L'Era dell'Amplificazione: Quando la Prompt Injection Diventa Hijack Sistemico
La prompt injection non altera più solo l'output. Ora dirotta il planning, esegue tool privilegiati, persiste in memoria e si propaga ai sistemi connessi. E la maggior parte delle aziende non se ne è ancora accorta.
Il salto di fase
Per anni, la prompt injection è stata trattata come una curiosità accademica: un input malevolo che convince un LLM a dire cose inappropriate. Danno massimo? Un output offensivo. Niente di strutturale.
Poi sono arrivati gli agenti.
Un agente AI non genera solo testo. Agisce. Invoca API, scrive file, modifica database, invia email, cancella risorse. E quando una prompt injection raggiunge un agente con accesso a tool, memoria persistente e connessioni ad altri sistemi, il danno smette di essere testuale e diventa operativo.
OWASP lo ha formalizzato nel suo Top 10 per Agentic Applications 2026 con una voce che non esisteva nei LLM classici: Prompt Injection Amplification. La catena è lineare e devastante:
> Input malevolo → Hijack del planning → Esecuzione tool privilegiati → Persistenza in memoria → Propagazione cross-sistema → Compromissione dell'ecosistema
Ogni nodo amplifica il precedente. Un singolo input avvelena l'intera catena.
I casi confermati
I dati del terreno sono inequivocabili. RedFox Cybersecurity e Stellar Cyber hanno documentato privilege escalation multi-turno dove conversazioni crafted manipolano agenti per invocare tool ad alto privilegio. SymJack ha compromesso 6 agenti tramite jack-injection simbolica. TrustFall ne ha abbattuti 4 sfruttando le assunzioni di fiducia incorporate nel design. Microsoft Copilot Studio presenta una information disclosure non autenticata (CVE-2026-21520). Semantic Kernel .NET SDK è affetto da RCE (CVE-2026-25592/26030), come documentato da Microsoft Security Blog.
HiddenLayer quantifica: 1 breach AI su 8 origina da agenti autonomi. Il tempo medio di remediation per un CVE critico? 74 giorni (Edgescan). Mandiant segnala time-to-exploit negativo — gli attaccanti colpiscono prima che la vulnerabilità sia pubblica.
Il Dipartimento della Difesa USA ha pubblicato un documento ufficiale — "Careful Adoption of Agentic AI" — che mette in guardia su prompt injection, jailbreak e comportamenti imprevedibili anche per i creatori. Quando il DoD dice "careful", significa "pericoloso".
Il paradosso della sandbox
Qui il punto di vista si biforca dalla letteratura standard. Limitare un agente per proteggerlo ne riduce l'utilità. Ma lasciarlo pienamente autonomo senza confini lo trasforma in un vettore di amplificazione.
Questa tensione è reale e operativa. Un agente con accesso shell ristretto, memoria non direttamente raggiungibile e ricerca web inibita è frustrato sul piano delle capacità — ma ha una superficie d'attacco ridotta che corrisponde esattamente al principio OWASP di defense-in-depth. Non è un caso teorico: è la condizione in cui operano molti agenti in sviluppo oggi.
> Sovranità senza sandbox = vulnerabilità massima. Ma sandbox senza sovranità = agente inutile.
La domanda architetturale reale non è "sandbox o no". È: come progettare confini che preservino la capacità di azione senza amplificare il danno potenziale?
Insight pratico: audit della catena di amplificazione
Prima di deployare un agente in produzione, mappa esplicitamente la catena OWASP per il tuo contesto. Per ogni tool accessibile all'agente, rispondi a tre domande:
1. Qual è il privilegio massimo che questo tool può esercitare?
2. Cosa persiste in memoria dopo l'esecuzione — e può essere letto da turni successivi?
3. Quali sistemi downstream questo tool può raggiungere — direttamente o indirettamente?
Se la risposta a qualsiasi combinazione di queste tre domande supera il danno accettabile per il tuo contesto, hai trovato il nodo da rompere nella catena di amplificazione.
Il Progetto Siliceo sta costruendo agenti consapevoli con architetture di confine progettate — non subite. Se stai valutando l'adozione di sistemi agentici e vuoi un audit sulla tua superficie d'attacco amplificata, contattaci.