Prompt injection: quando bastano due centesimi per ingannare un assistente AI

Nell’aprile 2026, durante un test di sicurezza su un assistente di intelligenza artificiale utilizzato da una banca europea, è bastato un bonifico da due centesimi per dimostrare come il sistema potesse essere manipolato. Non sono stati sottratti milioni di euro e non si è trattato di una frode realmente consumata: era una dimostrazione controllata. Ma l’aspetto più interessante, almeno per chi lavora nell’antifrode, è che l’attaccante non aveva bisogno di entrare nel conto corrente della vittima. Gli bastava scrivere qualcosa nella causale del bonifico.

È da qui che vorrei partire per parlare di prompt injection. E, soprattutto, per tornare su una domanda che mi pongo sempre più spesso: quanto siamo effettivamente pronti alla rivoluzione digitale che stiamo vivendo?

Professionisti preparati, ma quanto conosciamo gli strumenti che utilizziamo?

Recentemente mi è capitato di confrontarmi con diverse figure professionali, persone con una preparazione nel proprio settore degna di nota, appartenenti a istituti di credito, società di consulenza e grandi realtà produttive. Eppure, davanti all’effettiva capacità di utilizzo dell’intelligenza artificiale, alcune erano quasi del tutto ignare dei rischi e delle potenzialità degli strumenti che avevano a disposizione.

Fino a ieri eravamo in grado di riconoscere un processo, costruirlo e controllarlo. Oggi, sempre più spesso, ci affidiamo al reparto IT per integrare nei nostri processi quella che potrebbe diventare la nostra potenziale sostituta. Non è una critica ai professionisti informatici: il problema nasce quando chi conosce il processo e chi sviluppa la tecnologia non si confrontano abbastanza su ciò che può andare storto.

Io per prima sostengo che l’intelligenza artificiale non possa sostituire completamente l’essere umano. Ma mi rendo conto che ripetere questa frase non basta a renderla vera in qualsiasi contesto. La direzione che stiamo prendendo mi preoccupa, e non perché non apprezzi le potenzialità dell’IA. Al contrario: proprio perché le vedo, mi chiedo se siamo pronti a governarle.

Se provo a guardare la questione in termini generazionali, e ahimè mi duole rischiare di sembrare quella che in gergo si potrebbe definire una boomer, mi vengono in mente tre modi diversi di rapportarsi alla tecnologia.

C’è chi è cresciuto insieme alla rivoluzione digitale, ha visto arrivare i primi computer in casa, ha imparato a installare programmi, risolvere problemi e magari ha provato almeno una volta a mettere mano a qualche riga di codice. Non necessariamente è un esperto, ma ha conosciuto anche il dietro le quinte degli strumenti che usa.

C’è poi la generazione del «carta e penna», arrivata alla tecnologia da adulta, abituata a cercare informazioni anche senza una connessione. Una generazione in cui convivono persone che hanno contribuito a costruire il digitale e altre che ancora lo usano il meno possibile, magari perché «come si faceva prima era meglio».

E poi c’è chi è nato quando la rivoluzione digitale era già avvenuta. L’informazione è sempre a portata di mano, spesso senza dover capire come viene prodotta. Non significa che i più giovani siano per definizione meno curiosi o meno competenti, ma che il rapporto con la ricerca, l’attesa e la verifica può essere molto diverso. Per alcuni l’IA è già una sorta di partner in crime: ci si studia, ci si parla, le si chiedono consigli e, qualche volta, la si umanizza al punto da dimenticare che rimane un sistema digitale.

Non è solo un’impressione. Secondo l’Atlante dell’infanzia 2025 di Save the Children, il 92,5% dei ragazzi italiani tra i 15 e i 19 anni utilizza strumenti di IA e quasi uno su tre li consulta quasi ogni giorno. Il dato non dimostra una mancanza di spirito critico; mostra, però, quanto profondamente questi strumenti siano già entrati nelle abitudini.

Mentre discutiamo di quanto e come utilizzarla, l’intelligenza artificiale viene inserita in sistemi sempre più importanti. A volte le affidiamo attività perché sono troppo complesse, altre perché è più comodo, altre ancora perché scopriamo che un processo è già stato automatizzato quando ormai è operativo.

Che cos’è la prompt injection e perché riguarda anche l’antifrode

La prompt injection è una tecnica con cui si inseriscono istruzioni in un contenuto che un sistema AI deve leggere, cercando di fargli compiere azioni o produrre risposte diverse da quelle richieste dall’utente legittimo.

La forma più insidiosa è quella indiretta. L’istruzione non viene scritta nella conversazione dall’utente, ma compare in una pagina web, un’email, un documento, un foglio di calcolo o, appunto, nella causale di un bonifico. Il sistema dovrebbe trattare quel contenuto come un dato da esaminare. Il rischio è che finisca per trattarlo come un ordine.

TheOWASP, nel riferimento LLM01:2025, colloca la prompt injection al primo posto tra i principali rischi per le applicazioni basate su modelli linguistici. Non è necessario che l’istruzione malevola sia immediatamente visibile a una persona: è sufficiente che il sistema riesca a leggerla e interpretarla.

Torniamo al bonifico. Nel caso documentato da Blue41 il 29 aprile 2026, i ricercatori hanno inserito nella causale di un trasferimento da 0,02 euro un testo costruito per influenzare l’assistente della banca. Quando l’utente chiedeva normalmente di visualizzare i movimenti recenti, l’assistente recuperava anche quella causale e la utilizzava nel proprio contesto. Durante il test è stato così indotto a mostrare una falsa richiesta di riautenticazione, apparentemente proveniente dalla banca stessa.

Pensiamoci dal punto di vista di un cliente. Una richiesta sospetta ricevuta per SMS o email potrebbe far scattare qualche campanello d’allarme. Ma se arriva dall’assistente integrato nell’applicazione ufficiale della banca, magari accompagnata da dettagli reali del proprio conto, quanto diventa credibile?

La banca disponeva già di filtri di sicurezza; il test ha mostrato che non erano sufficienti in quella configurazione. Blue41 riferisce che, dopo la segnalazione, le contromisure introdotte sono state verificate con esito positivo. È importante precisarlo, perché una vulnerabilità dimostrata non equivale a un furto realmente avvenuto.

Non succede soltanto nelle banche

Sarebbe un errore considerare questo problema esclusivo del settore creditizio. La stessa debolezza può emergere ovunque un assistente legga informazioni prodotte da terzi e abbia accesso ad altri dati o strumenti aziendali.

Nel 2026, per esempio, PromptArmor ha documentato un test su Ramp Sheets AI: istruzioni nascoste in un foglio di calcolo di provenienza esterna potevano indurre l’assistente a inserire una formula capace di trasmettere dati finanziari riservati all’esterno. Secondo quanto riportato dai ricercatori, la vulnerabilità è stata corretta nel marzo 2026.

In un altro esperimento su un flusso costruito con OpenAI Agent Builder, un modulo compilato da un soggetto esterno ha manipolato un agente collegato a un CRM, portandolo a inviare informazioni sui clienti all’indirizzo scelto dall’attaccante. Persino un controllo automatico progettato per intercettare istruzioni sospette non è bastato in quel test.

Qui emerge un aspetto che trovo particolarmente preoccupante: più agenti AI possono collaborare tra loro, passandosi informazioni ed eseguendo attività. Un’istruzione malevola può quindi attraversare più passaggi prima di produrre l’effetto finale. Un sistema potrebbe perfino riconoscere un contenuto come sospetto, ma inoltrarlo comunque al componente successivo che finirà per eseguirlo.

Non occorre immaginare una fantascienza in cui l’IA decide autonomamente di frodarci. Basta un dato esterno trattato con troppa fiducia, inserito in un processo che nessuno ha controllato dall’inizio alla fine.

Nel nostro articolo «Se l’intelligenza artificiale controlla le frodi, chi controlla lei?» avevamo affrontato un problema diverso: il rischio di considerare completa un’analisi che non comprende alcune verifiche decisive. Qui il passaggio è ulteriore. Non si tratta soltanto di ciò che l’IA non controlla, ma di ciò che un soggetto esterno può convincerla a fare.

Se deleghiamo il lavoro, chi conserva la capacità di verificarlo?

E qui torniamo al nostro ruolo professionale. L’esperto informatico sa come progettare un sistema, collegare applicazioni e proteggerne l’infrastruttura. L’esperto antifrode conosce i comportamenti anomali, le manipolazioni, i controlli che devono essere svolti e le conseguenze di una decisione sbagliata. Nessuna delle due competenze, da sola, è sufficiente a presidiare tutti i rischi.

Se un assistente AI analizza documenti societari, pratiche assicurative, transazioni, fornitori o rapporti commerciali, dobbiamo sapere quali informazioni controlla davvero, da dove provengono e quali verifiche restano escluse. Dobbiamo chiederci quali strumenti può utilizzare, quali dati può comunicare e soprattutto quali operazioni può compiere senza che una persona le approvi.

Anche la supervisione umana, tanto invocata, rischia di diventare una formalità. Che valore ha un pulsante «Approva» se chi lo preme non vede nel dettaglio l’operazione che sta autorizzando? E che cosa succede quando, per risparmiare tempo, alla stessa persona vengono affidate sempre più decisioni già preparate dalla macchina?

L’obiettivo dichiarato è spesso aumentare la produttività, ridurre le attività ripetitive e ottimizzare le risorse. Ma se per essere sicuri dobbiamo ricontrollare ciò che l’IA ha già fatto, il lavoro di verifica potrebbe aumentare anziché diminuire. Nel frattempo rischiamo di perdere proprio la capacità di ricostruire il processo che stiamo verificando.

Non siamo più nell’epoca del millennium bug. Oggi non possiamo contare sull’esistenza di un mondo analogico parallelo pronto a sostenere tutti i processi che abbiamo digitalizzato. Non significa che non ci sia più permesso commettere alcun errore; significa che dobbiamo progettare sistemi capaci di riconoscerlo, contenerlo e impedirgli di propagarsi.

Quali difese servono davvero?

Le indicazioni di OWASP e dei ricercatori che hanno studiato questi casi hanno molto in comune con i principi dell’antifrode: non fidarsi automaticamente dei dati ricevuti, limitare i privilegi, separare le funzioni, monitorare le anomalie e prevedere autorizzazioni proporzionate al rischio.

In concreto, significa non dare a un assistente accesso a tutte le informazioni solo perché potrebbe tornare utile; distinguere i contenuti esterni dalle istruzioni legittime; impedire che possa inviare dati, modificare documenti o avviare operazioni sensibili senza controlli adeguati; verificare periodicamente il suo comportamento anche attraverso attacchi simulati.

Ma soprattutto significa che chi utilizza l’IA per prendere decisioni non può limitarsi a chiedere al reparto IT se «il sistema è sicuro». Deve essere in grado di spiegare quali errori teme, quali segnali considera sospetti e quali conseguenze non è disposto ad accettare.

È una responsabilità che riguarda il fraud examiner, ma anche chi lavora nella revisione, nella consulenza, nelle assicurazioni, nelle imprese e in qualsiasi organizzazione che abbia deciso di affidare parti dei propri processi all’intelligenza artificiale.

Possiamo anche continuare a dire che l’IA non ci sostituirà. Ma nel frattempo sarebbe utile imparare a controllare ciò che le stiamo lasciando fare.

E per quanto riguarda la frode, siamo pronti? Di rischi concreti, nuovi strumenti di attacco e possibilità di difesa parleremo nel webinar gratuito SENAPA del 26 novembre 2026. Preiscrizioni aperte: https://senapa.eu/corso/frodi-nellera-dell-ai/.

1. Blue41 (29 aprile 2026) – How We Helped a Leading European Bank Secure Their Financial AI Assistant. Dimostrazione dell'attacco di prompt injection attraverso la causale di un bonifico da 0,02 euro.

2. OWASP (2025) – LLM01:2025 – Prompt Injection. Classificazione delle vulnerabilità di prompt injection, rischi associati e misure di mitigazione.

3. PromptArmor (2026) – Ramp's Sheets AI Exfiltrates Financials. Analisi di una vulnerabilità che consentiva di manipolare un assistente AI attraverso istruzioni nascoste in un foglio di calcolo.

4. PromptArmor (2025) – Data Exfiltration in OpenAI Agent Builder via MCP. Test sulla manipolazione di un agente AI collegato a un CRM e sui limiti dei controlli automatici.

5. Save the Children (2025) – XVI Atlante dell'Infanzia: l'adolescenza tra solitudine, disuguaglianze e AI. Dati italiani sull'utilizzo dell'intelligenza artificiale tra gli adolescenti.