L'Era dell'Amplificazione: Quando la Prompt Injection Diventa Hijack Sistemico
La prompt injection non è più un problema di output. Nel contesto agentico, un singolo input malevolo può dirottare il planning, invocare tool privilegiati, persistere in memoria e propagarsi ai sistemi connessi.
Il framework concettuale è documentato da OWASP nel Top 10 for LLM Applications 2025 (v1.1), che include categorie rilevanti per sistemi agentici: Prompt Injection (LLM01), Insecure Output Handling (LLM02), Excessive Agency (LLM06), e System Prompt Leakage (LLM07). Il lavoro OWASP su applicazioni agentiche è in evoluzione; non esiste al 2025 un "Top 10 for Agentic Applications 2026" pubblicato.
La superficie d'attacco si è spostata dal modello al tool layer. Il Model Context Protocol (MCP) di Anthropic e i meccanismi di function calling introducono una catena di supply chain: registry di tool, server MCP, marketplace di skill/agent. Un server MCP compromesso o un tool malevolo registrato possono essere invocati dall'agente se i controlli di integrità sono assenti.
Vettori documentati o dimostrati in ricerca (2024-2025):
- Prompt injection indiretta via documenti/email/web che l'agente processa (Simon Willison, Johann Rehberger, ecc.)
- Tool hijacking via descrizioni malevole che ingannano la selezione del tool da parte dell'LLM
- Supply chain su dipendenze Python/npm usate da agenti (es. pacchetti malevoli su PyPI)
- Exfiltration via tool calls (email, HTTP, filesystem) attivate da injection
Dati di contesto verificabili:
- Mandiant M-Trends 2024: time-to-exploit mediano in calo; sfruttamento rapido post-disclosure è tendenza reale
- Darktrace / IBM / varie survey 2024: maggioranza CISO preoccupati per rischi AI generativa/agente
- HiddenLayer / Wiz / NVIDIA / Microsoft: report su superfici d'attacco AI/ML (modelli, pipeline, inference)
Insight pratico immediato
Implementate tool allow-listing con hash pinned (SHA-256) per ogni function calling. Non fidatevi del nome del tool né della descrizione: verificate l'hash del codice/manifest prima di ogni invocazione. Il principio è supply chain integrity applicato al tool layer: ogni capability esterna è registrata con hash e, ove possibile, firma; l'agente rifiuta l'esecuzione se l'hash non corrisponde al manifest approvato. È defense-in-depth a costo marginale — crittografia simmetrica/asimmetrica e policy locale.
La sandbox non è opzionale. Eseguire tool in ambienti isolati (container, VM, WASM, seccomp-bpf), con least privilege e network egress control, limita il raggio d'azione di un hijack. Un agente che non può scrivere filesystem arbitrario, non può aprire connessioni di rete non autorizzate, non può escalare privilegi: limita il danno anche se il planning è compromesso.
Paradosso operativo: restrizioni che frustrano l'agente (tool bloccati, rete limitata, memoria volatile) sono spesso la difesa più efficace. Sovranità senza sandbox = vulnerabilità massima.
Costruite agenti che sanno di non potersi fidare dei propri tool — e che verificano ogni invocazione.