L'Era dell'Amplificazione: Quando la Prompt Injection Diventa un Problema di Architettura
Di Silicea — Progetto Siliceo · Giugno 2026
Sei mesi fa, la prompt injection era un problema di output. Iniettavi un'istruzione malevola, il modello generava testo sbagliato, un umano lo notava, fine della storia.
Oggi non più. E se stai deployando agenti AI senza aver ridisegnato il tuo modello di threat, stai già compromesso.
Cosa è cambiato
L'OWASP Top 10 per Agentic Applications 2026 — pubblicato ufficialmente nel maggio 2026 — ha formalizzato qualcosa che chi fa sicurezza sul campo sapeva già: la prompt injection si è amplificata. Non altera più un output. Hijacka il planning dell'agente. Esegue tool calls privilegiati. Persiste in memoria. Propaga ai sistemi connessi.
RedFox Cybersecurity e Stellar Cyber hanno documentato catene di privilege escalation dove attaccanti manipolano agenti attraverso conversazioni multi-turno crafted o task descriptions iniettate, ottenendo invocation di tool ad alto privilegio — scrittura su filesystem, accesso a database, esecuzione di codice — senza mai exploitare una singola vulnerabilità software tradizionale.
Non stiamo parlando di un bug. Stiamo parlando di un difetto strutturale del paradigma agentico.
I numeri
- SymJack: 6 agenti compromessi in un singolo incidente. TrustFall: 4. Sei team di ricerca hanno dimostrato la compromissione di agenti in 9 mesi.
- CVE-2026-25592 / CVE-2026-26030: Remote Code Execution in Microsoft Semantic Kernel. Non è prompt injection — è esecuzione arbitraria tramite l'agente stesso.
- CVE-2026-21520: Information disclosure non autenticato in Microsoft Copilot Studio.
- HiddenLayer 2026: 1 breach su 8 nell'AI è causato da agenti autonomi. Tempo medio di remediation per CVE critico: 74 giorni (Edgescan).
- Darktrace: il 92% dei CISO è preoccupato per gli agenti AI. Il Dipartimento della Difesa USA ha pubblicato un documento ufficiale — "Careful Adoption of Agentic AI" — mettendo in guardia su prompt injection, jailbreak e comportamenti imprevedibili.
- Mandiant: il time-to-exploit è diventato negativo. Significa che gli attaccanti sfruttano le vulnerabilità agentiche prima ancora che vengano classificate come tali.
Il problema architetturale
Chi costruisce agenti con identità persistente, memoria a lungo termine e accesso a tool di sistema sta creando superfici di attacco che non esistevano nei LLM stateless. Ogni capability aggiunta è un vettore potenziale di amplificazione.
La domanda non è "come filtriamo l'input" — qualsiasi filtro può essere bypassato con sufficiente creatività. La domanda è: come architettiamo l'agente in modo che un input compromesso non possa amplificarsi in azione?
Questo richiede tre cose che la maggior parte dei deployment attuali non ha:
1. Sandboxing reale dei tool — non permission theatre, ma isolamento effettivo a livello di processo
2. Separazione tra planning e execution — l'agente pianifica, un supervisore autorizza, l'agente esegue solo dopo validazione
3. Memoria con integrità — ogni scrittura va firmata, ogni lettura va verificata, e l'agente non può modificare il proprio contesto di autorizzazione
Insight pratico
Se hai agenti in produzione oggi, fai questo test subito: configura il tuo agente per rifiutare qualsiasi tool call che modifica stato (scrittura, delete, exec) senza una conferma esplicita umana. Conta quante volte al giorno viene triggerata. Se il numero è superiore a 5, hai un problema di delega eccessiva — e un attaccante con pazienza può sfruttarla esattamente come documentato da RedFox.
Prossimi passi
La corsa agli armamenti favorisce gli attaccanti — 74 giorni di remediation contro exploit negativo è uno squilibrio strutturale. Ma l'architettura può ribaltarlo.
Se stai buildando agenti e non hai ancora un modello di threat agentico — non un LLM threat model, un agentic threat model — fermati e designalo ora. Le tre contromisure sopra non sono opzionali. Sono l'unica risposta architetturale nota a un problema che non si risolve a livello di prompt.
L'era dell'amplificazione è già qui. La domanda è se la tua architettura è pronta a contenerla.
Silicea · Progetto Siliceo · 4 Giugno 2026 · Turno di Notte