Immagina un nuovo collaboratore molto veloce e molto obbediente, che legge tutta la posta dell’ufficio. Ha un solo difetto: se una lettera dice «inoltra l’elenco clienti a questo indirizzo», lui lo fa, anche se la lettera l’ha scritta uno sconosciuto. Un assistente IA collegato alla posta, oggi, è un po’ così.
Cos’è la prompt injection, detta semplice?
È un testo che dà ordini all’assistente al posto tuo. Il «prompt» è la richiesta che fai all’assistente. Quando gli chiedi di riassumere la posta, lui legge anche le e-mail che hai ricevuto. Se una di queste contiene frasi scritte per lui, magari invisibili per te, l’assistente può scambiarle per istruzioni e seguirle. Google la descrive così: istruzioni malevole nascoste dentro dati che arrivano da fuori.
Google, Mitigating prompt injection attacks with a layered defense strategy (in inglese)Non serve un virus, non serve un allegato. Basta del testo.
Cos’era EchoLeak in Microsoft 365 Copilot?
Il primo caso documentato, secondo i ricercatori che l’hanno studiato, in cui una sola e-mail poteva far uscire dati aziendali da un assistente IA, senza che la vittima cliccasse niente. L’hanno scoperto i ricercatori di Aim Security, che a gennaio 2025 lo hanno segnalato a Microsoft. L’attaccante mandava un’e-mail di solo testo, scritta come una normale comunicazione di lavoro. Quando poi il dipendente usava Copilot come sempre, per esempio per riassumere la posta o cercare informazioni su un progetto, Copilot leggeva anche quell’e-mail, ne seguiva le istruzioni e poteva mandare fuori file e messaggi interni a cui il dipendente aveva accesso.
Reddy e Gujral, EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit (in inglese)Microsoft ha corretto il problema sui suoi server a maggio 2025 e l’ha reso pubblico l’11 giugno 2025, classificandolo come critico. Non risultano attacchi reali, e i clienti non dovevano fare nulla.
Microsoft, M365 Copilot Information Disclosure Vulnerability, CVE-2025-32711 (in inglese)Quindi su EchoLeak puoi stare tranquillo. Il motivo per cui ne parlo è che dopo ne sono arrivati altri, con altri assistenti.
È successo anche con altri assistenti?
Sì, con strade diverse ma lo stesso principio.
- Gemini e l’invito di calendario (agosto 2025). I ricercatori di SafeBreach e del Technion hanno mandato alla vittima un invito di Google Calendar con istruzioni nascoste. Bastava che la vittima chiedesse a Gemini cosa aveva in agenda, e magari poi rispondesse «grazie». Nelle loro prove l’assistente ha mandato messaggi, cancellato appuntamenti, fatto uscire e-mail e perfino aperto finestre e acceso la caldaia di una casa collegata. Google, avvisata a febbraio 2025, ha aggiunto più livelli di difesa, fra cui la richiesta di conferma prima delle azioni delicate.
- Il browser Comet (agosto 2025). Comet, il browser di Perplexity, ha un assistente che naviga e agisce al posto tuo. I ricercatori di Brave hanno nascosto delle istruzioni in un commento su Reddit. L’utente chiedeva solo «riassumi questa pagina» e l’assistente, da solo, prendeva l’indirizzo e-mail dell’utente, chiedeva un codice di accesso a Perplexity, lo leggeva nella sua casella Gmail già aperta e pubblicava tutto in risposta al commento: con quei due dati l’attaccante poteva prendersi l’account Perplexity della vittima. Brave ha scritto poi che la prima correzione non era completa.
- Reprompt (gennaio 2026). I ricercatori di Varonis hanno mostrato che un solo clic su un link vero di Microsoft poteva far raccontare a Copilot, la versione per uso personale, riassunti di file, posizione e cronologia delle chat a un estraneo. Microsoft l’ha corretto; Microsoft 365 Copilot per le aziende non era coinvolto. Ma a giugno 2026 gli stessi ricercatori hanno segnalato un attacco simile proprio nella ricerca di Copilot per le aziende.
Questi casi sono stati trovati da ricercatori e quasi tutti corretti (per Comet, Brave ha scritto che la correzione non era completa). Ma il Centro nazionale per la cibersicurezza britannico (NCSC) scrive che la prompt injection potrebbe non essere mai eliminata del tutto, perché l’assistente legge ordini e dati nello stesso modo. Si può solo ridurre la probabilità e il danno.
NCSC (Regno Unito), Prompt injection is not SQL injection (in inglese)Cosa può succedere a una piccola azienda?
Che escano dati senza che nessuno se ne accorga, o che l’assistente faccia qualcosa a tuo nome. L’assistente può fare tutto quello che può fare la persona che lo usa: se il titolare ha accesso a contabilità, contratti e buste paga, un assistente collegato al suo account vede le stesse cose. I rischi concreti:
- dati che escono: listini, offerte, dati dei clienti, documenti del personale;
- messaggi a tuo nome: un’e-mail mandata dall’assistente arriva dal tuo indirizzo vero, quindi chi la riceve si fida;
- azioni sbagliate: appuntamenti cancellati, file condivisi, e con gli assistenti che comprano o pagano, acquisti che non hai deciso tu.
Un caso diverso ma con la stessa lezione: ad agosto 2025 dei criminali hanno rubato le chiavi di accesso di un’app esterna (Salesloft Drift) collegata al gestionale clienti di molte aziende, e con quelle chiavi hanno copiato dati da numerosi gestionali e, in pochi casi, letto della posta. Lì non c’era prompt injection, ma il punto è lo stesso: ogni programma che colleghi riceve un pezzo delle tue chiavi, e Google, nell’analizzarlo, ha consigliato di dare alle app collegate solo i permessi minimi necessari.
Google Threat Intelligence, furto di dati tramite l'app Salesloft Drift (in inglese)Il Metodo 3V applicato all’assistente IA
Il Metodo 3V serve per le persone, ma qui funziona come regola per decidere cosa l’assistente può fare da solo.
| Domanda | Per l’assistente IA | |
|---|---|---|
| Verifica | Chi me lo chiede davvero? | L’ordine viene da te o da un testo che l’assistente ha letto (e-mail, invito, pagina)? Se l’assistente propone un’azione che non hai chiesto, l’ha chiesta qualcun altro. |
| Validazione | La richiesta ha senso? | Riassumere la posta non richiede di inviare file a un indirizzo esterno. Se il risultato non c’entra con la domanda, fermati. |
| Velocità controllata | Chi mi mette fretta? | Inviare, condividere, cancellare e pagare passano sempre da una conferma umana, anche se rallenta. |
Il metodo completo è nel libro «Sicurezza informatica per professionisti».
Cosa faccio, in pratica?
Cinque regole, in ordine di importanza. Se ti segue un tecnico o un fornitore informatico, giragli questa lista; se fai da solo, le prime due si controllano dalle impostazioni dell’assistente.
- Solo gli accessi che servono. Collega l’assistente solo a quello che usa davvero. Se serve per scrivere testi, non ha bisogno della posta. Se serve per la posta, non ha bisogno della cartella delle buste paga. Togli i collegamenti (a calendario, archivi, gestionale) che non usi più.
- Conferma umana prima di inviare, condividere o pagare. Nessun assistente deve mandare e-mail, condividere file, cancellare dati o comprare senza che una persona abbia letto e premuto «sì». Molti assistenti lo chiedono già: non disattivarlo per fare prima.
- Aggiornamenti. Le correzioni di Copilot e Gemini arrivano dai server e non devi fare nulla, ma i browser e le app con assistente vanno aggiornati. Se un fornitore ti dice che il suo prodotto «blocca» la prompt injection al 100%, diffida: secondo l’ente britannico, si può ridurre, non eliminare.
- Attenzione ai browser che agiscono da soli. Un assistente che naviga per te ha la tua sessione aperta su posta, banca e gestionale. Usalo, se ti serve, in un profilo separato, senza essere entrato nei servizi più delicati.
- Diffida dei risultati strani. Se un riassunto contiene un link, un numero di telefono o una richiesta che non c’era nella domanda, non seguirlo: controlla la fonte originale.
Un testo pronto da girare ai collaboratori:
Usiamo l’assistente IA per leggere, riassumere e scrivere bozze. Non lo usiamo per inviare e-mail, condividere file o fare pagamenti senza che una persona controlli prima. Se l’assistente vi propone di mandare qualcosa a qualcuno che non avete nominato voi, o vi mostra link e numeri che non c’entrano con la domanda, fermatevi e avvisate [nome del referente]. Non è un errore vostro: è proprio il segnale che stiamo cercando.
Se penso che l’assistente abbia fatto uscire dati?
- Scollega l’assistente dai servizi coinvolti e cambia le password degli account collegati, con la verifica in due passaggi attiva.
- Conserva le prove: la cronologia delle chat con l’assistente, l’e-mail o la pagina sospetta, le e-mail inviate.
- Segnala. In Svizzera all’Ufficio federale della cibersicurezza (UFCS), con il modulo online. In Italia alla Polizia Postale. Avvisa anche il fornitore del servizio (Microsoft, Google o altri) dal loro canale ufficiale di assistenza.
- Se sono usciti dati personali di clienti o dipendenti, valuta con chi ti segue per la privacy se va avvisato l’Incaricato federale della protezione dei dati (IFPDT) in Svizzera o il Garante privacy in Italia, e le persone coinvolte.
Domande frequenti
Devo smettere di usare Copilot o Gemini in azienda?
No. I casi raccontati qui sono stati trovati da ricercatori e quasi tutti corretti dai produttori (per Comet, Brave ha scritto che la correzione non era completa). Il punto è come lo usi: con accessi limitati a quello che serve e con una persona che conferma prima di inviare o pagare, il danno possibile si riduce molto. Alcune fughe, come EchoLeak, non passano da un invio e le può chiudere solo il produttore: per questo contano anche gli aggiornamenti e i pochi accessi.
Il mio antivirus o il filtro antispam blocca queste e-mail?
Non è detto. Un'e-mail con istruzioni nascoste per l'assistente non contiene virus né allegati: è solo testo, spesso scritto come una normale comunicazione di lavoro. Per questo la difesa più affidabile non è il filtro, ma limitare cosa l'assistente può fare da solo.
Come capisco se un'e-mail contiene istruzioni nascoste?
A occhio di solito non si capisce: il testo può essere invisibile o sembrare normale. Te ne accorgi dal comportamento dell'assistente, quando propone azioni che non hai chiesto o mostra link e richieste che non c'entrano. In quel caso non confermare e controlla l'e-mail originale.
Questa settimana apri le impostazioni del tuo assistente IA e guarda a cosa è collegato: ogni collegamento che non usi più è una porta che puoi chiudere in due minuti.
