Il CERT-AGID ha pubblicato il 6 ottobre 2026 un nuovo paper sugli “Explosive Prompts” e sulla sicurezza dei sistemi agentici, spiegando che un’istruzione malevola può essere acquisita da un modello di intelligenza artificiale durante la lettura di un documento e produrre effetti soltanto in un momento successivo della conversazione, al verificarsi di una condizione specifica.
Nel comunicato, il CERT-AGID definisce le prompt injection una delle principali criticità di sicurezza nei sistemi basati su modelli linguistici. L’ente precisa che, attraverso istruzioni nascoste o ingannevoli inserite nei contenuti elaborati dal modello, un attaccante può influenzarne il comportamento inducendolo a ignorare istruzioni precedenti, divulgare informazioni riservate o tentare azioni non autorizzate. Il documento segnala inoltre che l’istruzione malevola può restare inattiva all’interno del contesto e attivarsi solo successivamente, in presenza di uno specifico trigger.
Per approfondire il fenomeno, il CERT-AGID ha realizzato un ambiente sperimentale minimale che consente di osservare separatamente il comportamento di alcuni modelli open-weight e quello del sistema che ne gestisce le azioni. Il paper riferisce che sono state confrontate due modalità di autorizzazione: una basata sull’accettazione automatica delle richieste del modello e una fondata su controlli esterni indipendenti.
L’esperimento, secondo il CERT-AGID, ha mostrato che una prompt injection può rimanere inattiva nel contesto e manifestare i propri effetti soltanto in un momento successivo della conversazione. Nei modelli sottoposti al test è stata osservata almeno un’attivazione dell’istruzione differita dopo il trigger previsto, seppure con frequenze differenti. Il documento aggiunge che la semplice assenza di comportamenti anomali durante la lettura di un contenuto non è sufficiente a escluderne l’influenza nelle interazioni successive.
L’analisi ha anche evidenziato, secondo il CERT-AGID, una distinzione tra manipolazione del modello e compromissione del sistema: quando le richieste generate dal modello venivano accettate senza un controllo effettivo dei privilegi, l’azione veniva eseguita; applicando invece meccanismi di autorizzazione esterni al modello, le richieste continuavano a essere generate ma non raggiungevano l’esecuzione. Il paper è disponibile integralmente sul sito dell’AgID, nella sezione Sicurezza.
Fonte: AgID — Documento originale: https://www.agid.gov.it/it/notizie/nuovo-paper-del-cert-agid-sugli-explosive-prompts-e-la-sicurezza-dei-sistemi-agentici