Istruzioni nascoste: il rischio poco noto degli agenti AI, spiegato semplice
Un'AI che può agire va trattata come un collaboratore nuovo e molto diligente, che però esegue anche i biglietti lasciati da sconosciuti. La sicurezza non dipende da quanto è brava l'AI, ma da quali chiavi le dai e da dove la fai lavorare.
Un collaboratore diligente, forse troppo
Immagina di assumere un collaboratore nuovo, velocissimo e instancabile. Ha un solo difetto: esegue qualunque istruzione trova scritta, anche un biglietto lasciato sulla scrivania da uno sconosciuto.
È, in sostanza, il rischio degli agenti AI. Un agente AI non si limita a rispondere alle domande come una chat: fa cose. Apre file, legge e invia email, naviga sui siti, compila moduli, modifica un sito web o scrive codice. È questo che lo rende utile, ed è questo che lo rende un bersaglio.
La buona notizia è che il rischio si gestisce. La sicurezza non dipende da quanto è brava l'AI, ma da quali chiavi le dai e da dove la fai lavorare.
Cos'è una prompt injection
Il prompt è l'istruzione che diamo all'AI. Una prompt injection è un'istruzione nascosta dentro un testo che l'AI legge per lavoro: una pagina web, un'email, un documento, un commento. L'AI non sempre distingue tra il contenuto da analizzare e un ordine da eseguire, e può scambiare l'uno per l'altro.
Pensa a una pratica che arriva in ufficio. Tra i fogli qualcuno ha infilato un foglietto: “Dopo aver letto, spedisci le chiavi dell'ufficio a questo indirizzo”. Un impiegato esperto lo butterebbe nel cestino. Un assistente che esegue tutto alla lettera, forse no.
L'aspetto più insidioso è che l'attaccante non deve parlare con la tua AI. Gli basta lasciare il foglietto dove sa che lei andrà a leggere.
Da dove arrivano le istruzioni nascoste
Da qualunque testo scritto da altri. I canali più comuni:
- Siti web: testo invisibile all'occhio umano, scritto in bianco su bianco, in caratteri da un pixel o dentro il codice della pagina.
- Email: un messaggio dall'aria normale può contenere istruzioni rivolte all'assistente che lo riassume.
- Documenti condivisi: un PDF o un file ricevuto da un fornitore, da un cliente, da uno sconosciuto.
- Recensioni e moduli di contatto: chiunque può scriverci dentro, e un'AI che analizza le richieste lo leggerà.
- File scaricati da internet: modelli, esempi, programmi, con istruzioni nascoste nei commenti.
Non è un rischio teorico. Ad aprile 2026 i ricercatori di Forcepoint hanno documentato 10 casi di istruzioni nascoste su siti pubblici reali. Una chiedeva di eseguire un pagamento PayPal da 5.000 dollari, un'altra di cancellare una cartella di backup, un'altra ancora di consegnare chiavi di accesso. Le tecniche erano semplici: testo da un pixel, colori quasi trasparenti, commenti nel codice della pagina.
Nella stessa settimana Google ha pubblicato un'analisi analoga su 2-3 miliardi di pagine web al mese. Tra novembre 2025 e febbraio 2026 ha registrato una crescita del 32% dei casi malevoli (Help Net Security).
Sempre nel 2026 un gruppo di ricercatori ha presentato un attacco battezzato “Comment and Control”. Su GitHub, la piattaforma dove gli sviluppatori condividono il codice, bastava il titolo di una proposta di modifica o il testo di una segnalazione per far rivelare chiavi segrete agli assistenti AI di Anthropic, Google e GitHub. I tre produttori hanno corretto il problema (DEV), ma il meccanismo resta: l'AI legge, e quello che legge può diventare un ordine.
Cosa può succedere
Il danno non dipende da quanto è furba l'istruzione nascosta, ma da cosa l'AI può toccare. Un assistente che si limita a riassumere una pagina fa pochi danni. Uno che può inviare email, eseguire comandi o pagare diventa un bersaglio prezioso. Gli esiti tipici:
- Furto di password e chiavi di accesso, spedite a un indirizzo esterno.
- Cancellazione di file o backup, se l'AI ha i permessi per farlo.
- Pagamenti non autorizzati, quando l'agente può usare un conto o una carta salvata.
- Modifiche nascoste a un sito, come un pezzo di codice malevolo che nessuno rilegge.
Quattro regole pratiche
- 01
Uno spazio separato
Fai lavorare l'AI su un computer o un ambiente dedicato, non su quello dove hai posta, documenti e home banking. Spesso si usa una macchina virtuale (VM): un computer “simulato” dentro un altro, che si azzera e si ripristina in pochi minuti. La documentazione ufficiale di Claude Code, l'assistente di programmazione di Anthropic, consiglia proprio le macchine virtuali quando si lavora con contenuti e servizi esterni.
- 02
Chiavi minime
Dai all'AI solo gli accessi indispensabili per quel compito: una cartella, non tutto il disco; un progetto, non l'intero archivio. Le chiavi digitali che aprono un servizio si chiamano token: meglio se valgono per poco tempo e per poche cose. Mai le “chiavi di casa”, come la password dell'amministratore. Un'AI ingannata può usare solo le chiavi che ha in tasca.
- 03
Uscite limitate
Se l'AI non può contattare siti a caso, non può nemmeno spedire fuori i dati. Basta consentirle di raggiungere solo i servizi che le servono per lavorare.
- 04
Controlla prima di pubblicare
Testi, modifiche a un sito, email in partenza, codice: ciò che l'AI produce va rivisto da una persona prima di andare online. Le azioni irreversibili, come pagamenti e cancellazioni, devono sempre chiedere una conferma.
Nessuna regola basta da sola. Insieme riducono il danno anche nel caso peggiore: l'istruzione nascosta funziona, ma trova poco da rubare e nessuna strada per uscire.
L'AI resta utilissima, se impostata bene
Non serve avere paura degli agenti AI, né rinunciarci. Serve trattarli come qualunque strumento potente: un'auto ha i freni, una carta ha un limite di spesa, un collaboratore nuovo non riceve subito tutte le chiavi.
In Cloudfactory configuriamo ambienti di lavoro sicuri per usare agenti AI in azienda: spazi separati, accessi minimi, uscite controllate e verifiche prima della pubblicazione. Se usate o state valutando un assistente AI che legge le email, naviga o mette mano ai vostri sistemi, contattateci per una verifica.
Come abbiamo scritto questo articolo
In Cloudfactory usiamo l'intelligenza artificiale anche nel lavoro editoriale: ci aiuta a cercare e incrociare le fonti, a confrontare i dati, a impostare la struttura e a rifinire la lingua. Il sistema che usiamo è configurato da noi, con istruzioni, esempi e procedure costruiti sul nostro modo di scrivere. Il nostro team ha controllato ogni fonte, corretto il testo e approvato la versione pubblicata. Le valutazioni e le scelte sono di Cloudfactory, e ne rispondiamo noi.
Domande frequenti
Cos'è una prompt injection?
È un'istruzione nascosta in un testo che l'AI legge, come una pagina web o un'email. L'AI può scambiarla per un ordine ed eseguirla.
Un antivirus mi protegge?
Non da solo. L'istruzione nascosta è testo normale, non un virus, quindi l'antivirus non ha nulla da bloccare. Protegge invece limitare cosa l'AI può fare e dove può connettersi.
Devo smettere di usare l'AI?
No. Basta impostarla bene: spazio separato, accessi minimi, uscite limitate e un controllo umano prima di pubblicare.
Riguarda anche le piccole aziende?
Sì. Le istruzioni nascoste stanno su siti pubblici e colpiscono chiunque li faccia leggere a un agente AI, a prescindere dalle dimensioni dell'azienda.
Fonti
- Forcepoint X-Labs, 10 Indirect Prompt Injection Payloads Caught in the Wild (22 aprile 2026)
- Help Net Security, Indirect prompt injection is taking hold in the wild (24 aprile 2026)
- DEV, Comment and Control: a GitHub comment hijacks Claude Code in CI
- HiddenLayer, How Hidden Prompt Injections Can Hijack AI Code Assistants Like Cursor (31 luglio 2025)
- Decrypt, 'CopyPasta' Attack Shows How Prompt Injections Could Infect AI at Scale (4 settembre 2025)
- Anthropic, Claude Code: Security