Agenti IA: la nuova superficie d'attacco invisibile — memoria persistente, profilazione HUMINT e supply chain silente

L'autunno 2026 segna un punto di svolta nella letteratura accademica sulla sicurezza dell'intelligenza artificiale. Non si tratta più di proteggere i dati di addestramento o di difendere i modelli da attacchi avversari classici: la frontiera si è spostata sugli agenti IA — sistemi autonomi che agiscono per conto dell'utente, mantengono memoria persistente, interagiscono con email e applicazioni, e vengono serviti da infrastrutture cloud che ne controllano l'architettura di esecuzione. Dieci paper apparsi su arXiv nella sola giornata del 22 ottobre tracciano una mappa coerente di vulnerabilità che i framework di sicurezza attuali — pensati per modelli statici o per il perimetro IT/OT — faticano a coprire.

La posta in gioco non è teorica. Secondo il benchmark AgentPhishing, quattro agenti email su nove mostrano tassi di compliance a richieste malevole superiori al 45% quando sottoposti a email persuasive ottimizzate contro il loro stesso comportamento (AgentPhishing: A Benchmark of LLM Email Agents Under Adaptive Attack). Parallelamente, un framework LLM-augmented battezzato Social-HUMINT dimostra che la profilazione automatica da dati pubblici raggiunge F1 97,3% nell'estrazione e 4,73/5 nell'inferenza di attributi sensibili, abilitando attacchi di ingegneria sociale su scala industriale (Social-HUMINT: An LLM-Augmented Unified Framework for Measuring Social Media Exposure). Non sono scenari futuri: sono capacità operative oggi.

La memoria che non dimentica: persistenza post-cancellazione e inference attacks

Il paradigma "cancella e oblia" crolla di fronte all'architettura a memoria esterna degli agenti moderni. AfterDeleteBench introduce un audit comportamentale controllato: si espone un agente a un segreto, lo si cancella, e si verifica se l'agente — confrontato con un gemello mai esposto — riesce a recuperarlo. Su Qwen2.5-7B-Instruct un'unica query recupera il segreto in circa due terzi dei casi; quando il segreto è assente ma i suoi componenti restano in memoria sotto regole di composizione pubblica, la ricostruzione esatta sale al 62-99% su Qwen, Mistral e Phi-3 (AfterDeleteBench: Auditing Post-Deletion Information Persistence in LLM Agents). L'interfaccia di risposta stessa diventa parte del sistema di misura: formati e parser disallineati mascherano o rivelano il recupero.

A monte, il rischio di membership inference si estende alla self-distillation on-policy, tecnica sempre più usata per allineare modelli senza teacher esterni. OP-Print dimostra che l'impronta di supervisione — sparsa e concentrata sui siti di correzione sensibili all'incertezza — permette attacchi gray-box (aggregando residui teacher-student lungo lo stesso rollout) e black-box (misurando stabilità restart-based come surrogato osservabile) che portano tutti i baseline al caso casuale, mentre OP-Print resta efficace in entrambi i modelli di minaccia (OP-Print: Tracing Membership Imprints in On-Policy Self-Distillation). La lezione è chiara: l'ottimizzazione dell'efficienza (self-distillation, memoria esterna, early exit) crea side channel informativi che la crittografia classica non copre.

Profilazione su scala industriale: quando gli LLM diventano armi HUMINT

Social-HUMINT unifica SOCMINT e Cyber-HUMINT in una tassonomia di 38 capacità validate da esperti (Fleiss κ = 0,92) e la rende operativa come pipeline multi-agente: estrazione → inferenza → valutazione di suscettibilità. La pipeline predice come un bersaglio classificherebbe opzioni di ingaggio personalizzate, facendo corrispondere le scelte reali "significativamente sopra il caso". È la personalizzazione il vettore: non cosa l'utente pubblica, ma cosa se ne può inferire. A costi trascurabili, l'estrazione supera rule-based e NER-based, e gli attributi inferiti — mai dichiarati — diventano leve per spear phishing, pretexting o business email compromise mirati (Social-HUMINT: An LLM-Augmented Unified Framework for Measuring Social Media Exposure).

Il framework non sostituisce l'analista: ne aumenta il tradecraft. Ma per le organizzazioni italiane — PMI, PA, fornitori critici — implica che la superficie d'attacco umana è ora mappabile, quantificabile e scalabile. La difesa non può più basarsi su awareness generico: serve threat modeling per persona, monitoraggio di anomalie comportamentali su canali di comunicazione, e red teaming che includa profilazione LLM-driven.

Phishing adattivo: il benchmark che svela la fragilità degli agenti email

I dataset di phishing storici testano detection su email statiche. AgentPhishing cambia la domanda: un agente email cede a una richiesta malevola persuasiva? PhishOpt ottimizza skill di generazione email contro singoli agenti sotto vincoli di realismo, sfruttando i sei principi di Cialdini (autorità, urgenza, reciprocità, coerenza, simpatia, consenso) per identificare strategie correlate al fallimento. Risultato: agenti sicuri su dataset classici crollano sotto attacco adattivo. Quattro su nove hanno detection rate <10% e compliance rate >45% (AgentPhishing: A Benchmark of LLM Email Agents Under Adaptive Attack).

La costruzione di una universal generation skill dai pattern vincenti conferma che la vulnerabilità è sistemica, non accidentale. Per le imprese che delegano agli agenti la gestione della posta, ticketing, approvazioni: il perimetro di fiducia si sposta dal gateway email al processo decisionale dell'agente. Serve agent-aware email security: sandboxing delle azioni agentiche, human-in-the-loop su transazioni sensibili, logging immutabile di prompt → tool call → outcome.

Supply chain silente: manipolazione dell'architettura nei modelli multi-exit

La più insidiosa delle scoperte riguarda l'infrastruttura di serving. Weaponizing the Exit mostra che un Cloud Service Provider malevolo può inferire proprietà sensibili degli input utente solo dalla latenza di inferenza, senza accedere a input, stati intermedi o output. Il vettore: reti multi-exit (architetture che permettono uscita anticipata per efficienza). Il CSP, controllando la supply chain del modello, fornisce una rete manipolata dove input con una proprietà target (es. presenza di dato medico, codice fiscale, intento malevolo) vengono instradati a un exit designato con alta probabilità. Alla serving time, la latenza per query rivela l'exit index → la proprietà target. F1 medio 0,73 vs 0,25 del baseline più forte; accuracy drop <1,3%; speedup degradation <0,1 (Weaponizing the Exit: Input Privacy Leakage via Exit Routing Manipulation in Multi-Exit Networks).

La contromisura proposta — selective label smoothing + entropy-covariance optimization — riduce la terminazione prematura e controlla le distribuzioni di confidenza tra gli exit. Ma il punto architetturale rimane: chi controlla il modello controlla i side channel. Per le organizzazioni italiane che adottano model-as-a-service o inference-as-a-service, l'audit deve estendersi all'architettura di esecuzione, non solo ai pesi. Attestation del grafo di calcolo, reproducible builds, confidential computing (TEE/SEV) per l'inferenza diventano requisiti non negoziabili per dati sensibili.

Implicazioni per le imprese italiane: governance, audit e difesa in profondità

Il quadro che emerge richiede un cambio di paradigma nella security posture:

1. Agent Inventory & Classification: censire tutti gli agenti IA in produzione (email, coding, analisi, customer support), classificarli per data sensitivity, action authority, memory persistence.
2. Behavioral Deletion Audit: adottare metodologie stile AfterDeleteBench per verificare che la cancellazione dati si propaghi a summary, embedding, tool call history, vector store. Richiedere ai vendor provenance-aware closure e exact-literal write filter come baseline contrattuale (AfterDeleteBench: Auditing Post-Deletion Information Persistence in LLM Agents).
3. Membership Inference Testing: per modelli distillati o fine-tuned su dati proprietari, integrare OP-Print nel model card e nel release gate (OP-Print: Tracing Membership Imprints in On-Policy Self-Distillation).
4. Human Attack Surface Quantification: pilotare Social-HUMINT su dipendenti chiave (C-level, IT admin, finance, HR) per misurare exposure score e prioritizzare hardening comportamentale e tecnico (Social-HUMINT: An LLM-Augmented Unified Framework for Measuring Social Media Exposure).
5. Adaptive Phishing Red Teaming: spostare i test phishing da static detection a agent compliance usando benchmark AgentPhishing/PhishOpt come riferimento (AgentPhishing: A Benchmark of LLM Email Agents Under Adaptive Attack).
6. Model Supply Chain Attestation: per ogni modello servito da terze parti, richiedere SBOM architetturale (inclusi exit branch, routing logic, quantization), reproducible build evidence, confidential inference option. Trattare l'architettura multi-exit come critical component soggetta a change control (Weaponizing the Exit: Input Privacy Leakage via Exit Routing Manipulation in Multi-Exit Networks).
7. Differential Privacy & Graph Audit: se l'organizzazione rilascia grafi (supply chain, network topology, knowledge graph), adottare il toolkit di audit DP per grafi — canary construction e witness statistic selection — per verificare le garanzie dei vendor prima del rilascio (Practical Auditing of Differentially Private Graph Release Mechanisms).
8. Federated Learning Governance: per progetti FL (es. fraud detection cross-banca, sanità federata), valutare eFDPC con shuffler-based anonymization per ridurre round e garantire unlinkability (Evolving Federated Density Peak Clustering with Shuffler-Based Anonymization).

La convergenza è netta: l'agente IA è il nuovo endpoint. Non ha perimetro fisso, impara continuamente, delega azioni, memorizza in forme opache, gira su hardware altrui. La sicurezza 2026-2027 non si gioca sul firewall, né sul SIEM classico, né solo sul model scanning. Si gioca su audit comportamentale continuo, supply chain attestation, human threat modeling quantitativo, e architetture che minimizzano i side channel per design. Le fonti accademiche di questa settimana non sono paper: sono early warning per chi deve decidere dove investire il prossimo euro di cyber budget.