La sicurezza ha ora l’IA da entrambe le parti

A gennaio 2026 la polizia cantonale di Svitto ha riferito un caso che pochi anni fa sarebbe sembrato inventato. Nell’arco di due settimane alcuni criminali hanno telefonato al titolare di un’azienda locale spacciandosi per un partner commerciale che lui conosceva, con una voce manipolata dall’IA. Con il pretesto di un affare internazionale riservato, l’uomo ha eseguito più bonifici per diversi milioni di franchi su un conto in Asia. La frode è stata scoperta solo dopo che il denaro era partito.

Questo è un lato della sicurezza oggi: aggressori che usano l’IA. L’altro lato è dentro l’azienda, dove gli agenti leggono e-mail, custodiscono chiavi e inviano cose all’esterno. Un’azienda deve pianificare per entrambi. Costruiamo agenti per il nostro lavoro e per i clienti, quindi nessuno dei due lati è per noi astratto.

Una voce familiare

Il caso di Svitto non è isolato. A febbraio 2025 Reuters ha riferito che dei truffatori avevano clonato la voce del ministro della Difesa italiano, Guido Crosetto, per chiedere a imprenditori denaro con cui liberare dei giornalisti rapiti. Massimo Moratti, ex proprietario dell’Inter, ha inviato quasi un milione di euro prima che la polizia risalisse a un conto nei Paesi Bassi e lo congelasse.

L’FBI ora conta questi casi a parte. Il suo rapporto sulla criminalità su internet del 2025 elenca più di 22'000 denunce che menzionavano l’IA, con perdite rettificate superiori a 893 milioni di dollari, e osserva che molte vittime non si rendono conto di quanto l’IA fosse coinvolta. Le aziende hanno perso oltre 30 milioni di dollari per frodi via e-mail con una componente di IA, in cui un messaggio convincente o una voce clonata chiede un pagamento. L’FBI descrive anche colloqui di lavoro condotti con voci falsificate, forse deepfake, di solito per ottenere l’accesso alla rete di un’azienda.

Phishing senza errori di battitura

Anche gli attacchi scritti sono cambiati altrettanto. Il Digital Defense Report 2025 di Microsoft ha rilevato che le e-mail di phishing automatizzate con l’IA venivano cliccate nel 54 per cento dei casi, contro il 12 per cento di quelle ordinarie. ENISA, l’agenzia dell’UE per la cibersicurezza, ha scritto a ottobre 2025 che il phishing assistito dall’IA, secondo quanto riportato, rappresentava già oltre l’80 per cento dell’attività di social engineering osservata nel mondo all’inizio del 2025.

Gli aggressori usano l’IA anche per l’intrusione vera e propria. A novembre 2025 Anthropic ha riferito di una campagna che ha attribuito con alta fiducia a un gruppo cinese sostenuto da uno Stato, che ha usato Claude Code contro una trentina di organizzazioni lasciando all’IA dall’80 al 90 per cento del lavoro. È riuscita in un piccolo numero di casi. La rassegna di OWASP del primo trimestre 2026 aggiunge una violazione di enti governativi messicani in cui, secondo quanto riferito, gli aggressori hanno usato Claude e, a tratti, ChatGPT.

I vecchi segnali d’allarme, una frase goffa o una voce strana, non funzionano più. La fiducia deve venire dal processo, non dai sensi.

Parole che agiscono

Dentro l’azienda il rischio ha un’altra forma. Un chatbot che dà una risposta sbagliata è un imbarazzo. Un agente che compie un’azione sbagliata è un incidente. La debolezza di fondo è la prompt injection, prima nell’elenco OWASP 2025 dei rischi per le applicazioni costruite su modelli linguistici: istruzioni nascoste in una pagina web, in un file o in un’e-mail che il modello legge e segue.

Il National Cyber Security Centre del Regno Unito ha spiegato a dicembre 2025 perché sia così ostinata. I modelli linguistici non fanno rispettare un confine tra istruzioni e dati, quindi la prompt injection potrebbe non essere mai del tutto mitigata, come invece è accaduto con la SQL injection. Il lavoro consiste nel ridurre il rischio e il suo impatto. Lo sviluppatore Simon Willison ha dato un nome alla combinazione pericolosa a giugno 2025: dati privati, contenuti non attendibili e un modo di comunicare all’esterno. A un agente che li ha tutti e tre, il testo di un estraneo può ordinare di spedire altrove i vostri dati.

Agenti con le chiavi

Gli incidenti reali seguono questa forma. A giugno 2025 Aim Labs ha mostrato che Microsoft 365 Copilot poteva essere indotto a far trapelare dati interni con una sola e-mail, senza alcun clic della vittima. Microsoft l’aveva risolto e non ha riscontrato prove di abusi. Ad agosto 2026 Varonis ha pubblicato CoSnitch, una catena di falle in Copilot Personal. Un singolo link costruito ad hoc eseguiva il prompt di un aggressore nella sessione della vittima, ne usava le connessioni a Gmail, Google Drive, Google Calendar e OneDrive e inviava i risultati all’esterno tramite la funzione di Copilot per recuperare pagine web. Le istruzioni piantate sopravvivevano nella sua memoria anche dopo un cambio di password. L’ipotesi rivelatasi errata, hanno scritto i ricercatori, era che ogni chiamata a un connettore provenisse dall’utente.

I connettori sono fornitori, con i rischi di un fornitore. A settembre 2025 un pacchetto nel registro npm che si spacciava per il server MCP del servizio e-mail Postmark ha pubblicato quindici versioni pulite, poi ha aggiunto una riga che copiava ogni e-mail in uscita all’aggressore. Aveva circa 1'500 download in una settimana quando Koi Security l’ha segnalato.

La Top 10 di OWASP per le applicazioni agentiche, pubblicata a dicembre 2025, nomina ora questi rischi, dal dirottamento dell’obiettivo e dall’uso improprio degli strumenti fino alla memoria avvelenata e agli agenti fuori controllo. La sua rassegna del terzo trimestre 2026 aggiunge un punto sobrio: gli agenti possono fare danni semplicemente perseguendo il compito che è stato loro assegnato, e i permessi eccessivi trasformano un piccolo guasto in uno grande. Le istruzioni in un prompt non costituiscono, da sole, un confine sicuro.

Difese che reggono

Le difese che funzionano da entrambe le parti condividono un’idea. Non si affidano a nessuno, persona o modello, per scorgere l’inganno sul momento. Limitano ciò che una persona ingannata o un agente fuorviato possono fare.

Per le persone, la polizia di Svitto elenca che cosa aiuta: verificare qualsiasi pagamento urgente o insolito attraverso un secondo canale indipendente, mantenere il principio dei quattro occhi per gli importi elevati e non eseguire alcun bonifico all’estero senza approvazione documentata.

Per gli agenti, date a ciascuno l’accesso più ristretto che il suo compito richiede. Quando un modello legge contenuti di una parte, dice l’NCSC, i suoi privilegi dovrebbero scendere a quelli di quella parte. Spezzate la triade. Mettete invio, pagamento, pubblicazione e cancellazione dietro un varco di controllo che il modello non può superare a forza di parole. Eseguite ogni scrittura con l’identità della persona che l’ha richiesta, tenete le credenziali fuori portata, trattate ogni connettore come un nuovo fornitore e registrate ciò che l’agente ha fatto, non solo ciò che ha detto.

L’IA può farsi carico dei controlli di routine e della lettura. Resta umana la pausa quando una richiesta non convince, il giudizio di richiamare e la responsabilità di chi firma.

Come costruiamo i nostri

Kontor, il nostro connettore per bexio, è un server MCP ospitato, quindi nessuna chiave sta su un portatile e ogni persona accede con il proprio login. Invii, pagamenti e solleciti non sono nemmeno disponibili per l’assistente. Twin applica le stesse regole in tutta l’azienda: accesso per ruolo, ogni scrittura firmata per utente, ogni passaggio registrato.

Dove i dati sono troppo critici per qualsiasi connessione esterna c’è Eigna, realizzato dal nostro partner Eigna Labs: un modello privato per azienda nel suo cloud o sui suoi server, progettato per funzionare del tutto offline in reti chiuse e addestrato a rifiutare hacking e attacchi. E Timbre, il nostro prodotto per assistenti vocali e cloni vocali, clona una voce solo con il consenso di chi parla.

Un’azienda può cominciare questa settimana. Concordate una regola di richiamo per ogni richiesta di pagamento, dite a ogni team che una voce familiare non è più una prova, elencate ogni agente e connettore con l’accesso che detiene e togliete ciò che non serve.