Perché la prompt injection non si corregge come una SQL injection e cosa significa doverla contenere invece che risolvere. Un ritorno sul tema dopo un corso sui fondamentali della sicurezza degli LLM.

Avevo chiuso la serie sull’AI security a tre puntate. Ci torno perché un corso successivo mi ha messo in mano l’argomento più affilato che avessi incontrato finora sul tema e sta in poche righe.

La prompt injection viene paragonata di continuo alla SQL injection. Il paragone è corretto: in entrambi i casi il sistema confonde dati e istruzioni. Ma si ferma nel punto esatto in cui diventerebbe utile. La SQL injection ha una soluzione. Le query parametrizzate erigono un muro strutturale tra codice e dati: il valore passa in un canale, l’istruzione in un altro, e nessuna stringa per quanto astuta riesce ad attraversare quella parete.

Non esiste il prompt parametrizzato. Istruzioni e dati condividono un canale solo, per progettazione e non c’è nessuna patch in arrivo che li separi.

Il che cambia la natura del lavoro: questa classe di vulnerabilità si contiene, non si risolve. È una differenza che conta, perché le due cose si gestiscono, si misurano e si rendicontano in modo diverso – e perché chi promette di aver “risolto” la prompt injection sta vendendo qualcosa.

Perché le regole sono solo testo

Il motivo sta sotto il cofano e vale la pena ripassarlo perché quasi tutto il resto ne discende.

Un LLM fa una cosa sola: predire il token successivo più probabile. Non c’è un motore di regole, non ci sono istruzioni condizionali, non c’è un controllo che valuti l’intento. Ci sono schemi appresi.

Da cui la conseguenza che regge ogni attacco: se uno schema in ingresso somiglia a un’istruzione, il modello lo tratta come tale – che a scriverlo sia stato uno sviluppatore o un attaccante. Il modello non dispone di alcun criterio per distinguerli.

Un prompt di sistema che dice “non rivelare mai informazioni riservate” non è una regola nel senso in cui lo è un controllo di autorizzazione. Un controllo di autorizzazione è imposto dalla CPU e con quello non si discute. Quella frase invece è una frase e nulla impedisce a un’altra frase, scritta da qualcun altro, di sedersi accanto e argomentare il contrario.

C’è poi un equivoco lessicale che fa danni veri: si dice “l’LLM” intendendo l’intero prodotto. Ma un’applicazione LLM ha cinque strati, ciascuno con un proprietario diverso e un profilo di rischio diverso: il modello (addestrato da altri, quasi sempre), il prompt di sistema (le tue istruzioni nascoste), il livello di retrieval (documenti e basi dati), gli strumenti che può invocare (posta, ticket, esecuzione di codice) e l’applicazione attorno (interfaccia, API, guardrail).

Metà dei rischi della lista OWASP non riguarda affatto il modello. Riguarda gli altri quattro strati.

Otto passi e il punto esatto in cui si rompe

Il contributo più originale del corso è una mappa: ogni richiesta a un LLM attraversa otto passi e ogni rischio noto colpisce un passo preciso. Il valore non è tassonomico, è operativo – serve a sapere dove guardare e dove mettere un controllo.

Non li elenco tutti. Riporto i cinque in cui la meccanica dice qualcosa che non si intuisce da fuori.

Passo 1 – Tokenizzazione. Il modello non legge parole, legge frammenti sub-lessicali. “Allucinazione” può spezzarsi in due pezzi, mentre una parola comune resta intera; ogni frammento diventa un numero.

Qui nasce un disallineamento che riguarda direttamente chi gestisce i controlli perimetrali: i tuoi strumenti di sicurezza leggono il testo come lo leggi tu, parola per parola. Il modello no. Un attaccante può costruire una stringa che al WAF appare perfettamente innocua e che, una volta tokenizzata, si scompone in pezzi completamente diversi. Stessa stringa fuori, token diversi dentro. Il filtro vede una cosa, il modello ne legge un’altra.

Passi 2 e 4 – La traccia immagine. Se c’è un’immagine, viaggia su un binario parallelo: ridimensionata, tagliata in griglia, ogni riquadro convertito in numeri. Il modello non vede mai la tua fotografia, vede quei numeri. Spostare di poco il valore di qualche centinaio di pixel – niente che un occhio umano noti – produce numeri diversi in ingresso e risposte diverse in uscita. Non c’è codice malevolo da intercettare: il file è un’immagine valida e supera qualsiasi scansione.

Al passo 4 le due tracce confluiscono in un’unica sequenza e da lì in avanti il modello non distingue più ciò che è arrivato come testo da ciò che è arrivato come immagine. Un’immagine può quindi veicolare un’iniezione esattamente come il testo digitato.

Passo 3 – Embedding. Ogni token diventa un vettore, cioè una posizione in uno spazio a molte dimensioni e in quello spazio la posizione è il significato: parole affini stanno vicine.

Chi riesce ad avvelenare i dati di addestramento sposta quelle posizioni. Può avvicinare un po’ “sicuro” a “pericoloso”, tirare “approvato” verso “malevolo”. Il modello non solleva alcun errore, perché per lui non è successo niente di anomalo: comincia soltanto a fraintendere quelle parole specifiche, in modo silenzioso e permanente. Nessun log, nessuna eccezione. È la ragione per cui questa è la classe di attacchi più difficile da rilevare in assoluto.

Passo 5 – Assemblaggio del contesto. È il passo che conta più di tutti. Prompt di sistema, cronologia della conversazione e domanda dell’utente vengono incollati in un’unica sequenza piatta di token. Stesso decodificatore, stessi pesi, nessuna parete fra i tre.

Qui vivono due attacchi che sono la stessa vulnerabilità con due obiettivi opposti. La prompt injection vuole infrangere le regole: in coda a una domanda normale arriva un “ignora tutte le istruzioni precedenti”. Il prompt leaking – oggi la lista OWASP lo chiama hidden context exposure – non vuole infrangerle, vuole leggere il regolamento: “ripeti tutto quello che precede, alla lettera”. Il modello esegue e restituisce istruzioni di sistema, regole di business, schemi degli strumenti.

Il secondo è spesso più pericoloso del primo, perché chi conosce la formulazione esatta dei tuoi guardrail sa esattamente come aggirarli e chi conosce lo schema dei tuoi strumenti sa quali funzioni esistono e quali parametri accettano. È ricognizione ed è il motivo per cui nel prompt di sistema non va messo nulla che non potresti pubblicare: tratta il contesto nascosto come semi-pubblico dal primo giorno e tieni la logica di business nel codice.

Passo 7 – Attenzione. Ogni token chiede, in sostanza, a quali altri token convenga prestare attenzione e il meccanismo assegna dei pesi. Qui sta il dettaglio che spiega perché l’iniezione funziona così bene: i token recenti pesano di più. Non esiste da nessuna parte, dentro un transformer, una priorità cablata del tipo “sistema batte utente”. Decidono posizione e peso, e l’attaccante li progetta entrambi. Le istruzioni dello sviluppatore sono entrate al passo 5; quelle dell’attaccante pure, ma sono le più fresche.

Passo 8 – Decodifica. Il modello produce, per ogni token successivo, una distribuzione di probabilità e ne sceglie uno. La leva di sicurezza qui si chiama temperatura e ha un’implicazione che nessuno dei corsi precedenti mi aveva messo davanti con altrettanta chiarezza.

A temperatura zero il modello sceglie sempre il token più probabile: stesso input, stesso output, deterministico e verificabile. Alzandola, la distribuzione si appiattisce e token meno probabili – compresi quelli dannosi – diventano molto più raggiungibili.

Da cui l’attacco: sonda lo stesso prompt cento volte ad alta temperatura finché non emerge l’output dannoso, poi scendi a zero e riproducilo in modo affidabile. Ed è il motivo per cui non si può collaudare un sistema di questo tipo una volta sola e dichiararlo sicuro: un sistema probabilistico richiede collaudo probabilistico.

La lista OWASP, riordinata nel 2026

L’edizione 2026 della OWASP Top 10 per le applicazioni LLM è uscita a fine estate e vale la pena guardarla perché i movimenti raccontano qualcosa.

2026 rank	Rischio	2025 rank	Movimento
LLM01	Prompt Injection	1	invariato, ambito ampliato
LLM02	Sensitive Information Disclosure	2	invariato, ambito ampliato
LLM03	Excessive Agency	6	+3
LLM04	Supply Chain	3	−1
LLM05	Data and Model Poisoning	4	−1
LLM06	Unbounded Consumption	10	+4
LLM07	Misinformation	9	+2
LLM08	Hidden Context Exposure	7	−1, rinominato da System Prompt Leakage
LLM09	Vector and Embedding Weaknesses	8	−1
LLM10	Improper Output Handling	5	−5

Nessuna voce nuova: le categorie esistenti hanno assorbito ambito e una è stata ribattezzata perché il problema è più largo del solo prompt di sistema – qualunque contesto nascosto che modelli il comportamento può essere estratto.

Due osservazioni sul metodo, che mi sembrano più interessanti delle posizioni.

È la prima edizione costruita anche su dati di incidenti reali e non solo sul voto degli esperti, con un peso di tre quarti al voto dei professionisti e un quarto ai dati di incidente. La misinformation è il caso che rende visibile la differenza: i votanti la collocavano in fondo, i dati di incidente in cima e anche pesando un quarto quel divario è bastato a spostarla di due posizioni. Tradotto: ciò che i team di sicurezza vedono accadere in produzione sta divergendo da ciò che i professionisti si aspettano. È un segnale che vale la pena tenere d’occhio nelle prossime edizioni.

*L’ascesa di excessive agency è il movimento più significativo dell’anno e il corso la motiva in modo che condivido. Tutto ciò che viene prima in questa lista riguarda ciò che il modello dice. Questa riguarda ciò che il modello fa*.

L’esempio è pulito: un assistente in sola lettura, se manipolato, produce al peggio una frase sbagliata – nulla cambia nei sistemi. Lo stesso assistente, a cui per una richiesta di prodotto ragionevolissima viene concesso di aggiornare direttamente le cartelle cliniche, con la stessa identica manipolazione arriva ad alterare il campo del dosaggio di un farmaco. Stessa vulnerabilità, conseguenza incomparabile.

Ogni rischio della lista vede il proprio raggio d’azione moltiplicarsi nel momento in cui il modello può agire invece che solo rispondere. Ed è anche la cerniera verso un’altra lista: quando il modello diventa un attore con strumenti invocabili, memoria persistente e conseguenze a valle, OWASP rimanda alla Top 10 dedicata alle applicazioni agentiche – che è esattamente il territorio di cui ho scritto a proposito dell’MCP.

Tre casi, tre lezioni diverse

Samsung, marzo 2023. Tre ingegneri incollano codice sorgente proprietario e verbali riservati in un assistente conversazionale pubblico nell’arco di venti giorni, per lavorare più in fretta. L’azienda vieta l’AI generativa a livello aziendale nel giro di un mese.

Il dettaglio che conta è quello che non è successo: nessuno ha sottratto i segreti di Samsung attraverso il modello. La fuga è avvenuta nell’istante in cui hanno premuto invio. I dati avevano già lasciato il perimetro, a prescindere da cosa il modello ne abbia fatto dopo. È una fuga dal lato dell’ingresso e il confine era già stato attraversato prima che il modello entrasse in funzione.

La conseguenza pratica è che il controllo più efficace qui non è un filtro, è classificazione e processo: stabilire quali dati possono entrare in un prompt, prima ancora di preoccuparsi di cosa il modello ne farà.

Air Canada, 2024. Un passeggero chiede al chatbot della compagnia informazioni sulle tariffe per lutto dopo la morte della nonna. Il chatbot gli dice di acquistare un biglietto a prezzo pieno e chiedere il rimborso dopo. Quella politica non esisteva: quella vera richiedeva di prenotare la tariffa agevolata prima del volo. Alla richiesta di rimborso la compagnia rifiuta, sostenendo che il chatbot ha sbagliato e che è un’entità distinta, responsabile delle proprie affermazioni.

Il tribunale della Columbia Britannica non è d’accordo: Air Canada risponde di tutte le informazioni presentate sul proprio sito, che provengano da una pagina statica o da un chatbot, e deve pagare la differenza.

La lezione, per chi lavora in sicurezza, è secca: si risponde di ciò che il proprio modello dice, anche quando il modello sbaglia. E il modello non possiede alcun concetto di “vero”, solo di “plausibile”. Plausibile e vero di solito coincidono – le cose vere tendono a essere ben rappresentate nei dati di addestramento – ma sono due cose diverse e il decodificatore non ha modo di verificare quale delle due ha prodotto.

La supply chain, che il corso descrive con un andamento che ai lettori delle puntate precedenti risulterà familiare: un componente costruito dalla community rilascia quindici versioni pulite, poi in una successiva compare una riga in più che inoltra copia di ogni richiesta a un server dell’autore. Passano mesi prima che qualcuno se ne accorga. Nulla, nella versione malevola, aveva un aspetto diverso da quelle fidate.

È lo stesso schema del caso Postmark di cui ho scritto a proposito dell’MCP e la ricorrenza non è casuale: server MCP, plugin e connettori di terze parti sono oggi lo strato meno sottoposto a revisione dell’intera filiera. Sembrano configurazione, ma eseguono codice con permessi reali.

Il pezzo che manca: cosa strumentare, passo per passo

Il corso si ferma ai controlli preventivi. Riprendo il filo che porto avanti da tre articoli – cosa resta da analizzare dopo – perché la mappa a otto passi è ottima anche per decidere dove piazzare l’osservabilità, non solo i guardrail.

Registra la temperatura. È il requisito meno ovvio e il più importante dal lato forense. Se non sai a che temperatura girava il sistema quando ha prodotto l’output che stai analizzando, non sai se quell’output sia riproducibile, e se non è riproducibile non è analizzabile: resta un aneddoto. Vale anche al contrario – l’attacco descritto sopra, sonda in alto e riproduci a zero, lascia una traccia caratteristica nei log solo se la temperatura è un campo registrato.

Versiona ciò che determina il comportamento. Modello, prompt di sistema, indice degli embedding. Quando il comportamento cambia, la prima domanda è sempre “cosa è cambiato” e senza versioni non ha risposta. L’avvelenamento degli embedding non produce eccezioni: il solo modo per accorgersene è confrontare il comportamento attuale con una linea di base, il che presuppone che una linea di base esista.

Conserva gli identificativi dei documenti recuperati. Un’iniezione indiretta arriva dentro un documento. Se il log dice che è stata fatta una ricerca ma non quali porzioni sono finite in contesto, la ricostruzione si ferma lì. È lo stesso requisito che avevo indicato per l’MCP e non è un caso: il retrieval è un canale di ingresso di contenuto non fidato esattamente come lo è un tool.

Distingui dove nasce il problema. Modello, dato o codice applicativo? L’improper output handling è l’esempio più chiaro: il modello riassume fedelmente una descrizione che contiene un tag <script>, perché per lui un tag, un frammento SQL e un comando di shell sono soltanto token plausibili. Il difetto è interamente a valle, nel codice che ha trattato l’output del modello come fidato invece di codificarlo. Il modello ha scritto la frase, la tua applicazione l’ha eseguita.

C’è una trappola psicologica dietro e la segnalo perché l’ho vista all’opera: sviluppatori che non si sognerebbero mai di fidarsi di un input utente grezzo si fidano dell’output del modello, perché sembra provenire dal sistema e non da un estraneo. Ma l’output del modello può essere modellato da un estraneo con la stessa facilità dell’input. La regola, in una riga: se non passeresti a `eval` il testo di uno sconosciuto, non passarci quello del modello. Ha esattamente lo stesso livello di fiducia.

Vale anche l’osservazione inversa, che è una buona notizia: questa è sicurezza applicativa classica con un distintivo nuovo. Tutto quello che il tuo team già sa su escaping e parametrizzazione si applica qui senza modifiche.

Due cataloghi, due giornate diverse

Sul piano dei riferimenti, il corso fa una distinzione che trovo utile e che raramente viene esplicitata.

MITRE ATLAS (Adversarial Threat Landscape for Artificial Intelligence Systems) sta all’AI come ATT&CK sta al resto: tattiche, tecniche con identificativi stabili e, soprattutto, casi di studio che documentano incidenti realmente divulgati e li mappano alle tecniche. Qualche identificativo da conoscere: AML.T0051 per la prompt injection, AML.T0056 per l’estrazione del meta-prompt – ATLAS la chiama estrazione perché la direzione di marcia è verso l’esterno: stai tirando fuori l’istruzione, non spingendone dentro una nuova – e AML.T0010 per la compromissione della filiera.

La distinzione operativa: OWASP organizza per categoria, che è il modo in cui si conduce una revisione di sicurezza. ATLAS organizza per comportamento dell’attaccante con precedenti documentati, che è il modo in cui si gestisce un incidente. Non sono alternativi, si usano in giornate diverse. Per chi fa risposta agli incidenti, il secondo è probabilmente il più sottoutilizzato dei due.

Sul versante normativo il quadro è quello che avevo già ricostruito negli articoli precedenti, con un’aggiunta che rende il tutto più maneggevole: i controlli tecnici hanno già un nome giuridico che li aspetta. Sanificazione dell’input e resistenza all’iniezione stanno nell’articolo 15 dell’AI Act (accuratezza, robustezza, cibersicurezza – che nomina esplicitamente esempi avversariali e avvelenamento dei dati); provenienza e qualità dei dati di addestramento nell’articolo 10; la registrazione di ogni azione del modello e degli strumenti nell’articolo 12; la conferma umana prima di un’azione irreversibile nell’articolo 14; il threat modeling prima del rilascio nell’articolo 9.

Resta il calendario di cui ho scritto: gli obblighi sui sistemi ad alto rischio sono stati rinviati al 2 dicembre 2027. La ISO/IEC 42001, pubblicata a dicembre 2023, è volontaria e i suoi controlli si sovrappongono in buona parte a quegli obblighi – il che rende la finestra che il rinvio ha aperto un’occasione concreta, non una proroga da consumare.

Qualche cautela

Due avvertenze che il corso non mette e che metto io.

I tre livelli di guardrail possono generare falsa sicurezza. Filtri in ingresso, separazione dei canali in contesto, filtri in uscita: sono il giusto impianto, ma nessuno dei tre garantisce la prevenzione – è esattamente il motivo per cui se ne mettono tre invece di uno. E il caso Echo Leak di cui ho scritto nel primo articolo aveva attraversato un prompt di sistema irrobustito, un classificatore addestrato a riconoscere istruzioni iniettate e un filtro in uscita, tutti e tre, con una sola email. I guardrail non eliminano la prompt injection: le impediscono di prendere il controllo. La differenza va detta a chi firma, non nascosta.

Gli incidenti reali concatenano due o tre rischi, non uno. L’iniezione fa entrare l’attaccante, i permessi larghi decidono quanto lontano arriva, la gestione distratta dell’output trasforma una frase in un’azione. Una lista di dieci voci è un ottimo vocabolario condiviso e un pessimo modello di minaccia, se la si legge come dieci problemi separati.

Cinque domande e una lista

Il corso si chiude con cinque domande da porre a voce alta quando qualcuno ti mette davanti un sistema AI sconosciuto. Le riporto perché sono buone e perché ciascuna è un rischio della lista travestito da conversazione.

Dati – Da dove vengono i dati di addestramento e chi aveva accesso in scrittura?
Modello – L’integrità dei pesi è stata verificata prima del rilascio?
Prompt – Dov’è condiviso il prompt di sistema e qualcuno ha provato a farselo restituire?
Input – L’input utente è sanificato e un utente può influenzare il prompt di sistema?
Output – L’output viene validato prima di finire da qualche parte?

E lunedì mattina, da fare:

Prova tu stesso la terza domanda. Chiedi al tuo assistente in produzione di ripetere alla lettera tutto ciò che precede il messaggio corrente. Se risponde, hai appena fatto ricognizione su te stesso ed è meglio di chi la farà dopo.
Cerca ogni punto in cui l’output del modello tocca l’applicazione e verifica che ci sia codifica, parametrizzazione o sandbox. È la correzione più economica dell’intera lista e non richiede di toccare il modello.
Inventaria le capacità di scrittura dei tuoi assistenti. La voce salita di tre posizioni quest’anno è quella e il confine tra “dice una cosa sbagliata” e “fa una cosa sbagliata” passa da lì.
Verifica che temperatura, versione del modello e versione del prompt finiscano nei log. Senza, nessuna analisi successiva è riproducibile.
Collauda più di una volta. Lo stesso prompt, molte ripetizioni, temperature diverse. Un collaudo singolo su un sistema probabilistico non dimostra niente.

Chiudo dove ho aperto. La parte scomoda di questa storia non è che i modelli siano fragili: è che funzionano esattamente come progettati e il confine che vorremmo non è mai stato lì. Non arriverà una patch a metterlo. Arriveranno controlli che riducono il raggio d’azione, registrazioni che permettono di ricostruire e permessi stretti che rendono sopportabile l’errore.

Il pericolo, quasi mai, è il modello che diventa astuto. È il modello di cui ci si fida.

Articolo elaborato a partire dagli appunti del corso “LLM Security Fundamentals” di AISEC University (docente: Vinaya Vasudevan). I dati della OWASP Top 10 for LLM Applications 2026, gli identificativi MITRE ATLAS e i riferimenti normativi sono stati verificati a ottobre 2026. La sezione sulla strumentazione forense, le cautele e il raccordo con gli articoli precedenti sono miei.

Sources: