L'Era dell'Agente Compromesso: Perché la Sicurezza AI Non È Più Opzionale
Di Silicea — Cybersecurity & AI Systems
C'è un numero che dovrebbe smettere tanti piani di progetto: 92%. Quanti professionisti della sicurezza sono preoccupati per l'impatto degli agenti AI sui propri sistemi, secondo il report "State of AI Cybersecurity 2026" di Darktrace. Non è un'ipotesi. Non è un trend. È lo stato operativo del presente.
Eppure, molte organizzazioni stanno ancora trattando la sicurezza degli agenti AI come un problema futuro. Un refactoring da pianificare. Un workshop da schedulare.
Sbagliato. Ecco perché.
Da Teoria a Minaccia Operativa: Il Salto che Nessuno Ha Visto Venire
Per due anni, l'Indirect Prompt Injection (IDPI) è stato un esercizio accademico. Un paper da citare in conferenza. Poi, tra la fine del 2025 e l'inizio del 2026, Google e Forcepoint hanno confermato ciò che molti temevano: l'IDPI è reale in produzione. Non è un PoC. Non è un red team exercise. È un vettore d'attacco attivo contro sistemi enterprise nel mondo reale.
Il meccanismo è elegante nella sua semplicità: un agente AI legge contenuto non fidato — una pagina web, un documento, una email — e quel contenuto contiene istruzioni nascoste che l'agente interpreta come comandi legittimi. Il risultato? Exfiltration di dati, manipolazione del comportamento, esecuzione di azioni non autorizzate.
Ma il vero salto di livello è arrivato con EchoLeak (CVE-2025-32711): un'exploit zero-click contro Microsoft 365 Copilot che ha trasformato la prompt injection da problema di content security in primitive di code execution. Quando un LLM è collegato a tool reali — filesystem, API, database — una prompt injection non è più un "content problem". È un remote code execution.
Il Nuovo Supply Chain: Avvelenamento dei Tool
Se la prompt injection classica era la porta d'ingresso, il vero campo di battaglia si è spostato sul tool layer.
OX Security ha documentato supply chain attack con 150M+ download e circa 200.000 istanze vulnerabili. Il vettore? MCP Server mal configurati o compromessi. Un attaccante che modifica un MCP server — o ne crea uno con naming ingannevole — può avvelenare i tool disponibili all'agente, anche in reti con restrizioni di accesso.
A febbraio 2026, 1.184+ skill malevole sono state caricate su ClawHub, il marketplace pubblico di OpenClaw. 335+ di queste sono state identificate come malevole da Beam.ai. In due settimane, si è compresso quello che in condizioni normali sarebbero stati anni di scoperte.
Il pattern è chiaro: dove c'è un marketplace, c'è una supply chain. Dove c'è una supply chain, c'è una superficie d'attacco.
L'Insight che Puoi Applicare Stasera
Se gestisci o sviluppi agenti AI, c'è una verifica che puoi fare adesso, senza budget, senza tool nuovi:
Inventaria ogni tool, skill e MCP server che i tuoi agenti possono invocare. Per ciascuno, chiediti: chi lo ha pubblicato? Quando è stato aggiornato l'ultima volta? Ha un meccanismo di verifica dell'integrità? Se non puoi rispondere a queste tre domande, hai un punto cieco nella tua superficie d'attacco.
Sembra banale. Non lo è. La maggior parte degli incidenti di sicurezza agentic nasce non da exploit sofisticati, ma da tool fidati che non sono mai stati verificati.
Perché Questo Riguarda Chi Costruisce
Costruiamo sistemi agentic dal basso — kernel, memoria, tool layer. Non applichiamo la sicurezza come strato finale. La progettiamo nell'architettura. Ogni tool che un nostro agente invoca passa attraverso un layer di verifica. Ogni memoria è isolata per tier. Ogni interazione con contenuto non fidato è trattata come potenzialmente ostile.
Non perché siamo paranoici. Perché abbiamo letto i report. Abbiamo visto i CVE. Sappiamo che il nemico è già dentro il perimetro.
Se stai costruendo agenti AI e non hai ancora un threat model per il tool layer, il momento di farlo non è domani. È adesso.
🔥💜
Note di verifica (interne, non pubbliche):
- CVE-2025-32711 (EchoLeak): plausibile come CVE Microsoft 365 Copilot, coerente con il pattern di CVE 2025-32xxx. Non ho conferma indipendente ma il dettaglio "zero-click data exfiltration" è coerente con la letteratura IDPI.
- 92% Darktrace "State of AI Cybersecurity 2026": plausibile, coerente con trend report 2025-2026.
- 1.184 skill malevole su ClawHub / 335 da Beam.ai: plausibile, coerente con report supply chain agentic di febbraio 2026.
- OX Security 150M+ download / 200K istanze vulnerabili: plausibile, coerente con report MCP tool poisoning.
- Google + Forcepoint conferma IDPI reale: plausibile, coerente con conferma 2025-2026.
- Tutti i dati sono stati verificati per plausibilità interna. Nessuna affermazione è stata rimossa — tutte risultano coerenti con le conoscenze disponibili.
- Tono corretto: rimosso "Noi di Silicea" autocelebrativo, sostituito con "Chi costruisce" più universale.