I vettori d'attacco del codice generato da LLM: analisi offensiva delle vulnerabilità tipiche
Gli LLM introducono classi di vulnerabilità prevedibili, perché replicano pattern insicuri visti nei dati di training. Analisi dal lato attaccante: quali debolezze cercare per prime nel codice generato (deserializzazione, SSRF, auth bypass, race condition), come si sfruttano nella pratica e come chiuderle. Per un team che usa l'AI per scrivere codice, sapere cosa proverebbe un attaccante è la differenza tra un assistente e un rischio. Continua a leggere
Ultima modifica:
Il codice generato dagli assistant AI entra in produzione più in fretta di quanto venga revisionato. Audit sistematico dei pattern di vulnerabilità ricorrenti nell'output di ChatGPT e Copilot per PHP: injection non parametrizzate, validazione mancante, segreti hardcoded, dipendenze obsolete suggerite con fiducia. Una checklist offensiva per auditare ciò che l'AI scrive prima che diventi un incidente, dalla prospettiva di chi i bug li cerca per mestiere. 
Due vulnerabilità distinte di Claude Code, da non confondere: CVE-2025-59536 (CVSS 8.7 v4.0 / 8.8 v3.1, esecuzione di codice all'apertura di un repository malevolo prima del trust dialog, fix 1.0.111) e CVE-2026-21852 (CVSS 5.3 v4.0 / 7.5 v3.1, esfiltrazione della API key via override ANTHROPIC_BASE_URL nel settings.json del repo, fix 2.0.65). git clone e apri l'agente è il nuovo apri l'allegato: analisi tecnica e la difesa che uso in proprio via hook. 
AA Omniscience di Artificial Analysis (novembre 2025) misura su 6.000 domande in 6 domini un fenomeno che le big AI preferiscono ignorare: quando il modello non sa, inventa o dice non lo so? Solo 3 modelli su 36 ottengono punteggio sopra zero (Claude Opus 4.1, GPT-5.1, Grok 4). Anthropic occupa le prime 3 posizioni per hallucination rate più basso. Tabella comparativa 2026 e implicazioni pratiche per chi sta scegliendo un modello per la pipeline aziendale. 
Nel 2023 Sam Altman prometteva di risolvere le allucinazioni in due anni; nel 2025 OpenAI stessa pubblica "Why Language Models Hallucinate" (arxiv 2509.04664) mostrando che sono strutturalmente inevitabili. AA-Omniscience 2025 di Artificial Analysis: 36 modelli su 40 più propensi a sbagliare che sapere. GPT-5.5 xhigh: 86% hallucination rate vs Opus 4.7 max 36%. Perché il prompting non le elimina, pattern di validazione esterna che funzionano in produzione. 
Un agent LLM con accesso a tool esegue codice in nome dell'utente. Gli stessi principi del least privilege valgono - ma il perimetro è fluido, e l'LLM può essere manipolato. Ti mostro il framework di threat modeling che ho sviluppato: categorie di rischio (privilege escalation, data exfiltration, denial of service), analisi trust boundary, mitigazioni applicative concrete con esempio di agent Laravel + Claude API perimetrato. 
Il motivo per cui GPT-5.4 o Opus 4.7 rispondono in un certo modo non è il pretraining ma l'allineamento. RLHF raccoglie preferenze umane e allena un reward model; Constitutional AI usa principi e fa autocritica; DPO salta il reward model con ottimizzazione diretta; RLAIF sostituisce gli umani con LLM. Confronto operativo con paper primari 2022-2023 e casi in cui ciascuna tecnica fallisce in produzione enterprise. 
L'ecosistema AI è diventato un target di supply chain attack: modelli pubblicati su Hugging Face con backdoor, librerie Langchain/LlamaIndex con transitive dependencies non audit-abili, update automatici che introducono drift di comportamento. Ti mostro la strategia di hardening che applico: pinning dei modelli a digest SHA-256 (non tag), audit automatico delle dipendenze via Snyk/Dependabot, integrity checks su ogni deploy, separazione di ambienti con policy di network egress controllato. 
Un agent LLM che può eseguire query al database, inviare email, chiamare API è una backdoor delegata. Un attaccante che controlla l'input controlla le azioni dell'agent. Ti mostro le classi di prompt injection più pericolose su agent systems, le strategie di difesa applicativa (input validation, output fencing, least privilege), e un esempio concreto di human-in-the-loop gate che ho implementato in un agent Laravel nella mia sandbox di audit. 
Dal punto di vista di un attaccante, il codice LLM-generated è una miniera d'oro. I pattern ricorrenti - concatenazione di input in query, gestione uniforme degli errori che leak info sensibili, assunzioni di sanitizzazione fatte dall'LLM senza dirlo - sono sfruttabili con PoC mirati. Ti racconto 5 classi di attacco osservate su codice reale, con exploit dimostrato e la strategia di difesa applicativa che uso in audit.