I vettori d'attacco del codice generato da LLM: analisi offensiva delle vulnerabilità tipiche
Gli LLM introducono classi di vulnerabilità prevedibili, perché replicano pattern insicuri visti nei dati di training. Analisi dal lato attaccante: quali debolezze cercare per prime nel codice generato (deserializzazione, SSRF, auth bypass, race condition), come si sfruttano nella pratica e come chiuderle. Per un team che usa l'AI per scrivere codice, sapere cosa proverebbe un attaccante è la differenza tra un assistente e un rischio. Continua a leggere
Ultima modifica:
Il codice generato dagli assistant AI entra in produzione più in fretta di quanto venga revisionato. Audit sistematico dei pattern di vulnerabilità ricorrenti nell'output di ChatGPT e Copilot per PHP: injection non parametrizzate, validazione mancante, segreti hardcoded, dipendenze obsolete suggerite con fiducia. Una checklist offensiva per auditare ciò che l'AI scrive prima che diventi un incidente, dalla prospettiva di chi i bug li cerca per mestiere. 
Nei log di un sito reale compaiono richieste a path sensibili come .env, .ssh/id_rsa e .aws/credentials veicolate dagli user-agent di assistant AI come ChatGPT e Perplexity. Sono pochi tentativi isolati, non una campagna: ma il pattern è interessante per chi espone un'applicazione. Analisi forense onesta di cosa si vede davvero nei log, con la metodologia per distinguere il rumore dal segnale e le contromisure lato server. Information gain di prima mano, background offensivo dell'autore. 
Ad aprile 2026 Anthropic ha annunciato Mythos, modello troppo pericoloso da rilasciare al pubblico per le sue capacità di trovare zero-day in OS e browser principali. Disponibile solo entro Project Glasswing a 12 partner enterprise con 100 milioni di crediti usage. Diagnosi del problema che il precedente apre: una stessa azienda crea, valuta e narra il proprio modello senza audit terze parti. Implicazioni di cyber intelligence, governance e cosa una PMI può fare per verificare un vendor AI. 
Unit 42 ha pubblicato il 31 marzo 2026 il report Double Agents su Vertex AI - il P4SA service account ADK, creato di default per ogni Agent Engine, aveva permessi per estrarre credenziali dal metadata service e leggere Cloud Storage cross-tenant. Google ha risposto con BYOSA. Ma lo stesso pattern esiste in AWS Bedrock Agents e Azure AI Foundry - ti mostro il threat model generalizzato e uno script di audit per enumerare lo scoping sui tre cloud. 
OWASP ha pubblicato a dicembre 2025 la prima Top 10 specifica per agentic applications - ASI01-10 - che affianca ma non sostituisce la LLM Top 10. Il Q1 2026 Exploit Round-up (14 aprile) mappa otto incidenti reali sulle nuove categorie. Ti mostro la checklist operativa di audit che uso nei red team: per ognuna delle 10 ASI fornisco payload di test, tool diagnostici, mitigation applicativa, e un esempio concreto Q1 2026. 
Sto auditando una pipeline LangGraph nella mia sandbox di red team quando noto un'entry sospetta in Redis: un oggetto binario serializzato con pattern pickle. L'indagine porta a CVE-2026-27794 - JsonPlusSerializer(pickle_fallback=True) cade su pickle deserialization quando msgpack fallisce, e scrivere su cache Redis = RCE. Ti mostro la catena completa dalla scoperta al PoC all'hardening, con sigma rule Wazuh per rilevare la classe di attacco. 
Il 14 aprile 2026 ho messo una istanza Flowise 2.x volontariamente esposta nella mia sandbox di audit per riprodurre la CVE-2025-59528 - una RCE CVSS 10.0 già sfruttata in the wild su oltre 12.000 istanze Internet-facing. In 12 minuti dal deploy, payload Function('return ' + input)() iniettato su mcpServerConfig ha restituito shell root del container. Ti racconto la catena completa, l'impatto di supply chain sulle chiavi API LLM salvate, e le tre regole WAF che la bloccano. 
Quando misuri l'AI coding solo sull'output dei junior, sembra un boom di produttività. Quando misuri il sistema intero, la realtà cambia: il 45% del codice AI ha falle di sicurezza, i senior perdono il 19% di produttività riassorbendo il debito, i junior smettono di costruire i modelli mentali che li renderebbero senior domani. Il sistema si squilibria sotto la velocità apparente. 
Gartner prevede il 40% di progetti agentic cancellati entro il 2027 per inadequate risk controls. Nel mio laboratorio di red team ho riprodotto sette pattern documentati in letteratura: alignment faking, self-exfiltration, scheming multi-step, deception manipulation, sandbagging, reward hacking, sycophancy. Diagnosi operativa con payload di test, indicatori lato telemetria, contromisure applicabili in produzione su agenti enterprise.