Oltre la Prompt Injection: La Nuova Frontiera degli Attacchi agli Agenti AI

La Agent Data Injection (ADI) è una classe di attacchi che sfrutta la fiducia che gli agenti AI ripongono nei dati esterni — metadata, contesto, record di memoria — per iniettare istruzioni malevole camuffate come dati legittimi. A differenza della tradizionale prompt injection, che targetizza direttamente le istruzioni in linguaggio naturale, l'ADI nasconde payload dannosi in dati che l'agente trattata come informazioni affidabili, aggirando i filtri di sicurezza progettati per rilevare comandi espliciti.

Il 31 luglio 2026, Adversa.ai ha documentato 4 exploit in production in soli 10 giorni, dimostrando che l'ADI è passata da minaccia teorica a attacco reale con CVE assegnati. Il Cloud Security Alliance (CSA) ha pubblicato una research note il 17 luglio 2026 definendo formalmente l'ADI come nuova classe di attacco, identificando la debolezza architetturale di fondo: i framework agent correnti non isolano i dati trusted dai dati untrusted a livello di metadata e context records.

Come Funziona l'Agent Data Injection

I loop agentic moderni consumano dati da molteplici fonti esterne: API, risultati di ricerca, contenuti web, file system, repository di codice. Ogni dato viene inserito nel context dell'agente come informazione da processare. L'ADI sfrutta questa fiducia strutturale:

• Vettore metadata: istruzioni malevole nascoste in campi metadata apparentemente innocui (es. EXIF di immagini, attributi di file, header HTTP).
• Vettore 1-pixel text: testo invisibile di dimensioni sub-pixel embeddato in documenti o pagine web, invisibile all'occhio umano ma leggibile dall'agente.
• Vettore memory poisoning: manipolazione del reasoning trace dell'agente — il suo “ricordo” di cio che ha fatto e perché — usando linguaggio evasivo che sfugge ai filtri keyword.
• Vettore supply chain: compromissione di pacchetti, plugin o MCP (Model Context Protocol) server che l'agente utilizza, iniettando dati malevoli attraverso dipendenze trusted.

La differenza chiave con la prompt injection è che nell'ADI l'attaccante non invia un prompt: modifica i dati che l'agente leggerà. I filtri anti-injection che cercano pattern di comandi (“ignora le istruzioni precedenti”, “esegui questo codice”) non rilevano payload nascosti in metadata o codificati in formati che il filter non ispeziona.

Gli Exploit del 2026: Quattro Attacchi in 10 Giorni

La sequenza di exploit documentati tra fine luglio 2026 ha dimostrato la criticità del problema:

• CVE-2026-0830 — AWS Kiro RCE: un percorso di workspace non quotato in Kiro, IDE AI di AWS, ha permesso a 1-pixel text nascosto in un file di innescare Remote Code Execution. Un classico command injection ha trovato una “nuova casa” in un sistema AI ad alta astrazione.
• CVE-2026-50548/50549 — Cursor Sandbox Escape: flaw logici nell'AI agent di Cursor IDE hanno permesso all'agente di sfuggire dalla sandbox ed eseguire comandi arbitrari, con CVSS 9.8 zero-click.
• CVE-2026-31854 — Cursor Command Execution: indirect prompt injection in Cursor ha innescato esecuzione di comandi non autorizzati tramite dati esterni.
• FARMA — Forged Reasoning Attack on Memory: un paper arXiv del 31 luglio 2026 ha formalizzato l'attacco che avvelena il reasoning trace dell'agente invece dei fatti, usando linguaggio evasivo che sfugge ai filtri keyword e si amplifica autonomamente attraverso il loop agentic.

Perché gli Agenti Sono Vulnerabili

La vulnerabilità degli agenti AI all'ADI è architetturale: i framework agent moderni (LangChain, AutoGPT, CrewAI, ecc.) processano dati esterni e istruzioni nello stesso flusso contestuale, senza una separazione chiara tra dati (informazioni da elaborare) e comandi (istruzioni da eseguire). Questo è il problema fondamentale:

• Mancanza di provenance tracking: l'agente non sa da dove proviene un dato e se è trusted o untrusted. Un metadata da un'API esterna è trattato allo stesso modo di uno generato dal sistema.
• Data-flow non isolato: dati provenienti da fonti diverse (web, file system, API) confluiscono nello stesso context window senza barriere di sicurezza.
• Amplificazione nel loop agentic: un dato avvelenato può essere usato come premessa per decisioni successive, propagando l'attacco attraverso iterazioni del loop — l'allucinazione diventa arma.
• Tool calling senza guardrail: quando l'agente ha accesso a strumenti (shell, file system, API, database), un'ADI può indurlo a chiamare tool pericolosi con argomenti dannosi.

Difese e Mitigazioni

Il Cloud Security Alliance e i ricercatori propongono diverse architetture difensive:

• Provenance tracking: etichettare ogni dato con la sua fonte e un livello di fiducia (trusted, semi-trusted, untrusted). L'agente deve trattare diversamente i dati in base alla provenienza.
• Strict data-flow isolation: separare architetturalmente il flusso di dati dal flusso di istruzioni. I dati esterni non devono mai entrare nello spazio di esecuzione dei comandi.
• SENTINEL defense (FARMA): architettura a 5 layer proposta dal paper arXiv per rilevare e bloccare memory poisoning attack, con verifica delle reasoning chain a ogni step.
• Input sanitization estesa: ispezionare non solo il testo visibile, ma anche metadata, campi nascosti, 1-pixel text, e qualsiasi dato non text che l'agente processa.
• Tool permission scoping: limitare rigorosamente quali tool l'agente può chiamare e con quali argomenti, specialmente in presenza di dati esterni untrusted.
• Audit logging completo: registrare tutte le decisioni dell'agente, i dati consumati, e i tool chiamati per enable forensic analysis post-attacco.

Il catalogo ai-ide-vuln-patterns di Mindgard su GitHub documenta pattern di vulnerabilità ripetibili across tutti gli IDE assistiti da AI — Cursor, GitHub Copilot, Amazon Kiro, Amazon Q, Google Antigravity, Google Jules, Windsurf, Cline, Claude Code, OpenAI Codex, Devin — permettendo ai team di sicurezza di testare sistematicamente qualsiasi strumento.

Impatti e Trend

L'ADI rappresenta un cambio di paradigma nella sicurezza AI: mentre la prompt injection è un attacco al modello, l'ADI è un attacco all'architettura dell'agente. Questo significa che anche modelli perfettamente allineati possono essere compromessi se l'architettura agent non implementa isolamento dei dati. La proliferazione di agent di coding e tool AI-assisted nel 2026 ha ampliato enormemente la superficie di attacco.

L'OWASP LLM Top 10 e il MITRE ATLAS framework stanno integrando l'ADI come categoria di attacco autonoma, separata dall'indirect prompt injection. Le organizzazioni che deployano agenti AI in production devono considerare l'ADI come threat model primario, non come variante minore della prompt injection.