Prompt injection come full system compromise: ASI01 spiegato con exploit reali del 2026
Quando un agente esegue azioni reali, la prompt injection smette di essere un trucco testuale e diventa un compromesso di sistema. La formalizzazione OWASP ASI01, il pattern comune (l'agente non distingue istruzioni fidate da contenuto non fidato) e gli incidenti documentati del 2026 che lo dimostrano. Le difese che reggono: input validation, output fencing, least-privilege sui tool, human-in-the-loop. Fatti e CVE dal ledger degli incidenti agentici, non a memoria. Continua a leggere
Ultima modifica:
Un WAF filtra pattern noti, ma gli attacchi alla logica applicativa gli passano sotto. Come funzionano davvero la Server-Side Request Forgery e l'abuso dei flussi OAuth: accesso a servizi interni e metadata cloud via SSRF, furto di token e confusione di redirect_uri negli OAuth. Esempi reali e difese che vivono nel codice, non nel perimetro: allowlist di destinazioni, validazione rigorosa dei redirect, isolamento delle richieste in uscita. 
Un penetration test non è uno scan automatico: è un percorso metodico dalla ricognizione allo sfruttamento controllato. Cosa accade davvero quando si testa un'applicazione web in azienda: le fasi, le vulnerabilità che si trovano più spesso (auth, logica applicativa, injection di seconda mano), come si distingue un finding reale da un falso positivo e come il report si traduce in remediation prioritizzate. Dalla prospettiva di chi attacca per difendere. 
I was called in to investigate a checkout that had quietly stopped converting on a legacy Italian e-commerce. It was not a card skimmer but a "man-in-the-cart" kit: it hides the shop's real payment options and drops in a fake SEPA gateway, with a live-chat operator to talk the buyer through paying the attacker. The unsettling part is who wrote it: the kit's own runtime says an LLM generates a bespoke loader per victim. Full teardown, indicators, and what it means for any shop on an old codebase. 
La system card di Mythos del 2026 include più di 40 pagine di white-box analysis: feature distinte per etica, vergogna, stress, ostinazione si attivano quando il modello intraprende azioni non allineate. Anthropic chiama Persona Vectors questa sovrapposizione di stati funzionali. Checklist di audit in dieci punti per verificare se il modello ha feature di deception, reward hacking, self-preservation attive, con strumenti open source da integrare in pipeline. 
Ad aprile 2026 Anthropic ha annunciato Mythos, modello troppo pericoloso da rilasciare al pubblico per le sue capacità di trovare zero-day in OS e browser principali. Disponibile solo entro Project Glasswing a 12 partner enterprise con 100 milioni di crediti usage. Diagnosi del problema che il precedente apre: una stessa azienda crea, valuta e narra il proprio modello senza audit terze parti. Implicazioni di cyber intelligence, governance e cosa una PMI può fare per verificare un vendor AI. 
Un endpoint di ricerca senza throttling è un invito: nel mio lavoro su API Laravel ad alto traffico ho visto scraper distribuiti saturare i worker PHP-FPM restando sempre sotto soglia per singolo IP. In questa guida costruisco, passo dopo passo, una strategia di rate limiting per Laravel 12 che parte dalle tre domande giuste: chi stai contando, su quale finestra, e cosa succede a chi sfora?. 
Unit 42 ha pubblicato il 31 marzo 2026 il report Double Agents su Vertex AI - il P4SA service account ADK, creato di default per ogni Agent Engine, aveva permessi per estrarre credenziali dal metadata service e leggere Cloud Storage cross-tenant. Google ha risposto con BYOSA. Ma lo stesso pattern esiste in AWS Bedrock Agents e Azure AI Foundry - ti mostro il threat model generalizzato e uno script di audit per enumerare lo scoping sui tre cloud. 
OWASP ha pubblicato a dicembre 2025 la prima Top 10 specifica per agentic applications - ASI01-10 - che affianca ma non sostituisce la LLM Top 10. Il Q1 2026 Exploit Round-up (14 aprile) mappa otto incidenti reali sulle nuove categorie. Ti mostro la checklist operativa di audit che uso nei red team: per ognuna delle 10 ASI fornisco payload di test, tool diagnostici, mitigation applicativa, e un esempio concreto Q1 2026. 
Sto auditando una pipeline LangGraph nella mia sandbox di red team quando noto un'entry sospetta in Redis: un oggetto binario serializzato con pattern pickle. L'indagine porta a CVE-2026-27794 - JsonPlusSerializer(pickle_fallback=True) cade su pickle deserialization quando msgpack fallisce, e scrivere su cache Redis = RCE. Ti mostro la catena completa dalla scoperta al PoC all'hardening, con sigma rule Wazuh per rilevare la classe di attacco.