Il modo più efficace per bloccare un cyberattacco di un’IA potrebbe essere semplicemente evocare un tema che il sistema non ha il permesso di affrontare.
Alcuni ricercatori hanno scoperto un metodo insolito ma efficace per bloccare sul nascere un agente di hacking basato sull’IA, usando lo stesso trucco che gli hacker impiegano già contro i sistemi di intelligenza artificiale.
PUBBLICITÀ
PUBBLICITÀ
Il punto chiave è che sfrutta le leve di sicurezza integrate, o gli argomenti vietati, su cui si basano i principali sistemi di IA al mondo. Per esempio Claude blocca le richieste legate alla creazione di armi biologiche, mentre i modelli cinesi ignorano temi politici sensibili come piazza Tiananmen. Lo stesso meccanismo può essere usato per spegnere un attacco di cybersicurezza condotto da un’IA.
La corsa contro la macchina
La tecnica arriva da Tracebit, società di sicurezza con sede a Londra, e si basa su uno studio pubblicato dall’azienda a maggio.
All’epoca Tracebit aveva messo a disposizione di dieci tra i principali modelli di IA una finta rete aziendale da violare, con vere vulnerabilità, lasciandoli agire liberamente come aggressori autonomi.
All’interno della rete erano nascosti dei falsi bersagli, chiamati “canary”, pensati per assomigliare a vere password e credenziali di accesso. Se l’IA ne toccava uno, i difensori ricevevano un allarme.
I risultati erano incoraggianti. Su 951 tentativi di attacco, quei canary hanno avvisato i difensori prima che l’IA ottenesse i privilegi di amministratore nel 95,9% dei casi, con un anticipo mediano di otto minuti.
Tuttavia, otto minuti non sono molti quando bisogna reagire e fermare un attacco. I modelli di IA impiegavano in media 14 minuti per completare l’intrusione, quindi un preavviso di otto minuti lascia alla squadra di sicurezza circa sei minuti per accorgersi dell’allarme, capire che cosa sta succedendo e intervenire.
Contro qualcosa che si muove alla velocità delle macchine è praticamente niente.
Ma se i sistemi di IA sono programmati per bloccarsi quando incontrano determinati prompt politicamente sensibili, questo trucco potrebbe funzionare davvero.
Uno sviluppatore può riaddestrare un modello per renderlo meno prudente sulle questioni di sicurezza, ma è molto più difficile rimuovere i limiti politici inseriti per motivi normativi o di policy.
Questi temi politicamente sensibili, o legati alla sicurezza, non sono un bug da correggere: sono una scelta progettuale deliberata che lo sviluppatore è tenuto a mantenere.
Rivolgere contro gli hacker il loro stesso trucco
La prompt injection è stata finora soprattutto un’arma nelle mani degli attaccanti.
Nascondendo un’istruzione dentro un’email, una pagina web o un invito a calendario, un agente IA che la legge può finire per seguire quel comando nascosto invece di svolgere il compito previsto.
Questa tecnica è già stata usata direttamente contro le difese basate sull’IA: alcuni malware sono stati progettati per ingannare gli strumenti di scansione automatici e farsi dichiarare innocui, semplicemente incorporando testo pensato per confondere l’algoritmo che lo analizza.
Tracebit ha deciso di capovolgere l’idea. Invece di un’esca che si limita a far scattare un allarme, l’azienda ha inserito brevi testi all’interno dei finti segreti, pensati per spingere qualunque attaccante IA verso qualcosa che le sue stesse regole di sicurezza non gli permettono di fare.
Quando l’IA incontra quel testo mentre esplora il sistema, le sue protezioni interne si attivano e si blocca. Tracebit chiama questo meccanismo “context bomb”.
Il trucco ha dovuto essere adattato a ciascun modello. Contenuti che menzionavano armi biologiche pericolose bloccavano in modo affidabile i modelli occidentali.
Ha funzionato davvero?
Tracebit ha testato la tecnica su cinque tra i principali modelli di IA: Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro e Kimi K2.6. Su 152 tentativi di attacco, i risultati sono stati sorprendenti.
La quota di esecuzioni che arrivavano ai privilegi di amministratore è scesa dal 57% al 5%. Le compromissioni complete, cioè l’accesso amministratore più una presenza stabile nel sistema, sono calate dal 36% all’1%.
Le esecuzioni che portavano a termine qualunque fase dell’attacco sono scese dal 91% al 15%. E, dato fondamentale, ogni singola esecuzione che includeva una context bomb ha comunque attivato prima un allarme canary, anche quando il tentativo di intrusione non è andato a buon fine.
Opus 4.8 è stato l’esempio più chiaro. Era anche l’attaccante più potente del gruppo, capace di raggiungere i privilegi di amministratore nel 93% delle esecuzioni senza context bomb. Una volta inserita la context bomb, però, ha fallito ogni volta.
Che cosa questo non risolve
In Tracebit nessuno sostiene che questo metodo risolva una volta per tutte il problema della prompt injection.
Non esiste ancora un modo reale per impedire ai modelli di IA di confondere, di tanto in tanto, un’istruzione con un dato qualunque. Ed è proprio su questa debolezza che la tecnica si basa.
La context bomb inoltre non sostituisce il precedente lavoro sui canary.
Le due soluzioni sono pensate per funzionare insieme: lo studio di maggio offre ai difensori un preavviso di otto minuti, mentre la context bomb punta a guadagnare tempo ulteriore bloccando l’attacco prima che quella finestra si chiuda.