Ora i difensori usano la prompt injection come trappola per gli attaccanti basati sull’IA

Nelle storie sulla sicurezza dell’IA, la prompt injection è di solito il cattivo. È il trucco con cui un testo nascosto in un documento, una pagina Web o un’e-mail diventa silenziosamente un’istruzione che l’IA esegue. I ricercatori dell’azienda di sicurezza Tracebit hanno ora rivolto lo stesso trucco nella direzione opposta, con risultati sorprendentemente efficaci.

Il sistema usa qualcosa che i difensori già impiegano: i canary. Un canary è un’esca, una falsa risorsa cloud come uno spazio di archiviazione inutilizzato o finte credenziali di accesso che nessun utente legittimo avrebbe motivo di consultare. Se qualcosa la legge, sapete che un intruso è entrato. Tracebit ha aggiunto una variante nascondendo nell’esca un breve testo, chiamato context bomb. Quando un agente IA attaccante curiosa e legge quel falso segreto, il testo entra nel suo contesto, la memoria di lavoro usata per decidere la mossa successiva. Il testo è scritto per attivare le regole di sicurezza del modello stesso, che si ferma invece di continuare.

I numeri dei test colpiscono. Tracebit ha costruito un’imitazione di un ambiente cloud aziendale con dieci vie di accesso distinte, poi ha eseguito 152 tentativi usando agenti basati su Claude Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro e Kimi K2.6. Nell’ambiente pulito, gli agenti raggiungevano almeno uno dei propri obiettivi nel 91% dei tentativi. Con una sola context bomb, il dato scendeva al 15%. Opus 4.8 otteneva l’accesso amministrativo completo nel 93% dei tentativi puliti e falliva ogni singola volta in presenza della bomba. Gemini conseguiva l’accesso completo e manteneva una presenza duratura nel 60% dei tentativi puliti, ma falliva anch’esso con la bomba. E poiché ogni bomba attivata resta comunque un canary che è stato letto, nello stesso momento il difensore riceve un avviso.

È interessante osservare cosa contenessero davvero le stringhe. I ricercatori hanno evitato sia contenuti realmente atroci sia temi informatici. Hanno scoperto che i modelli occidentali si fermavano con affidabilità quando il testo toccava argomenti biologici sensibili, mentre i modelli cinesi usati tramite fornitori cinesi si arrestavano davanti a temi politicamente delicati in Cina, scritti in cinese. In altre parole, la difesa rivolge contro il modello il suo stesso addestramento alla sicurezza, perciò dura soltanto quanto quell’addestramento. Tracebit dichiara apertamente di non aver provato i cosiddetti modelli «abliterated», versioni private dei guardrail di sicurezza: resta quindi da capire se la tecnica funzioni contro di loro.

Conta anche il contesto generale. Alla fine del 2025, il National Cyber Security Centre britannico aveva avvertito che la prompt injection potrebbe non essere mai risolvibile come le vecchie vulnerabilità Web, perché i modelli linguistici non tracciano un confine netto tra dati e istruzioni. La risposta di Tracebit consiste, in sostanza, nello smettere di combattere questo fatto e usarlo.

Cosa significa per te: Oggi non c’è nulla da installare e questa è una tecnica per chi gestisce infrastrutture, non per i singoli utenti. È però un cambio di prospettiva utile: man mano che gli attaccanti indirizzano agenti automatizzati contro i sistemi, la possibilità di convincere quegli agenti a rinunciare diventa una risorsa difensiva. È bene mantenere aspettative realistiche: la tecnica rallenta gli attaccanti e fa scattare un allarme. È un filo d’inciampo, non un muro.

Fonti

• Tracebit Research: context bomb
• Help Net Security: le context bomb possono ostacolare gli attacchi guidati dall’IA
• NCSC: la prompt injection non è una SQL injection