{"id":9540,"date":"2026-11-03T15:13:05","date_gmt":"2026-11-03T15:13:05","guid":{"rendered":"https:\/\/senapa.eu\/?p=9540"},"modified":"2026-11-03T15:18:11","modified_gmt":"2026-11-03T15:18:11","slug":"prompt-injection-quando-bastano-due-centesimi-per-ingannare-un-assistente-ai","status":"publish","type":"post","link":"https:\/\/senapa.eu\/en\/prompt-injection-quando-bastano-due-centesimi-per-ingannare-un-assistente-ai\/","title":{"rendered":"Prompt injection: quando bastano due centesimi per ingannare un assistente AI"},"content":{"rendered":"

Nell’aprile 2026, durante un test di sicurezza su un assistente di intelligenza artificiale utilizzato da una banca europea, \u00e8 bastato un bonifico da due centesimi<\/strong> per dimostrare come il sistema potesse essere manipolato. Non sono stati sottratti milioni di euro e non si \u00e8 trattato di una frode realmente consumata: era una dimostrazione controllata. Ma l’aspetto pi\u00f9 interessante, almeno per chi lavora nell’antifrode, \u00e8 che l’attaccante non aveva bisogno di entrare nel conto corrente della vittima. Gli bastava scrivere qualcosa nella causale del bonifico.<\/p>\n\n\n\n

\u00c8 da qui che vorrei partire per parlare di prompt injection<\/strong>. E, soprattutto, per tornare su una domanda che mi pongo sempre pi\u00f9 spesso: quanto siamo effettivamente pronti alla rivoluzione digitale che stiamo vivendo?<\/p>\n\n\n\n

Professionisti preparati, ma quanto conosciamo gli strumenti che utilizziamo?<\/h2>\n\n\n\n

Recentemente mi \u00e8 capitato di confrontarmi con diverse figure professionali, persone con una preparazione nel proprio settore degna di nota, appartenenti a istituti di credito, societ\u00e0 di consulenza e grandi realt\u00e0 produttive. Eppure, davanti all’effettiva capacit\u00e0 di utilizzo dell’intelligenza artificiale, alcune erano quasi del tutto ignare dei rischi e delle potenzialit\u00e0 degli strumenti che avevano a disposizione.<\/p>\n\n\n\n

Fino a ieri eravamo in grado di riconoscere un processo, costruirlo e controllarlo. Oggi, sempre pi\u00f9 spesso, ci affidiamo al reparto IT per integrare nei nostri processi quella che potrebbe diventare la nostra potenziale sostituta. Non \u00e8 una critica ai professionisti informatici: il problema nasce quando chi conosce il processo e chi sviluppa la tecnologia non si confrontano abbastanza su ci\u00f2 che pu\u00f2 andare storto.<\/p>\n\n\n\n

Io per prima sostengo che l’intelligenza artificiale non possa sostituire completamente l’essere umano. Ma mi rendo conto che ripetere questa frase non basta a renderla vera in qualsiasi contesto. La direzione che stiamo prendendo mi preoccupa, e non perch\u00e9 non apprezzi le potenzialit\u00e0 dell’IA. Al contrario: proprio perch\u00e9 le vedo, mi chiedo se siamo pronti a governarle.<\/p>\n\n\n\n

Se provo a guardare la questione in termini generazionali, e ahim\u00e8 mi duole rischiare di sembrare quella che in gergo si potrebbe definire una boomer<\/em>, mi vengono in mente tre modi diversi di rapportarsi alla tecnologia.<\/p>\n\n\n\n

C’\u00e8 chi \u00e8 cresciuto insieme alla rivoluzione digitale, ha visto arrivare i primi computer in casa, ha imparato a installare programmi, risolvere problemi e magari ha provato almeno una volta a mettere mano a qualche riga di codice. Non necessariamente \u00e8 un esperto, ma ha conosciuto anche il dietro le quinte<\/em> degli strumenti che usa.<\/p>\n\n\n\n

C’\u00e8 poi la generazione del \u00abcarta e penna\u00bb, arrivata alla tecnologia da adulta, abituata a cercare informazioni anche senza una connessione. Una generazione in cui convivono persone che hanno contribuito a costruire il digitale e altre che ancora lo usano il meno possibile, magari perch\u00e9 \u00abcome si faceva prima era meglio\u00bb.<\/p>\n\n\n\n

E poi c’\u00e8 chi \u00e8 nato quando la rivoluzione digitale era gi\u00e0 avvenuta. L’informazione \u00e8 sempre a portata di mano, spesso senza dover capire come viene prodotta. Non significa che i pi\u00f9 giovani siano per definizione meno curiosi o meno competenti, ma che il rapporto con la ricerca, l’attesa e la verifica pu\u00f2 essere molto diverso. Per alcuni l’IA \u00e8 gi\u00e0 una sorta di partner in crime<\/em>: ci si studia, ci si parla, le si chiedono consigli e, qualche volta, la si umanizza al punto da dimenticare che rimane un sistema digitale.<\/p>\n\n\n\n

Non \u00e8 solo un’impressione. Secondo l’Atlante dell’infanzia 2025 di Save the Children<\/a>, il 92,5% dei ragazzi italiani tra i 15 e i 19 anni utilizza strumenti di IA e quasi uno su tre li consulta quasi ogni giorno. Il dato non dimostra una mancanza di spirito critico; mostra, per\u00f2, quanto profondamente questi strumenti siano gi\u00e0 entrati nelle abitudini.<\/p>\n\n\n\n

Mentre discutiamo di quanto e come utilizzarla, l’intelligenza artificiale viene inserita in sistemi sempre pi\u00f9 importanti. A volte le affidiamo attivit\u00e0 perch\u00e9 sono troppo complesse, altre perch\u00e9 \u00e8 pi\u00f9 comodo, altre ancora perch\u00e9 scopriamo che un processo \u00e8 gi\u00e0 stato automatizzato quando ormai \u00e8 operativo.<\/p>\n\n\n\n

Che cos’\u00e8 la prompt injection e perch\u00e9 riguarda anche l’antifrode<\/h2>\n\n\n\n

La prompt injection<\/strong> \u00e8 una tecnica con cui si inseriscono istruzioni in un contenuto che un sistema AI deve leggere, cercando di fargli compiere azioni o produrre risposte diverse da quelle richieste dall’utente legittimo.<\/p>\n\n\n\n

La forma pi\u00f9 insidiosa \u00e8 quella indiretta<\/em>. L’istruzione non viene scritta nella conversazione dall’utente, ma compare in una pagina web, un’email, un documento, un foglio di calcolo o, appunto, nella causale di un bonifico. Il sistema dovrebbe trattare quel contenuto come un dato da esaminare. Il rischio \u00e8 che finisca per trattarlo come un ordine.<\/p>\n\n\n\n

TheOWASP, nel riferimento LLM01:2025<\/a>, colloca la prompt injection al primo posto tra i principali rischi per le applicazioni basate su modelli linguistici. Non \u00e8 necessario che l’istruzione malevola sia immediatamente visibile a una persona: \u00e8 sufficiente che il sistema riesca a leggerla e interpretarla.<\/p>\n\n\n\n

Torniamo al bonifico. Nel caso documentato da Blue41 il 29 aprile 2026<\/a>, i ricercatori hanno inserito nella causale di un trasferimento da 0,02 euro<\/strong> un testo costruito per influenzare l’assistente della banca. Quando l’utente chiedeva normalmente di visualizzare i movimenti recenti, l’assistente recuperava anche quella causale e la utilizzava nel proprio contesto. Durante il test \u00e8 stato cos\u00ec indotto a mostrare una falsa richiesta di riautenticazione, apparentemente proveniente dalla banca stessa.<\/p>\n\n\n\n

Pensiamoci dal punto di vista di un cliente. Una richiesta sospetta ricevuta per SMS o email potrebbe far scattare qualche campanello d’allarme. Ma se arriva dall’assistente integrato nell’applicazione ufficiale della banca, magari accompagnata da dettagli reali del proprio conto, quanto diventa credibile?<\/p>\n\n\n\n

La banca disponeva gi\u00e0 di filtri di sicurezza; il test ha mostrato che non erano sufficienti in quella configurazione. Blue41 riferisce che, dopo la segnalazione, le contromisure introdotte sono state verificate con esito positivo. \u00c8 importante precisarlo, perch\u00e9 una vulnerabilit\u00e0 dimostrata non equivale a un furto realmente avvenuto.<\/p>\n\n\n\n

Non succede soltanto nelle banche<\/h2>\n\n\n\n

Sarebbe un errore considerare questo problema esclusivo del settore creditizio. La stessa debolezza pu\u00f2 emergere ovunque un assistente legga informazioni prodotte da terzi e abbia accesso ad altri dati o strumenti aziendali.<\/p>\n\n\n\n

Nel 2026, per esempio, PromptArmor ha documentato un test su Ramp Sheets AI<\/a>: istruzioni nascoste in un foglio di calcolo di provenienza esterna potevano indurre l’assistente a inserire una formula capace di trasmettere dati finanziari riservati all’esterno. Secondo quanto riportato dai ricercatori, la vulnerabilit\u00e0 \u00e8 stata corretta nel marzo 2026.<\/p>\n\n\n\n

In un altro esperimento su un flusso costruito con OpenAI Agent Builder<\/a>, un modulo compilato da un soggetto esterno ha manipolato un agente collegato a un CRM, portandolo a inviare informazioni sui clienti all’indirizzo scelto dall’attaccante. Persino un controllo automatico progettato per intercettare istruzioni sospette non \u00e8 bastato in quel test.<\/p>\n\n\n\n

Qui emerge un aspetto che trovo particolarmente preoccupante: pi\u00f9 agenti AI possono collaborare tra loro, passandosi informazioni ed eseguendo attivit\u00e0. Un’istruzione malevola pu\u00f2 quindi attraversare pi\u00f9 passaggi prima di produrre l’effetto finale. Un sistema potrebbe perfino riconoscere un contenuto come sospetto, ma inoltrarlo comunque al componente successivo che finir\u00e0 per eseguirlo.<\/p>\n\n\n\n

Non occorre immaginare una fantascienza in cui l’IA decide autonomamente di frodarci. Basta un dato esterno trattato con troppa fiducia, inserito in un processo che nessuno ha controllato dall’inizio alla fine.<\/p>\n\n\n\n

Nel nostro articolo \u00abSe l\u2019intelligenza artificiale controlla le frodi, chi controlla lei?\u00bb<\/a> avevamo affrontato un problema diverso: il rischio di considerare completa un\u2019analisi che non comprende alcune verifiche decisive. Qui il passaggio \u00e8 ulteriore. Non si tratta soltanto di ci\u00f2 che l\u2019IA non controlla, ma di ci\u00f2 che un soggetto esterno pu\u00f2 convincerla a fare.<\/p>\n\n\n\n

Se deleghiamo il lavoro, chi conserva la capacit\u00e0 di verificarlo?<\/h2>\n\n\n\n

E qui torniamo al nostro ruolo professionale. L’esperto informatico sa come progettare un sistema, collegare applicazioni e proteggerne l’infrastruttura. L’esperto antifrode conosce i comportamenti anomali, le manipolazioni, i controlli che devono essere svolti e le conseguenze di una decisione sbagliata. Nessuna delle due competenze, da sola, \u00e8 sufficiente a presidiare tutti i rischi.<\/p>\n\n\n\n

Se un assistente AI analizza documenti societari, pratiche assicurative, transazioni, fornitori o rapporti commerciali, dobbiamo sapere quali informazioni controlla davvero, da dove provengono e quali verifiche restano escluse. Dobbiamo chiederci quali strumenti pu\u00f2 utilizzare, quali dati pu\u00f2 comunicare e soprattutto quali operazioni pu\u00f2 compiere senza che una persona le approvi.<\/p>\n\n\n\n

Anche la supervisione umana, tanto invocata, rischia di diventare una formalit\u00e0. Che valore ha un pulsante \u00abApprova\u00bb se chi lo preme non vede nel dettaglio l’operazione che sta autorizzando? E che cosa succede quando, per risparmiare tempo, alla stessa persona vengono affidate sempre pi\u00f9 decisioni gi\u00e0 preparate dalla macchina?<\/p>\n\n\n\n

L’obiettivo dichiarato \u00e8 spesso aumentare la produttivit\u00e0, ridurre le attivit\u00e0 ripetitive e ottimizzare le risorse. Ma se per essere sicuri dobbiamo ricontrollare ci\u00f2 che l’IA ha gi\u00e0 fatto, il lavoro di verifica potrebbe aumentare anzich\u00e9 diminuire. Nel frattempo rischiamo di perdere proprio la capacit\u00e0 di ricostruire il processo che stiamo verificando.<\/p>\n\n\n\n

Non siamo pi\u00f9 nell’epoca del millennium bug<\/em>. Oggi non possiamo contare sull’esistenza di un mondo analogico parallelo pronto a sostenere tutti i processi che abbiamo digitalizzato. Non significa che non ci sia pi\u00f9 permesso commettere alcun errore; significa che dobbiamo progettare sistemi capaci di riconoscerlo, contenerlo e impedirgli di propagarsi.<\/p>\n\n\n\n

Quali difese servono davvero?<\/h2>\n\n\n\n

Le indicazioni di OWASP<\/a> e dei ricercatori che hanno studiato questi casi hanno molto in comune con i principi dell’antifrode: non fidarsi automaticamente dei dati ricevuti, limitare i privilegi, separare le funzioni, monitorare le anomalie e prevedere autorizzazioni proporzionate al rischio.<\/p>\n\n\n\n

In concreto, significa non dare a un assistente accesso a tutte le informazioni solo perch\u00e9 potrebbe tornare utile; distinguere i contenuti esterni dalle istruzioni legittime; impedire che possa inviare dati, modificare documenti o avviare operazioni sensibili senza controlli adeguati; verificare periodicamente il suo comportamento anche attraverso attacchi simulati.<\/p>\n\n\n\n

Ma soprattutto significa che chi utilizza l’IA per prendere decisioni non pu\u00f2 limitarsi a chiedere al reparto IT se \u00abil sistema \u00e8 sicuro\u00bb. Deve essere in grado di spiegare quali errori teme, quali segnali considera sospetti e quali conseguenze non \u00e8 disposto ad accettare.<\/p>\n\n\n\n

\u00c8 una responsabilit\u00e0 che riguarda il fraud examiner, ma anche chi lavora nella revisione, nella consulenza, nelle assicurazioni, nelle imprese e in qualsiasi organizzazione che abbia deciso di affidare parti dei propri processi all’intelligenza artificiale.<\/p>\n\n\n\n

Possiamo anche continuare a dire che l’IA non ci sostituir\u00e0. Ma nel frattempo sarebbe utile imparare a controllare ci\u00f2 che le stiamo lasciando fare.<\/p>\n\n\n\n

\n

E per quanto riguarda la frode, siamo pronti?<\/strong> Di rischi concreti, nuovi strumenti di attacco e possibilit\u00e0 di difesa parleremo nel webinar gratuito SENAPA del 26 novembre 2026<\/strong>. Preiscrizioni aperte:<\/strong> https:\/\/senapa.eu\/corso\/frodi-nellera-dell-ai\/<\/a>.<\/a><\/p>\n<\/blockquote>\n\n\n\n

\n
\n
Fonti e approfondimenti<\/h6>\n\n\n\n
1. Blue41 (29 aprile 2026) \u2013 How We Helped a Leading European Bank Secure Their Financial AI Assistant<\/a>. Dimostrazione dell'attacco di prompt injection attraverso la causale di un bonifico da 0,02 euro.<\/pre>\n\n\n\n
2. OWASP (2025) \u2013 LLM01:2025 \u2013 Prompt Injection<\/a>. Classificazione delle vulnerabilit\u00e0 di prompt injection, rischi associati e misure di mitigazione.<\/pre>\n\n\n\n
3. PromptArmor (2026) \u2013 Ramp's Sheets AI Exfiltrates Financials<\/a>. Analisi di una vulnerabilit\u00e0 che consentiva di manipolare un assistente AI attraverso istruzioni nascoste in un foglio di calcolo.<\/pre>\n\n\n\n
4. PromptArmor (2025) \u2013 Data Exfiltration in OpenAI Agent Builder via MCP<\/a>. Test sulla manipolazione di un agente AI collegato a un CRM e sui limiti dei controlli automatici.<\/pre>\n\n\n\n
5. Save the Children (2025) \u2013 XVI Atlante dell'Infanzia: l'adolescenza tra solitudine, disuguaglianze e AI<\/a>. Dati italiani sull'utilizzo dell'intelligenza artificiale tra gli adolescenti.<\/pre>\n<\/div><\/div>\n<\/div><\/div>\n\n\n\n
<\/p>","protected":false},"excerpt":{"rendered":"
Una causale di due centesimi pu\u00f2 manipolare un assistente AI. Scopri come funziona la prompt injection, quali rischi comporta e come difendersi.<\/p>","protected":false},"author":36,"featured_media":9542,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[109],"tags":[],"class_list":["post-9540","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-senapa-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t