servizi LLM terzi senza informativa e gestione esposta all'iniezione di prompt.
Perché conta. Le app che integrano LLM creano una classe di rischi nuova rispetto alle integrazioni tradizionali. Chiavi e prompt esposti lato client sono un problema concreto e diffuso.
Per chi assicura. Per chi assicura sviluppatori di app mobili, l'integrazione di LLM amplia la superficie di fuga di dati. Nei controlli conviene chiedere come l'assicurato gestisce chiavi, dati inviati e output dei modelli.
12. PURA: Provably Unbiased and Robust Multi-Bit Watermarking for AI-Generated Text Attribution
ACM Conference on Computer and Communications Security · Yaofei Wang, Jinyang Guo, Shuchao Du, Chao Wang et al. · Sicurezza di AI e LLM
In breve: PURA è un watermarking multi-bit per il testo generato dall'AI che preserva la distribuzione del modello e resta recuperabile dopo le modifiche.
L'attribuzione fine del testo AI richiede watermark ad alta capacità e robusti. PURA inserisce il payload nello spazio di campionamento latente e lo recupera trattando i token come evidenza su intervalli. L'errore per bit cala esponenzialmente con la lunghezza. Con 36 bit su 200 token raggiunge il 91,7% di corrispondenza, oltre il triplo della migliore baseline.
Perché conta. Attribuire il testo generato dall'AI è utile per responsabilità e audit. Un watermark che regge alle modifiche e non altera la qualità rende l'attribuzione più affidabile.
Per chi assicura. La rilevanza assicurativa diretta è limitata. Il tema tocca però governance dei contenuti AI e tracciabilità, utili dove disinformazione o frode da contenuti generati sono un rischio.
Come nasce questo digest
I nuovi paper vengono raccolti ogni giorno e selezionati ogni settimana da arXiv, dall'archivio IACR ePrint e dalle principali conferenze e riviste di sicurezza (IEEE S&P, USENIX Security, ACM CCS, NDSS, CRYPTO, PoPETs, IEEE TIFS e altre). Un punteggio basato su fonte, tema e segnali iniziali individua i candidati; un modello di intelligenza artificiale li valuta e ne scrive le sintesi. Le sintesi si basano sugli abstract: per i dettagli fa fede il paper originale.
Paper nuovi valutati in questa edizione: 799.