Il nuovo metodo con cui gli hacker ingannano gli assistenti finanziari basati sull’intelligenza artificiale
di
Ultimo aggiornamento:
7 Tempo di lettura: 7 minuti
I punti chiave da prendere in considerazione
- Gli hacker stanno attivamente inserendo payload di iniezione indiretta di prompt in documenti di uso comune per prendere il controllo degli assistenti finanziari basati sull’intelligenza artificiale.
- A differenza delle frodi tradizionali, che ingannano le persone, questo attacco prende di mira i sistemi automatizzati basati sull'intelligenza artificiale, che eseguono i comandi all'istante senza sollevare alcun sospetto.
- Gli agenti di intelligenza artificiale in grado di trasferire fondi, avviare flussi di lavoro o accedere a dati dei clienti soggetti a regolamentazione rappresentano gli obiettivi più appetibili per gli hacker.
- I soli avvisi di sistema non sono sufficienti a garantire la sicurezza di un agente; pertanto, è indispensabile applicare rigorosamente il principio del privilegio minimo e prevedere approvazioni manuali obbligatorie.
- Poiché l'e-mail è il principale canale di diffusione di questi payload, è necessaria una rigorosa applicazione del protocollo DMARC per autenticare i messaggi prima che vengano elaborati dall'intelligenza artificiale.
I ricercatori nel campo della sicurezza, analizzando contenuti presenti in rete, hanno recentemente scoperto qualcosa di allarmante. Hanno individuato istruzioni nascoste scritte non per un essere umano, ma per qualsiasi agente di intelligenza artificiale che leggesse il testo. Una di queste era un payload pienamente strumentalizzato, progettato specificamente per indurre un assistente di intelligenza artificiale in grado di effettuare pagamenti a eseguire una transazione fissa di 5.000 dollari. Non si trattava di una dimostrazione controllata in laboratorio, bensì di un vero e proprio payload rinvenuto in rete.
Negli ultimi dieci anni, gli istituti finanziari hanno investito ingenti risorse nella formazione dei propri dipendenti affinché non agissero sulla base di e-mail convincenti. Ora, molti di questi stessi istituti hanno collegato assistenti basati sull’intelligenza artificiale proprio a quelle stesse caselle di posta. Questi assistenti leggono tutto, non mettono in discussione nulla e spesso operano con le autorizzazioni dei membri del personale che li utilizzano.
Questa tecnica è denominata “iniezione indiretta di prompt”. Rappresenta un cambiamento radicale nel modo in cui operano le frodi finanziarie. Di seguito viene illustrato in dettaglio come funziona l’attacco, quali sono i veri punti deboli delle banche, cosa hanno effettivamente dimostrato i ricercatori nel 2026 e quali controlli a livello di architettura sono necessari per contrastarlo.
Che cos’è l’iniezione immediata?
L'iniezione di prompt si verifica quando un malintenzionato induce un sistema di intelligenza artificiale a eseguire comandi non previsti. L'iniezione diretta si verifica quando un utente digita istruzioni dannose direttamente nella finestra di chat. L'iniezione indiretta di prompt è molto più pericolosa. Si verifica quando le istruzioni sono nascoste all'interno di contenuti esterni che l'assistente legge automaticamente, come un'e-mail in arrivo, una fattura allegata o una pagina web.
Il motivo principale per cui questo funziona è semplice: gli attuali sistemi di intelligenza artificiale non distinguono in modo affidabile le istruzioni dai dati. Ogni documento che un assistente acquisisce viene trattato come un potenziale input, il che significa che qualsiasi file esterno può diventare un veicolo per un attacco.
Perché gli assistenti finanziari basati sull'intelligenza artificiale sono un obiettivo di grande valore
Mayur Sewani, ricercatore senior in materia di sicurezza presso Forcepoint, descrive perfettamente il problema: l’impatto è proporzionale ai privilegi. Un assistente basato sull’intelligenza artificiale che si limita a riassumere gli appunti delle riunioni rappresenta un rischio basso. Un assistente in grado di inviare e-mail, avviare un flusso di lavoro o effettuare trasferimenti di denaro è invece un bersaglio critico e ad alto impatto.
Gli assistenti attualmente impiegati nel settore finanziario rientrano sempre più spesso nella seconda categoria. Essi recuperano i dati dei clienti, analizzano i documenti di conformità, avviano flussi di lavoro interni e, in alcuni casi, interagiscono direttamente con i sistemi di pagamento.
Nel settore della vendita al dettaglio, un’istruzione iniettata potrebbe semplicemente comportare la divulgazione di un documento. In una banca, quella stessa istruzione iniettata può trasferire denaro, rendere pubblici dati dei clienti soggetti a rigide normative o compromettere una decisione relativa alla conformità alle norme “Know Your Customer” (KYC).
Quando un istituto finanziario è effettivamente esposto al rischio
Il modello di minaccia cambia radicalmente quando si concede a un agente di intelligenza artificiale l'accesso ai sistemi bancari. La tabella sottostante illustra in dettaglio le specifiche aree operative in cui gli istituti sono attualmente esposti a rischi.
| Area operativa | Vettore di attacco | Potenziali ripercussioni sulle attività aziendali |
|---|---|---|
| Operazioni di pagamento | Un assistente con poteri di approvazione o di avvio legge un documento di istruzioni in arrivo contenente del testo nascosto. | L'agente viene indotto con l'inganno a trasferire fondi sul conto di un malintenzionato sfruttando le autorizzazioni dell'operatore umano. |
| Onboarding dei clienti e KYC | A un assistente incaricato di sintetizzare i documenti presentati viene fornito un testo nascosto che gli ordina di omettere o alterare un risultato critico relativo al rischio. | Un cliente ad alto rischio elude i controlli di conformità. Sono già stati segnalati casi di payload progettati per la soppressione dei contenuti. |
| Servizio clienti | Una richiesta di assistenza viene inviata tramite un ticket di assistenza o un messaggio in chat da parte di un cliente. | Il messaggio malevolo esegue comandi utilizzando i privilegi elevati di service desk concessi all'assistente AI. |
| Ricerca interna delle conoscenze | Gli agenti che hanno accesso a documenti relativi alle operazioni, fascicoli di credito o documenti del consiglio di amministrazione aprono un link o un documento dannoso. | L'intelligenza artificiale estrae le informazioni riservate a cui ha accesso e le invia a un server controllato dall'autore dell'attacco. |
| Corrispondenza con i fornitori | I payload nascosti sono incorporati nelle e-mail in arrivo provenienti da soggetti terzi compromessi. | Gli autori degli attacchi sfruttano il canale in entrata con il massimo livello di affidabilità per inviare istruzioni direttamente agli agenti programmati per elaborare le fatture dei fornitori. |
Cosa hanno effettivamente dimostrato i ricercatori nel 2026
Questa minaccia non è più solo teorica. I ricercatori nel campo della sicurezza hanno documentato in modo approfondito il funzionamento di queste vulnerabilità in contesti aziendali reali nel 2026.
I dieci payload di Forcepoint rilevati in ambiente reale (aprile 2026)
Il 23 aprile 2026, i ricercatori di Forcepoint hanno pubblicato i risultati relativi a dieci payload di iniezione indiretta di prompt rilevati in ambiente reale. Tali payload riguardavano la soppressione dei contenuti, il dirottamento dell’attribuzione, l’esecuzione di comandi Unix contro strumenti di sviluppo e il furto di chiavi API. L’aspetto più critico per le banche è che la ricerca ha descritto in dettaglio un payload finalizzato alla frode nei pagamenti, mirato agli agenti di intelligenza artificiale dotati di funzionalità di pagamento integrate. Il payload conteneva istruzioni incorporate per attivare una transazione PayPal fissa di 5.000 dollari. Sewani ha definito questo payload come un’arma destinata all’esecuzione immediata, piuttosto che come un innocuo test di ricerca.
L'attacco Reprompt a Microsoft Copilot (gennaio 2026)
Il 15 gennaio 2026, Varonis ha descritto in dettaglio l’attacco “Reprompt”. Si trattava di una catena di esfiltrazione dei dati con un solo clic che prendeva di mira Microsoft Copilot. L’attacco utilizzava un parametro URL per iniettare istruzioni. All’assistente veniva chiesto di ripetere azioni volte a aggirare i meccanismi di sicurezza, instaurando uno scambio continuo con un server controllato dall’autore dell’attacco per esfiltrare i dati. L’attacco è stato sferrato tramite un link a Copilot dall’aspetto legittimo inviato via e-mail, che richiedeva un solo clic da parte della vittima. Microsoft ha rapidamente corretto la vulnerabilità e, secondo quanto riferito, la versione aziendale di Microsoft 365 Copilot non è stata compromessa, ma il meccanismo ha dimostrato che un agente è pronto a fornire qualsiasi contesto interno a cui possa accedere se indotto con l’inganno.
Il quadro generale
Non si tratta di un problema limitato a un singolo fornitore. Sono stati dimostrati con successo attacchi di tipo “injection” contro strumenti di codifica basati su agenti tramite i commenti nel codice sorgente, e i casi di aggiramento delle protezioni sono ben documentati in diversi modelli principali.
Si tratta di un caso di “Business Email Compromise” con un bersaglio diverso
Lo schema di un attacco di tipo “indirect prompt injection” è funzionalmente identico al Business Email Compromise (BEC). Arriva un’istruzione fraudolenta che sembra del tutto legittima e qualcuno la mette in pratica. La differenza fondamentale è che quel “qualcuno” ora è un software. L’intelligenza artificiale non ha esitazioni, non ha la sensazione che qualcosa non vada e non ha l’istinto di alzare il telefono per verificare una richiesta insolita con il direttore finanziario.
Fortunatamente, i controlli già in atto nelle istituzioni per i trasferimenti BEC affrontano direttamente questo nuovo problema. La verifica fuori banda, l’approvazione da parte di più persone per i pagamenti o le modifiche ai beneficiari e i limiti massimi rigidi su ogni singola azione automatizzata rimangono le vostre migliori difese. Un agente di intelligenza artificiale deve operare all’interno di tali controlli esistenti, mai al di fuori di essi.
Controlli: Riduzione del raggio d'azione dell'esplosione di un agente IA
Gli architetti della sicurezza e i team addetti alla gestione dei rischi devono mettere a punto controlli strutturali relativi agli agenti di intelligenza artificiale. Non è possibile affidarsi esclusivamente ai messaggi di sistema per garantire la sicurezza di una piattaforma finanziaria.
| Principio di controllo | Attuazione pratica | Obiettivo di sicurezza |
|---|---|---|
| Principio del privilegio minimo | Limitare rigorosamente le autorizzazioni relative ai pagamenti, alle spedizioni e alle approvazioni. | Assicurarsi che la maggior parte degli assistenti disponga solo di diritti di lettura, limitando così i danni che potrebbero causare in caso di compromissione. |
| Human-in-the-Loop | Rendere obbligatoria l'approvazione umana per le azioni che comportano conseguenze significative. | Il controllo di sicurezza deve riguardare l'azione stessa. Un pagamento finanziario deve sempre richiedere che una persona clicchi su "Approva". |
| Zero Trust per i contenuti | Considerare tutti i documenti acquisiti (PDF, e-mail, documenti) come input dell'utente non attendibili. | Impedire all'agente di eseguire testo non formattato estratto da file esterni senza prima averlo sottoposto a convalida. |
| Registrazione delle API e degli strumenti | Mantenere registri di controllo rigorosi che riportino esattamente ciò che l'agente ha letto e ciò che ha eseguito. | Garantire una rapida visibilità forense durante le indagini relative alla risposta agli incidenti. |
| Filtraggio rigoroso delle uscite | Blocca le connessioni in uscita verso indirizzi IP sconosciuti o non attendibili. | Bloccare attacchi come la catena Reprompt, che si basano sul raggiungimento di un server controllato dall'autore dell'attacco per sottrarre dati. |
| Flussi di lavoro unificati | Integra gli agenti di intelligenza artificiale nei tuoi attuali sistemi di controllo dei pagamenti. | Impedire la creazione di processi di approvazione paralleli e non verificati che aggirino i controlli di sicurezza esistenti. |
Siate realistici riguardo al rilevamento. Il filtraggio dei documenti in entrata alla ricerca di frasi note che innescano l’iniezione di prompt è solo un ostacolo minore. Gli autori degli attacchi si limiteranno a riformulare i propri payload.
Non puoi cavartela con qualche scusa
Finché un agente di intelligenza artificiale può essere influenzato tramite testo, gli unici controlli efficaci sono quelli strutturali. È necessario limitare fisicamente ciò che l’agente è autorizzato a fare, a quali sistemi può accedere e quali azioni richiedono rigorosamente l’intervento umano. Prompt di sistema più efficaci e misure di protezione da parte dei fornitori aumentano sicuramente il costo di un attacco, ma non eliminano questa classe di vulnerabilità. Per un istituto finanziario soggetto a regolamentazione, questa distinzione rappresenta la differenza tra un controllo che è possibile dimostrare a un revisore e uno di cui si può solo supporre che funzioni.
Cosa stanno segnalando i supervisori
Le autorità di regolamentazione stanno prestando molta attenzione a questo cambiamento. Le linee guida della FINRA del 2026 sui temi chiave dell’intelligenza artificiale e la normativa in materia di rendicontazione di vigilanza hanno specificatamente individuato l’IA agentica come una categoria di rischio di vigilanza distinta. Poiché questi sistemi intraprendono azioni autonome anziché limitarsi a generare testo, le aziende devono mantenere tracce di audit complete e implementare controlli umani prima dell’esecuzione. La FINRA ha inoltre evidenziato i rischi dell’IA ombra e la necessità di trattare le piattaforme di IA di terze parti come fornitori ad alto rischio (come dettagliato in un articolo di approfondimento di Smarsh).
L’OCC ha inoltre segnalato che è in arrivo una guida completa sulla governance dei modelli di IA destinata alle banche. Inoltre, l’FS-ISAC ha pubblicato una serie di white paper sui rischi legati all’IA per il settore finanziario, che trattano la tassonomia dell’IA avversaria e la valutazione dei fornitori. Si noti che tali documenti sono stati pubblicati nel febbraio 2024 e sono precedenti all’ondata degli agenti, ma rimangono utili per una comprensione di base del settore.
I responsabili e gli architetti della sicurezza chiedono, in sostanza, esattamente la stessa cosa: un controllo umano dimostrabile sulle azioni dell’IA che comportano conseguenze significative. Questo allineamento normativo rappresenta l’argomento interno più forte a disposizione di un responsabile della sicurezza per ottenere i finanziamenti necessari alla realizzazione di tali controlli.
Il ruolo dell’autenticazione delle e-mail
È importante chiarire cosa l’autenticazione delle e-mail non è in grado di fare. Il DMARC impostato su p=reject non impedisce l’iniezione di prompt; non esamina il contenuto dei messaggi e non limita le azioni che un agente di intelligenza artificiale è autorizzato a compiere.
Tuttavia, i payload di iniezione che hanno maggiori probabilità di avere successo contro l’assistente IA di una banca sono quelli che sembrano provenire dal direttore finanziario, da una banca corrispondente o da un gestore di pagamenti di fiducia. L’e-mail è il canale principale attraverso cui i contenuti non attendibili raggiungono questi sistemi di IA. La catena Reprompt resa nota è stata trasmessa tramite un link inviato via e-mail. Quando un agente IA elabora la posta senza alcuna supervisione umana, l’autenticità del mittente diventa l’ultimo segnale di fiducia in assoluto nella catena.
Il settore dei servizi finanziari registra alcuni dei tassi di adozione del protocollo DMARC più elevati rispetto a qualsiasi altro settore, ma, purtroppo, anche uno dei livelli di applicazione più bassi. Se si integra l’intelligenza artificiale in una casella di posta, l’applicazione di rigorose misure di autenticazione delle e-mail non è più facoltativa. Per ulteriori approfondimenti sulla protezione di questo vettore, consulta la nostra ricerca sul phishing nei servizi finanziari e sull’implementazione del protocollo DMARC da parte delle istituzioni finanziarie.
Conclusione
Negli ultimi dieci anni, l’anello più debole nella sicurezza delle e-mail finanziarie era rappresentato dal dipendente che cliccava su un link dannoso. Oggi le istituzioni hanno affidato quella stessa casella di posta a un software che legge tutto, non mette in discussione nulla e dispone di autorizzazioni di sistema effettive. I primi payload scritti appositamente per sfruttare tali agenti automatizzati sono già in circolazione.
La soluzione richiede un approccio a più livelli. È necessario limitare ciò che gli agenti di intelligenza artificiale sono fisicamente autorizzati a fare, coinvolgere gli esseri umani nelle decisioni relative alle azioni con conseguenze significative, integrare tali agenti nei controlli di pagamento esistenti e sottoporre a rigorosa autenticazione tutti i dati che giungono a loro.
Verificate lo stato di sicurezza del vostro dominio con il nostro strumento di verifica dei record DMARC oppure visitate la nostra pagina dedicata alle soluzioni per i servizi finanziari per saperne di più su come proteggere i vostri canali in entrata.
Domande frequenti
In parole semplici, cos’è l’iniezione di prompt?
Si tratta di un attacco informatico in cui un hacker nasconde istruzioni segrete all'interno di un documento o di un'e-mail. Quando un assistente basato sull'intelligenza artificiale legge quel file, esegue inconsapevolmente i comandi nascosti.
È possibile che un comando rapido consenta a un assistente AI di effettuare un bonifico?
Sì. Se a un agente di intelligenza artificiale è stato concesso l’accesso ai sistemi di pagamento e non sono previsti controlli di approvazione con intervento umano, un’istruzione nascosta può costringerlo a effettuare trasferimenti non autorizzati.
L'iniezione di prompt è stata utilizzata in attacchi reali?
Sì. Nell'aprile 2026, i ricercatori hanno documentato dieci diversi payload di tipo “prompt injection” indiretta in circolazione, tra cui uno progettato specificatamente per eseguire una transazione PayPal da 5.000 dollari.
In che modo l’“injection” istantanea si differenzia dal “business email compromise”?
Lo schema dell'attacco è simile, ma la vittima è diversa. Anziché indurre con l'inganno un dipendente umano a effettuare un bonifico, l'autore dell'attacco inganna un agente software automatizzato basato sull'intelligenza artificiale che esegue la richiesta immediatamente.
Quali misure di controllo dovrebbe adottare una banca nei confronti di un agente basato sull’intelligenza artificiale?
Le banche devono applicare il principio del privilegio minimo, richiedere l'approvazione umana per tutte le azioni che comportano conseguenze significative, implementare un rigoroso filtraggio delle uscite dalla rete e registrare ogni chiamata API effettuata dall'agente.
Il DMARC o l'autenticazione delle e-mail impediscono l'iniezione di prompt?
No, DMARC non è in grado di analizzare il contenuto di un’e-mail alla ricerca di messaggi nascosti. Tuttavia, impedisce fin dall’inizio che le e-mail contraffatte raggiungano l’IA, eliminando così uno dei principali vettori di attacco.
Specialista dei contenuti presso PowerDMARC
Milena è un'abile scrittrice e creatrice di contenuti con oltre 7 anni di esperienza nella creazione di contenuti coinvolgenti su IT, cybersicurezza, eventi virtuali e altro. Ha una comprovata esperienza nella realizzazione di lavori di alta qualità per riviste internazionali e si è laureata in istituzioni prestigiose come la New York University Abu Dhabi, l'UWC China e il College of Europe.
Ultimi messaggi di Milena Baghdasaryan (vedi tutti)
- Il nuovo metodo con cui gli hacker ingannano gli assistenti finanziari basati sull’intelligenza artificiale - 7 settembre 2026
- Migliori pratiche di sicurezza DNS: una checklist completa per il rafforzamento della sicurezza - 7 settembre 2026
- SPF dinamico, SPF automatico o SPF ospitato: quale di questi risolve effettivamente il problema del tuo record SPF? - 25 agosto 2026
