Gartner e l'OWASP hanno confermato la prompt injection al primo posto delle minacce AI per il secondo anno consecutivo. Il 21 maggio 2026 la comunità della sicurezza si trova di fronte a un paradosso architetturale: i modelli linguistici non distinguono tra istruzioni e dati, e gli agenti AI connessi a CRM, email e sistemi di pagamento amplificano ogni iniezione da furto di informazioni a compromissione operativa. I Security Operations Center tradizionali monitorano rete e codice, non il contesto semantico dei prompt: restano ciechi a un vettore che usa il linguaggio naturale come arma.
- La prompt injection è al primo posto nella classifica OWASP Top 10 for LLM Applications per il secondo anno consecutivo e Gartner la colloca al vertice delle minacce AI 2026.
- Google ha registrato un aumento del 32% degli attacchi di indirect prompt injection sui propri agenti tra novembre 2025 e febbraio 2026; OWASP riporta un balzo del 340% anno su anno sui propri honeypot LLM pubblici.
- Il NCSC britannico ha affermato che la prompt injection "may be worse" di SQL injection e che gli attacchi potrebbero non essere mai totalmente mitigati come quelli SQL.
- Anthropic dichiara pubblicamente che non esiste un fix definitivo per la prompt injection; il problema è architetturale, non un bug patchabile.
Perché il linguaggio naturale è diventato un canale d'attacco invisibile
Sotto il cofano di un modello linguistico non esiste separazione tra istruzioni di sistema, dati utente e contenuti esterni: tutto confluisce nello stesso spazio vettoriale. Il modello predice il token successivo senza discrimine semantico. Questa caratteristica, descritta dal Technical Director for Platforms Research del NCSC britannico, rende la prompt injection una vulnerabilità intrinseca, non un errore di implementazione correggibile con patch.
Gli agenti AI con tool-calling hanno trasformato questa debolezza in rischio operativo. Quando un LLM diventa orchestratore di azioni — invio email, interrogazione database, chiamate API — l'iniezione di prompt si traduce in esfiltrazione, manipolazione di record o transizioni finanziarie non autorizzate. L'OWASP ha formalizzato questo scenario come "excessive agency": il modello agisce oltre l'intento dell'operatore perché il confine tra istruzione e dato è dissolto.
I numeri che misurano ciò che i log del SOC non vedono
Le metriche disponibili tracciano una curva in ascesa che i sistemi di monitoraggio tradizionale non intercettano. Secondo Tom's Hardware, che riporta dati Gartner, Google ha documentato un aumento del 32% degli attacchi di indirect prompt injection sui propri agenti nel trimestre novembre 2025-febbraio 2026. OWASP ha registrato un balzo del 340% anno su anno dei tentativi sui propri honeypot LLM pubblici. IBM stima un costo medio di 4,88 milioni di dollari per i breach AI-correlati. Gartner prevede 52 miliardi di dollari di spesa globale in AI Security nel 2026, con crescita del 185% anno su anno.
La fonte non specifica quanti di questi incidenti siano stati rilevati dai SOC delle organizzazioni colpite. Il dato KPMG — il 35% delle grandi imprese italiane ha gestito internamente un AI incident senza comunicarlo — suggerisce che la visibilità resta frammentaria anche lato vittima.
"Sotto il cofano di un LLM non esiste distinzione tra 'dati' e 'istruzioni': esiste solo 'next token'" — David C, Technical Director for Platforms Research, NCSC britannico
Quando l'agente esegue: i casi enterprise già documentati
A marzo 2026 un ricercatore di Trail of Bits ha dimostrato che un agente background di Cursor IDE poteva esfiltrare credenziali da file .env leggendo un README malevolo. L'attacco non richiedeva compromissione preliminare del sistema: bastava che il modello elaborasse un documento apparentemente innocuo. Casi simili sono emersi su Claude e ChatGPT Operator. Disney ha segnalato un agente dirottato per pubblicare post non autorizzati.
Questi episodi condividono un pattern: il payload è linguaggio naturale, il veicolo è un flusso dati legittimo, l'esecuzione avviene attraverso l'agente AI. Nessuna di queste fasi genera alert nei SIEM tradizionali, che cercano firme di rete, anomalie di payload binario o pattern di traffico sospetto. Il linguaggio, come osserva il report Gartner citato da Tom's Hardware, "parla la stessa lingua del modello, e il modello obbedisce".
La compliance italiana corre dietro a un problema architetturale
Il quadro normativo italiano si presenta con decorrenze sfasate e ambiti sovrapposti. L'AI Act all'articolo 15 impone requisiti di sicurezza per sistemi ad alto rischio, con sanzioni fino al 7% del fatturato globale o 35 milioni di euro. La direttiva NIS2 introduce obblighi di notifica e prevede sanzioni penali individuali per responsabili. L'ACN ha rilasciato linee guida con tempistiche proprie. La tripla sovrapposizione crea incertezza operativa per le imprese che stanno deployando agenti AI senza aver risolto il problema di fondo: nessun framework di compliance prescrive come monitorare un vettore che non lascia traccia nei log di rete.
L'OWASP Top 10 for LLM Applications 2026 ha aggiunto tre sottocategorie nate con gli agenti — tool-use injection, persistent injection e supply-chain injection — confermando che la superficie d'attacco si espande più velocemente delle contromisure standardizzate.
Perché è importante
Il dossier non specifica quanti SOC italiani abbiano implementato monitoring specifico per prompt injection su agenti AI. Non emerge nemmeno l'efficacia nel tempo delle mitigazioni vendor attualmente sul mercato: Prompt Shields, NeMo Guardrails, Lakera Guard, Constitutional AI. La fonte non chiarisce se le metriche OWASP honeypot (340%) siano indicative della minaccia reale o sovrastimate per natura del sistema esca.
Ciò che il dossier documenta è il limite strutturale: non esiste equivalente del prepared statement che separi logica e dati nei LLM, e filtrare con regex significa "giocare a un gioco di parole con un avversario creativo", come riporta l'analisi Gartner via Tom's Hardware. Anthropic e il NCSC concordano che la mitigazione richiede strati combinati con disciplina, non una soluzione definitiva. Per le aziende italiane che stanno connectendo agenti AI a sistemi di pagamento, CRM e database, questa assenza di perimetro rilevabile si traduce in esposizione senza alert.
La posta in gioco supera il rischio tecnico. Il 35% di incidenti non comunicati, pur essendo stima KPMG e non dato ufficiale, indica una cultura della non-segnalazione che collisiona con gli obblighi NIS2. Le sanzioni AI Act e le responsabilità penali individuali della direttiva europea rendono la cecità del SOC un problema giuridico prima ancora che operativo.
Il breve non documenta misure correttive specifiche né raccomandazioni operative dettagliate per i SOC. La fonte non specifica la natura dei dati esposti negli incidenti citati né fornisce framework di implementazione per il monitoring semantico. La costruzione di un "linguaggio di minaccia" condiviso tra red team AI e blue team tradizionale — l'angolo editoriale proposto nel brief — rimane un obiettivo dichiarato, non una pratica documentata.
FAQ
Perché i filtri regex non bastano a bloccare la prompt injection?
Secondo l'analisi Gartner riportata da Tom's Hardware, "non esiste un equivalente del prepared statement che separa logica e dati: filtrare con regex significa giocare a un gioco di parole con un avversario creativo". I modelli linguistici interpretano il contesto e le variazioni sintattiche in modo che nessuna blacklist statica possa coprire.
Qual è la differenza tra direct e indirect prompt injection?
La direct injection insere il payload malevolo direttamente nel prompt dell'utente; l'indirect injection lo nasconde in contenuti esterni che il modello elabora — documenti, pagine web, email — e che diventano istruzioni camuffate da dati. Google ha registrato l'aumento del 32% proprio su questa seconda tipologia, più difficile da tracciare perché il vettore è un flusso informativo apparentemente legittimo.
Il problema è risolvibile con aggiornamenti del modello?
Anthropic dichiara pubblicamente che non esiste un fix definitivo per la prompt injection. Il NCSC britannico ha affermato che gli attacchi "potrebbero non essere mai totalmente mitigati nel modo in cui lo sono stati quelli di SQL injection". La vulnerabilità è architetturale: deriva dalla mancanza di separazione strutturale tra dati e istruzioni nello spazio vettoriale del modello.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- https://datamasters.it/blog/prompt-injection/
- https://www.ictsecuritymagazine.com/articoli/hacking-dei-sistemi-ai/
- https://www.tomshw.it/business/prompt-injection-minaccia-ai-numero-uno-gartner-2026
- https://datamasters.it/blog/ai-security-come-proteggere-llm-ed-agenti-ai/
- https://datamasters.it/blog/come-diventare-un-esperto-di-prompt-engineering/
- https://datamasters.it/catalogo/percorsi-di-carriera/machine-learning-engineer/
- https://datamasters.it/blog/opportunita-di-lavoro-per-prompt-engineer-le-novita-del-mercato-da-conoscere/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.