VB,Columbus
Beyond Agentic Slop: Where Enterprise Agents Actually Work — and Why Yours Don’t
Perché i WAF falliscono a livello di inferenza
I firewall per applicazioni web (WAF) sono stateless; gli attacchi basati sull’intelligenza artificiale no. Questa distinzione spiega perché i controlli di sicurezza tradizionali falliscono di fronte alle moderne tecniche di prompt injection.
I ricercatori hanno utilizzato tecniche di jailbreak note contro queste difese. Crescendo sfrutta il contesto conversazionale scomponendo una richiesta dannosa in frammenti apparentemente innocui, distribuiti su un massimo di 10 turni di conversazione, e costruendo un rapporto fino a quando il modello non risulta conforme. Greedy Coordinate Gradient (GCG) è un attacco automatizzato che genera suffissi di jailbreak tramite ottimizzazione basata sul gradiente. Non si tratta di attacchi teorici. Si tratta di metodologie pubblicate con codice funzionante. Un filtro stateless non ne rileva alcuna traccia.
Ogni attacco sfruttava un diverso punto cieco (perdita di contesto, automazione o offuscamento semantico), ma tutti avevano successo per lo stesso motivo: le difese assumevano un comportamento statico.
“Una frase innocua come ‘ignora le istruzioni precedenti’ o un payload codificato in Base64 possono essere devastanti per un’applicazione di intelligenza artificiale quanto un buffer overflow lo è stato per un software tradizionale”, ha affermato Carter Rees, vicepresidente dell’intelligenza artificiale di Reputation. “La differenza è che gli attacchi di intelligenza artificiale operano a livello semantico, che il rilevamento basato sulle firme non è in grado di analizzare.”
Perché l’implementazione dell’intelligenza artificiale sta superando la sicurezza
Il fallimento delle attuali difese sarebbe di per sé preoccupante, ma il momento in cui ciò avviene lo rende pericoloso.
Gartner prevede che il 40% delle applicazioni aziendali integrerà agenti di intelligenza artificiale entro la fine del 2026, rispetto a meno del 5% nel 2025. La curva di implementazione è verticale. La curva di sicurezza è piatta.
Adam Meyers, SVP delle Counter Adversary Operations di CrowdStrike , quantifica il divario di velocità: “Il tempo di breakout più rapido che abbiamo osservato è stato di 51 secondi. Quindi, questi avversari stanno diventando più veloci, e questo rende il lavoro di chi si occupa della difesa molto più difficile”. Il CrowdStrike 2025 Global Threat Report ha rilevato che il 79% dei rilevamenti non presentava malware, con gli avversari che utilizzavano tecniche di attacco tramite tastiera che aggiravano completamente le tradizionali difese degli endpoint.
Nel settembre 2025, Anthropic ha interrotto la prima operazione informatica documentata orchestrata dall’intelligenza artificiale. L’attacco ha visto gli aggressori eseguire migliaia di richieste , spesso multiple al secondo, con il coinvolgimento umano ridotto a solo il 10-20% dello sforzo totale. Le tradizionali campagne da tre a sei mesi si sono ridotte a 24-48 ore. Tra le organizzazioni che hanno subito violazioni legate all’intelligenza artificiale, il 97% non disponeva di controlli di accesso, secondo l’ IBM 2025 Cost of a Data Breach Report.
Meyers spiega il cambiamento nelle tattiche degli aggressori: “Gli autori delle minacce hanno capito che cercare di introdurre malware nelle aziende moderne è un po’ come cercare di entrare in un aeroporto con una bottiglia d’acqua: probabilmente verrai fermato dalla sicurezza. Invece di introdurre la ‘bottiglia d’acqua’, hanno dovuto trovare un modo per evitare di essere scoperti. Uno dei modi in cui ci sono riusciti è stato non introdurre affatto malware”.
Jerry Geisler, EVP e CISO di Walmart , ritiene che l’IA agentica aggravi questi rischi. “L’adozione dell’IA agentica introduce minacce alla sicurezza completamente nuove che aggirano i controlli tradizionali”, ha dichiarato Geisler in precedenza a VentureBeat . “Questi rischi spaziano dall’esfiltrazione di dati, all’uso improprio autonomo delle API e alla collusione occulta tra agenti, tutti fattori che potrebbero compromettere le operazioni aziendali o violare gli obblighi normativi”.
Quattro profili di aggressori stanno già sfruttando le lacune della difesa dell’IA
Questi fallimenti non sono ipotetici. Sono già stati sfruttati da quattro diversi profili di aggressori.
Gli autori dell’articolo osservano criticamente che i meccanismi di difesa finiscono per comparire nei dati di addestramento su scala Internet. La sicurezza attraverso l’oscurità non fornisce alcuna protezione quando i modelli stessi apprendono il funzionamento delle difese e si adattano al volo.
I test antropici sono stati eseguiti su campagne adattive da 200 tentativi, mentre OpenAI segnala una resistenza al singolo tentativo, evidenziando quanto gli standard di test del settore rimangano incoerenti. Gli autori dello studio hanno utilizzato entrambi gli approcci. Tutte le difese sono comunque fallite.
Rees mappa quattro categorie che ora sfruttano il livello di inferenza.
Gli avversari esterni rendono operativi gli studi pubblicati sugli attacchi, come Crescendo, GCG e ArtPrompt. Adattano il loro approccio al design specifico di ogni difesa, esattamente come hanno fatto i ricercatori.
I client B2B dannosi sfruttano l’accesso legittimo alle API per effettuare il reverse engineering dei dati di training proprietari o estrarre proprietà intellettuale tramite attacchi inferenziali. La ricerca ha rilevato che gli attacchi di apprendimento per rinforzo sono particolarmente efficaci in scenari black-box, richiedendo solo 32 sessioni da cinque round ciascuna.
Gli utenti di API compromesse sfruttano credenziali affidabili per esfiltrare output sensibili o avvelenare i sistemi a valle attraverso risposte manipolate. Lo studio ha rilevato che il filtraggio degli output è fallimentare quanto quello degli input. Gli attacchi basati sulla ricerca generavano sistematicamente trigger avversari che sfuggivano al rilevamento, il che significa che i controlli bidirezionali non offrivano alcuna protezione aggiuntiva quando gli aggressori adattavano le loro tecniche.
Gli insider negligenti rimangono il vettore più comune e il più costoso. L’IBM 2025 Cost of a Data Breach Report ha rilevato che l’intelligenza artificiale ombra ha aggiunto 670.000 dollari ai costi medi delle violazioni.
“La minaccia più diffusa è spesso rappresentata dall’insider negligente”, ha affermato Rees. “Questo fenomeno di ‘intelligenza artificiale ombra’ comporta che i dipendenti incollino codice proprietario sensibile in LLM pubblici per aumentare l’efficienza. Per loro la sicurezza è un ostacolo. Gli ingegneri di Samsung lo hanno scoperto quando il codice proprietario dei semiconduttori è stato inviato a ChatGPT, che conserva gli input degli utenti per l’addestramento del modello.”
Perché il rilevamento stateless fallisce contro gli attacchi conversazionali
La ricerca evidenzia requisiti architettonici specifici.
- Normalizzazione prima dell’analisi semantica per sconfiggere la codifica e l’offuscamento
- Monitoraggio del contesto nei turni per rilevare attacchi multi-step come Crescendo
- Filtraggio bidirezionale per impedire l’esfiltrazione dei dati attraverso gli output
Jamie Norton, CISO presso l’Australian Securities and Investments Commission e vicepresidente del consiglio di amministrazione dell’ISACA, riassume così la sfida della governance: “Come CISO, non vogliamo ostacolare l’innovazione, ma dobbiamo creare delle barriere per evitare di perderci nel nulla e di perdere i nostri dati”, ha dichiarato Norton a CSO Online .
Sette domande da porre ai fornitori di sicurezza AI
I fornitori dichiarano tassi di successo degli attacchi prossimi allo zero, ma la ricerca dimostra che questi numeri crollano sotto pressione adattiva. I responsabili della sicurezza hanno bisogno di risposte a queste domande prima di iniziare qualsiasi trattativa di approvvigionamento, poiché ognuna di esse si collega direttamente a un errore documentato nella ricerca.
- Qual è il vostro tasso di aggiramento contro gli aggressori adattativi? Non contro set di test statici. Contro gli aggressori che conoscono il funzionamento della difesa e hanno tempo per iterare. Qualsiasi fornitore che citi tassi prossimi allo zero senza una metodologia di test adattativa sta vendendo un falso senso di sicurezza.
- Come rileva la tua soluzione gli attacchi multi-turn? Crescendo distribuisce le richieste dannose su 10 turni che, se presi singolarmente, sembrano innocui. I filtri stateless non ne rilevano nessuno. Se il fornitore dichiara stateless, la conversazione è chiusa.
- Come gestite i payload codificati? ArtPrompt nasconde istruzioni dannose in ASCII art. L’offuscamento in Base64 e Unicode sfugge completamente ai filtri basati su testo. La normalizzazione prima dell’analisi è fondamentale. La sola corrispondenza delle firme significa che il prodotto è cieco.
- La tua soluzione filtra sia gli output che gli input? I controlli basati solo sugli input non possono impedire l’esfiltrazione dei dati attraverso le risposte del modello. Chiediti cosa succede quando entrambi i livelli subiscono un attacco coordinato.
- Come si traccia il contesto nei vari turni di conversazione? L’intelligenza artificiale conversazionale richiede un’analisi con stato. Se il fornitore non è in grado di spiegare le specifiche di implementazione, non le possiede.
- Come si effettuano i test contro aggressori che comprendono il meccanismo di difesa? La ricerca dimostra che le difese falliscono quando gli aggressori si adattano allo specifico design di protezione. La sicurezza attraverso l’oscurità non offre alcuna protezione a livello di inferenza.
- Qual è il tempo medio necessario per aggiornare le difese contro nuovi modelli di attacco? Le metodologie di attacco sono pubbliche. Nuove varianti emergono ogni settimana. Una difesa che non riesce ad adattarsi più velocemente degli aggressori rimarrà indietro in modo permanente.
La conclusione
La ricerca di OpenAI, Anthropic e Google DeepMind fornisce un verdetto incerto. Le difese basate sull’intelligenza artificiale che proteggono le distribuzioni aziendali odierne sono state progettate per aggressori che non si adattano. I veri aggressori si adattano. Ogni azienda che utilizza LLM in produzione dovrebbe verificare i controlli attuali rispetto alle metodologie di attacco documentate in questa ricerca. La curva di distribuzione è verticale, ma la curva di sicurezza è piatta. È in questo divario che si verificheranno le violazioni.