-
Agenti nell’ombra
Quando il red team diventa una “crew” di agenti AI Questo articolo nasce dall’esigenza di mettere un po’ d’ordine agli appunti presi durante il corso “Agenti nell’Ombra” di Ethical Hacker Italiani. A fine corso ho creato una piccola crew di specialisti che fanno OSINT, scanning, enumeration, analisi delle vulnerabilità e che, orchestrati con CrewAI, collaborano…
-
Mobile Verification Toolkit & Burp Suite
Appunti di mobile malware analysis – revisione e aggiornamento (ottobre 2026) Nota di revisione Ho ripreso alcuni appunti, risalenti ormai al 2024 , li ho verificati sulla documentazione ufficiale corrente (MVT, androidqf, PortSwigger, Android Developers) e su fonti di threat intelligence. Pensavo fosse cambiato poco e invece: 1. Premessa metodologica MVT e Burp rispondono a…
-
Non si è rotto niente
I cinque articoli precedenti parlavano di controlli tecnici. Questo parla della persona alla tastiera – perché in quasi tutte le storie che seguono non si è guastato nulla, nessuno è stato sconsiderato e l’unico controllo presente in quel momento era il buon senso di qualcuno che aveva tre secondi per decidere. Gennaio 2024. Un addetto…
-
Il badge di qualcun altro
Un agente AI che agisce per conto dell’azienda è, a tutti gli effetti pratici, un dipendente. Il problema è che quasi nessuno gli dà un tesserino suo – e senza quello, quando qualcosa va storto, l’indagine parte da zero. Cos’è un dipendente? La risposta istintiva – qualcuno che riceve uno stipendio – è quella sbagliata.…
-
Non esiste il prompt parametrizzato
Perché la prompt injection non si corregge come una SQL injection e cosa significa doverla contenere invece che risolvere. Un ritorno sul tema dopo un corso sui fondamentali della sicurezza degli LLM. Avevo chiuso la serie sull’AI security a tre puntate. Ci torno perché un corso successivo mi ha messo in mano l’argomento più affilato…
-
Il decreto legislativo 160/2026 e la responsabilità per l’IA: che cosa cambia davvero e che cosa resta da chiarire
Analisi tecnico-giuridica del primo decreto attuativo della legge 132/2025, tra uso dei sistemi di IA nelle attività di polizia, nuovi reati, responsabilità degli enti e processo civile. Premessa Il 15 settembre 2026 è stato pubblicato nella Gazzetta Ufficiale (Serie Generale n. 214, codice redazionale 26G00179) il decreto legislativo 9 settembre 2026, n. 160. Entra in…
-
La governance che nessuno ha interesse ad aggirare
Terza e ultima parte degli appunti di AI security. Nella prima ho scritto che i controlli tecnici non sopravvivono senza qualcuno che possieda il processo. Nella seconda che i server MCP ombra nascono perché il percorso conforme è più scomodo di quello che lo aggira. Restava una domanda, ed è quella di oggi. Le due…
-
Quando l’AI acquisisce le mani: sicurezza dell’MCP in tre cerchi e dieci rischi
Seconda parte degli appunti di AI security. La prima è qui (AI security: si protegge il sistema, non il modello) se non l’hai letta, il riassunto è una riga: l’AI security è sicurezza di sistema, non di modello, e la domanda giusta è cosa entra, cosa decide e cosa il sistema può effettivamente raggiungere. Quel…
-
AI security: si protegge il sistema, non il modello
Appunti di AI security, riletti con gli occhi di chi fa incident response. In questo articolo raccolgo in maniera più ordinata gli appunti di un corso introduttivo di AI security. Quello che va detto fin da subito è che non non troverete un elenco di attacchi ma piuttosto “uno spostamento del punto di osservazione“. La…
-
Il sistema europeo di produzione e conservazione delle prove elettroniche
Regolamento (UE) 2023/1543 • Direttiva (UE) 2023/1544 • Quadro operativo italiano Applicabile dal 18 agosto 2026 — focus operativo per autorità giudiziaria, polizia giudiziaria e personale tecnico-forense In sintesi Dal 18 agosto 2026 l’autorità giudiziaria di uno Stato membro può rivolgersi direttamente allo stabilimento designato o al rappresentante legale di un prestatore di servizi in…
Salta al contenuto
>>> import this