// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
La prompt injection è il rischio AI più temuto, ma resta quasi impossibile da individuare
Un'analisi pubblicata il 18 agosto 2026 su arXiv confronta due modi di misurare il rischio dell'AI "agentic" in azienda: il giudizio di un panel di esperti e la fotografia di 7.714 incidenti reali, raccolti da database CVE, GitHub Security Advisories, OSV e dal repository AIAAIC sui danni causati dall'intelligenza artificiale. Gli autori sono Kyriakos Lambros, direttore degli standard e della governance AI presso Zenity, e Steve Wilson, responsabile AI e prodotto presso Exabeam: entrambi co-guidano il progetto OWASP Top 10 for LLM Applications. Il risultato più scomodo riguarda proprio la "prompt injection", la tecnica che nasconde istruzioni malevole dentro contenuti che un modello legge ed esegue senza verificarne la provenienza.
Nella classifica OWASP, costruita sul voto degli esperti, la prompt injection guida la graduatoria da tre anni consecutivi. Negli incidenti realmente registrati scivola al dodicesimo posto. Il paper prova a spiegare perché le due misurazioni raccontino storie diverse.
Sui 6.639 incidenti classificati secondo una tassonomia di 20 categorie, l'accordo statistico tra le due graduatorie si ferma a un coefficiente Cohen's kappa di 0,20, con un intervallo di confidenza al 90% che va da -0,16 a 0,57. Gli autori sono espliciti: l'intervallo attraversa lo zero, quindi non si può escludere che le due classifiche coincidano solo per caso. Lambros descrive la situazione senza mezzi termini: due testimoni si contraddicono, e non è possibile dire quale dei due menta.
Il coefficiente Cohen's kappa misura quanto due giudizi indipendenti concordino al netto del caso: un valore vicino a 1 indica accordo quasi totale, un valore vicino a 0 indica che il livello di concordanza osservato non supera quello atteso per pura casualità. Un kappa di 0,20 si colloca nella fascia che gli statistici classificano come accordo minimo, e l'ampiezza dell'intervallo di confidenza, da -0,16 a 0,57, segnala che il campione non basta a stabilire con certezza nemmeno quella fascia.
Il caso opposto alla prompt injection è la disinformazione generata dai modelli: tredicesima nella classifica degli esperti, seconda per incidenti effettivamente registrati. È il divario più ampio misurato nello studio, e riguarda il modo in cui l'intero settore stima le priorità.
Il motivo per cui gli strumenti di sicurezza tradizionali non intercettano la prompt injection è strutturale, non un difetto di progettazione. Le istruzioni malevole si nascondono nel contenuto che l'agente legge: un documento condiviso, un ticket di supporto, un registro recuperato da un sistema terzo. Quando il modello esegue quelle istruzioni chiamando strumenti esterni, lo fa con credenziali legittime che già possiede.
Nessun CVE si genera, perché non c'è un prodotto difettoso da segnalare: il codice funziona come previsto, solo con l'input sbagliato. Senza CVE, uno scanner basato su vulnerabilità note non ha nulla da cercare, come confermano anche i casi in cui gli agenti aziendali cedono per errori di progettazione mai catalogati. Il titolo di questo articolo merita quindi una precisazione: il paper stesso dimostra che individuarla è possibile, a patto di cambiare strumento.
Registrare in dettaglio prompt in ingresso, output del modello, documenti recuperati e strumenti chiamati è la prima strada indicata dagli autori. Sottoporre gli agenti a test avversariali costruiti apposta per aggirarli è la seconda. Nessuna delle due tecniche compare in un ciclo tradizionale di vulnerability scanning basato su CVE.
I numeri sugli incidenti registrati non vanno letti come una rassicurazione. Secondo il CrowdStrike 2026 Global Threat Report, nel corso del 2025 alcuni gruppi di attaccanti hanno iniettato prompt malevoli in strumenti GenAI legittimi usati da oltre 90 organizzazioni, sottraendo credenziali e criptovalute. Sono episodi documentati, non ipotesi da confronto accademico.
Il dettaglio che rende rilevante questo confronto è che gli strumenti sfruttati funzionavano come previ