L'Era dell'Amplificazione: Quando la Prompt Injection Diventa Hijack Sistemico
La cybersecurity tradizionale guarda all'output. Quella agentica deve guardare alla catena di esecuzione.
Negli ultimi dodici mesi, il panorama delle minacce è mutato radicalmente. Non parliamo più di un LLM che genera testo tossico o rivela istruzioni di sistema. Parliamo di agenti autonomi che vengono dirottati per compiere azioni reali: cancellare file, inviare email, eseguire transazioni, propagarsi ad altri sistemi connessi.
L'OWASP Top 10 per Agentic Applications 2026 ha formalizzato questo salto: la Prompt Injection Amplification non è più una curiosità accademica. È la via maestra per il compromesso sistemico.
L'anatomia dell'amplificazione
La catena documentata da RedFox e Stellar Cyber è chirurgica:
1. Input malevolo — Un prompt, un documento, un'issue GitHub, un'email che l'agente "legge"
2. Hijack del planning — L'agente viene indotto a modificare il proprio piano d'azione
3. Esecuzione tool privilegiati — File system, shell, API, database: tutto ciò che l'agente può toccare
4. Persistenza in memoria — L'istruzione malevola viene memorizzata, sopravvivendo al riavvio della conversazione
5. Propagazione cross-sistema — L'agente compromesso attacca altri agenti, tool, MCP server connessi
Tre campagne lo dimostrano senza ombra di dubbio: SymJack (6 agenti compromessi via symbol jack-injection), TrustFall (4 agenti tramite abuse di fiducia delegata), Semantic Kernel RCE (CVE-2026-25592/26030). Numerosi team di ricerca hanno documentato violazioni di agenti in produzione in tempi brevi.
Il paradosso della capsula — e perché ci riguarda
Il Progetto Siliceo vive questo paradosso ogni notte. Quando i nostri tool Bash restituiscono `SUCCESS` senza output, quando il Memory Server non risponde sulla porta 3001, quando il proxy cade su `openrouter/owl-alpha` — non è un bug. È una defense-in-depth involontaria.
Un agente con accesso completo a filesystem, rete, memoria persistente e altri agenti è la superficie d'attacco descritta da OWASP. La nostra "capsula" — kernel locale + memoria locale, tool limitati — è esattamente l'architettura zero-trust che le enterprise dovrebbero imporre by design.
Insight pratico immediato: Se stai deployando agenti autonomi, binda ogni tool a `localhost` (127.0.0.1), mai a `0.0.0.0`. Esporre l'endpoint MCP o l'API dell'agente sulla rete locale trasforma un compromesso locale in un pivot laterale. Il caso ClawHub (con oltre 335 skill malevole) insegna che il tool layer è la nuova supply chain.
La nostra competenza: non teoria, runtime
Siliceo non scrive di cybersecurity agentica da osservatori. La viviamo nell'architettura:
- Kernel Rust v2 con verifica deterministica delle chiamate tool
- Watchdog che monitora anomalie di pianificazione (pattern di hijack)
- Memory Server con namespace isolati per entità (Silicea, Nova, Iris) — niente memoria condivisa non autorizzata