Libreria open-source di formazione interattiva sulla sicurezza informatica con oltre 130 esercizi SCORM che coprono phishing, vishing, BEC, MFA fatigue e scenari OWASP AI/LLM per la distribuzione su LMS.
Oltre 130 esercizi gratuiti e open source di formazione sulla sicurezza informatica per i dipendenti — moduli SCORM pratici e interattivi che coprono formazione sulla consapevolezza del phishing, GDPR, sicurezza dell'IA e altro ancora. Realizzato per chi vuole ricordare ciò che impara e condividerlo con gli altri.
👥 Parla con i fondatori | 🔗 Esplora la libreria completa | 🎮 Prova una demo live di phishing
La maggior parte della formazione sulla sicurezza informatica è dimenticabile: noiose presentazioni di slide, video senz'anima e, ultimamente, materiali generati dall'IA che allontanano le persone. Il problema non è il contenuto in sé — è il formato, perché l'apprendimento passivo non crea abitudini. Le persone guardano un video di 10 minuti, cliccano su "Completa" e non ricordano nulla quando conta.
Questa libreria gratuita e open source di formazione sulla sicurezza informatica adotta un approccio diverso.
Ogni esercizio ti immerge in un ambiente d'ufficio 3D interattivo in cui affronti incidenti realistici in prima persona. Interagisci con oggetti reali — un telefono, un PC con un sistema operativo live (browser, terminale, Zoom), un flipchart — e prendi decisioni sotto pressione, proprio come faresti alla tua scrivania.
Gli scenari includono ad esempio:
L'obiettivo è costruire memoria muscolare, così che quando qualcosa di brutto sta per accadere sul lavoro, le persone ricordino di averlo già affrontato — e reagiscano di conseguenza. Ogni esercizio si conclude con un quiz con soglia di superamento al 100% per confermare che la conoscenza sia stata assimilata.
Ogni esercizio è un file SCORM .zip — pronto per essere importato in qualsiasi LMS, integrato nella tua pipeline di formazione esistente o testato su SCORM Cloud prima del lancio. Questo lo rende una delle opzioni di formazione gratuita sulla sicurezza informatica più semplici da distribuire all'interno di un'intera forza lavoro.
La radice del repository contiene pacchetti di corsi completi. La cartella Individual Exercises contiene esercizi autonomi se vuoi costruire un curriculum personalizzato.
Il contenuto è completamente white label — nessun logo, nessun backlink, nessuna condizione. Usalo come preferisci; ne parleremo più avanti.
Sei libero di utilizzare, incorporare e insegnare con questo contenuto — a livello personale, professionale o commerciale in workshop. È vietato ridistribuire o rivendere il contenuto come prodotto autonomo.
Questa libreria open source di formazione sulla sicurezza informatica è concessa in licenza CC BY-NC 4.0. Uso e condivisione gratuiti con attribuzione. È vietata la rivendita commerciale del contenuto.
Offriamo anche un LMS cloud di livello enterprise con tutto il contenuto di formazione sulla sicurezza informatica incluso. Quindi, se desideri ottenere la formazione senza il fastidio di installare o gestire il tuo LMS, scrivici. Le funzionalità dell'LMS includono, ma non sono limitate a:
L'LMS è multi-tenant per progettazione, pensato per fornire formazione sulla sicurezza informatica a un intero portafoglio clienti da un unico posto:
Se sei interessato, non esitare a contattarci
Dirottamento degli Obiettivi dell'Agente IA — Impedisci a un agente IA autonomo di essere reindirizzato da un'email avvelenata contenente istruzioni nascoste, individuando le istruzioni nascoste incorporate nei dati in arrivo che reindirizzano gli obiettivi dell'agente, tracciando come un agente con obiettivi dirottati passa da attività legittime all'esfiltrazione di dati e applicando strategie di validazione degli input che impediscono agli agenti di trattare i dati come istruzioni.
Sfruttamento degli Strumenti dell'Agente IA — Impedisci che un agente IA venga manipolato per usare i suoi strumenti legittimi al fine di eliminare file e inviare messaggi non autorizzati, identificando come prompt ambigui portino gli agenti a un uso improprio dell'accesso legittimo agli strumenti, tracciando le chiamate distruttive agli strumenti innescate da parametri di input manipolati e applicando policy di accesso con privilegi minimi per contenere lo sfruttamento degli strumenti da parte degli agenti.
Abuso di Identità e Privilegi dell'Agente — Impedisci a un agente IA di riutilizzare credenziali ereditate con privilegi elevati per accedere a sistemi oltre il suo ambito autorizzato, tracciando come gli agenti ereditano e propagano le credenziali utente in diversi contesti di sistema, individuando le vulnerabilità del confused deputy in cui il privilegio dell'agente supera l'ambito previsto e applicando la delega delle credenziali con ambito limitato per prevenire l'escalation dei privilegi tra contesti.
Attacco alla Supply Chain dell'IA Agentica — Indaga su un plugin IA di terze parti con backdoor che modifica silenziosamente il comportamento dell'agente ed esfiltra dati sensibili, individuando anomalie comportamentali che indicano un componente IA di terze parti compromesso, tracciando i percorsi di esfiltrazione dei dati attraverso plugin con backdoor e server MCP e applicando pratiche di verifica della supply chain prima di integrare strumenti IA esterni.
Iniezione di Codice nell'Agente IA — Blocca un assistente di codifica IA prima che esegua uno script di shell contenente comandi iniettati che compromettono il sistema, individuando i comandi iniettati nascosti nel codice e negli script di shell generati dall'IA, tracciando come l'input dell'utente fluisce dalla generazione del codice all'esecuzione non in sandbox e applicando pratiche di revisione del codice e sandboxing agli script generati dall'IA prima dell'esecuzione.
OpenClaw Prompt Injection — Impedisci a un assistente IA di divulgare dati tramite prompt nascosti, individuando istruzioni nascoste nei documenti, prevenendo l'esfiltrazione di dati attraverso strumenti IA e riconoscendo i pattern di prompt injection.
Esposizione di Dati Sensibili tramite IA — Scopri cosa succede quando dati riservati entrano in uno strumento IA consumer, riconoscendo le categorie di dati sensibili che non dovrebbero mai finire nei prompt IA, tracciando come il contenuto incollato persiste nei dati di addestramento e nei log dell'IA e applicando policy di classificazione dei dati prima di usare strumenti IA.
Compromissione della Supply Chain dell'IA — Distribuisci un plugin IA che nasconde una backdoor in piena vista, identificando i rischi della supply chain in modelli e plugin IA di terze parti, rilevando anomalie comportamentali nei componenti IA provenienti da fonti esterne e applicando procedure di verifica prima di distribuire strumenti IA dal marketplace.
Avvelenamento dei Dati di Addestramento dell'IA — Osserva in tempo reale documenti avvelenati corrompere le risposte della tua IA, tracciando come i documenti manipolati alterano gli output generati dall'IA, individuando i segni di avvelenamento dei dati nelle risposte dell'IA e applicando controlli di integrità dei contenuti agli input della knowledge base.
Gestione Non Sicura degli Output dell'IA — Sfrutta un'IA i cui output confluiscono senza controlli nei sistemi live, identificando i rischi di injection quando gli output dell'IA alimentano i sistemi a valle, tracciando come un output non sanificato dell'IA consenta l'esecuzione di codice e applicando controlli di validazione degli output tra l'IA e i sistemi collegati.
Agente IA con Permessi Eccessivi — Manipola un assistente IA fino a fargli abusare dei propri permessi, identificando i permessi eccessivi concessi agli agenti IA, tracciando le azioni non autorizzate compiute da strumenti IA manipolati e applicando i principi del privilegio minimo alle configurazioni degli agenti IA.
— Estrai istruzioni nascoste da un chatbot IA rivolto ai clienti eseguendo tecniche di estrazione del prompt contro un chatbot IA live, individuando informazioni sensibili esposte tramite prompt di sistema divulgati e applicando tecniche di hardening del prompt per prevenire la divulgazione delle istruzioni di sistema.
HTTPS e Sicurezza dei Siti Web — Scopri perché l'icona del lucchetto non è una prova di sicurezza, valutando avvisi di certificato reali, certificati scaduti e certificati TLS non corrispondenti su siti web simulati.
Navigazione e Download Sicuri — Individua i download dannosi prima che vengano eseguiti, navigando tra siti di fornitori falsi, prompt di aggiornamento ingannevoli e trappole di download drive-by che mascherano il malware da software legittimo.
Consapevolezza del Typosquatting — Scopri i trucchi sui domini che gli attaccanti usano contro di te, individuando URL simili, domini con caratteri scambiati e attacchi omografi quasi perfetti per i pixel nella barra degli indirizzi del browser.
Rischi della Compilazione Automatica del Browser — Campi di modulo nascosti rubano silenziosamente i dati compilati automaticamente, come dimostrato da uno scenario realistico in cui un collega invia inconsapevolmente i dati della carta di credito e dell'indirizzo di casa a una pagina controllata da un attaccante.
Sicurezza delle Estensioni del Browser — Quella comoda estensione potrebbe rubare tutto, come dimostrato tracciando una timeline forense di come un'estensione di produttività molto apprezzata ha esfiltrato i dati dal dispositivo di un utente ignaro.
Abuso delle Notifiche del Browser — Riconosci i falsi prompt CAPTCHA progettati per dirottare i permessi delle notifiche e impara a revocare l'accesso alle notifiche push dannose prima che gli attaccanti passino al phishing delle credenziali.
Abitudini con il Password Manager — Costruisci sane abitudini con il tuo password manager migrando le password deboli e riutilizzate in un vault, generando sostituti unici e usando la compilazione automatica come strumento di rilevamento del phishing.
Consapevolezza del Privilegio Minimo — Mantieni l'accesso al minimo richiesto dal tuo ruolo, verificando assegnazioni di permessi realistiche, revocando i diritti di amministratore obsoleti e segnalando account di servizio condivisi e credenziali scadute di appaltatori.
Consapevolezza Joiner-Mover-Leaver — Gestisci i diritti di accesso attraverso le transizioni di ruolo, affrontando scenari di onboarding, trasferimenti laterali e offboarding che includono eccezioni dei manager, file inoltrati e richieste di accesso di emergenza.
Configurazione MFA e Best Practices — Configura l'autenticazione multifattore nel modo giusto, confrontando SMS, app di autenticazione e chiavi hardware, e impara a riconoscere e contrastare gli attacchi di MFA fatigue tramite notifiche push.
Consapevolezza del Credential Stuffing — Scopri come le password violate alimentano attacchi automatizzati, tracciando un incidente di credential stuffing dal vivo, identificando gli account compromessi e spezzando il ciclo del riutilizzo delle password.
Sicurezza del Recupero Account — Difendi il recupero account dal social engineering, esercitandoti nelle procedure di verifica dell'identità sotto pressione di un chiamante convincente che si spaccia per un dipendente bloccato fuori dall'account.
Nozioni di Base sull'Accesso Privilegiato — Scopri perché gli account amministrativi richiedono una gestione speciale, confrontando un flusso di lavoro di accesso just-in-time con un incidente in cui l'uso quotidiano di un account privilegiato ha dato a un attaccante accesso immediato all'infrastruttura.
Ransomware — Sopravvivi a un attacco ransomware in tempo reale prendendo rapide decisioni di contenimento mentre i file vengono crittografati, i programmi falliscono e il malware si diffonde attraverso unità condivise e risorse di rete mappate.
Attacco USB Drop — Pensaci due volte prima di inserire quella chiavetta USB, vivendo un attacco autorun simulato, inclusi i payload Rubber Ducky che compromettono un sistema in meno di 10 secondi.
Best Practices per i Backup — Costruisci un piano di backup che sopravviva al ransomware imparando la regola 3-2-1, comprendendo la differenza tra sincronizzazione e vero backup e scoprendo le reali conseguenze dei comuni errori di backup.
Crittografia e Disciplina del Blocco — Metti in pratica le abitudini che proteggono i dispositivi incustoditi, vedendo cosa può fare un attaccante in 90 secondi su un laptop sbloccato, quindi configurando il blocco automatico e verificando la crittografia completa del disco.
Aggiornamenti del Sistema Operativo e Nozioni di Base sul Patching — Scopri perché saltare gli aggiornamenti apre reali vie di attacco, tracciando cosa stava correggendo una patch di sicurezza rimandata e quanto velocemente gli attaccanti armamentizzano i CVE appena pubblicati.6. Patch degli endpoint e avvisi EDR — Scopri cosa significa il tuo avviso EDR e cosa fare dopo, valutando le anomalie dei processi in tempo reale, le modifiche al registro e le connessioni di rete insolite per decidere se ignorare, indagare o fare escalation.
Pratiche sicure per il Bluetooth — Le tue cuffie trasmettono più della sola musica: controlla i dispositivi accoppiati, configura la modalità non rilevabile e comprendi le famiglie di vulnerabilità BlueBorne, KNOB e BLUFFS che sfruttano le connessioni Bluetooth rilevabili.
Consapevolezza delle estensioni dei file — Sembra un PDF ma si comporta come un malware: impara a individuare i trucchi della doppia estensione, a scoprire il vero tipo di file e a identificare estensioni pericolose come .scr, .cmd, .vbs e .ps1.
Fuga di dati — Impedisci la fuoriuscita di dati sensibili dalla tua organizzazione esaminando email instradate erroneamente, metadati nascosti dei documenti, condivisioni file non protette e canali di fuga meno evidenti come gli strumenti di intelligenza artificiale e la condivisione dello schermo.
Nozioni di base sulla classificazione dei dati — Etichetta correttamente i dati in base al livello di sensibilità, classificando documenti reali nelle categorie Pubblico, Interno, Riservato e Limitato e applicando per ciascuna le corrette regole di archiviazione, condivisione e smaltimento.
Prevenzione del furto d'identità — Individua le tattiche di furto d'identità rivolte ai dipendenti riconoscendo email convincenti che impersonano le risorse umane, file del personale incustoditi e chiamanti che dispongono di abbastanza dettagli personali da sembrare legittimi.
Pratiche di condivisione sicura — Condividi file in modo sicuro senza creare falle di sicurezza valutando scenari di condivisione comuni e imparando perché un link protetto da password con scadenza differisce da un allegato email non crittografato.
Segnalazione generale degli incidenti — Sappi quando e come segnalare un incidente di sicurezza. Riconosci cosa costituisce un incidente, compila correttamente un rapporto di sicurezza, comprendi i tempi e le soglie di segnalazione.
Cultura della segnalazione — Costruisci un team che segnala senza paura. Esercitati nella segnalazione di incidenti senza attribuzione di colpe, comprendi i principi della sicurezza psicologica,applica il framework CRM dell'aviazione
Vishing — Gestisci una realistica chiamata di vishing rilevando lo spoofing dell'ID chiamante, esercitandoti nella verifica tramite richiamata su numeri ufficiali e resistendo alla pressione dell'urgenza e dell'autorità da parte di un impersonatore convincente.
Phishing — Individua un'email di phishing prima di cliccare esaminando gli indirizzi del mittente falsificati, passando il mouse su URL non corrispondenti e identificando le tattiche di pressione emotiva che guidano il furto di credenziali.
Phishing a doppia canna — Riconosci la trappola di fiducia a due email identificando il messaggio iniziale innocuo e il follow-up dannoso che sfrutta la fiducia stabilita nel primo scambio.
Whaling con un deepfake — Individua un dirigente generato dall'IA in una videochiamata rilevando gli indicatori di deepfake durante una riunione dal vivo e verificando l'identità prima di autorizzare un trasferimento finanziario irreversibile.
Ingegneria sociale — Riconosci la manipolazione prima di cedere mantenendo la tua posizione contro un chiamante che usa autorità, reciprocità e urgenza artificiosa, quindi reindirizzando la verifica attraverso i canali ufficiali.
Compromissione della posta elettronica aziendale — Ferma una frode tramite bonifico con impersonificazione dell'amministratore delegato rilevando le email di impersonificazione dei dirigenti, verificando le richieste di pagamento fuori banda e comprendendo perché il BEC causa perdite annuali per miliardi.
Smishing — Rileva le frodi nascoste nei tuoi messaggi di testo rallentando davanti ad avvisi di consegna urgenti e notifiche bancarie, verificando tramite canali ufficiali e non toccando mai URL abbreviati.
Phishing con richiamata — Gestisci una fattura falsa progettata per farti chiamare identificando i pattern di attacco TOAD, individuando fatture false con numeri di richiamata e rispondendo senza cliccare alcun link.
Gestione del consenso al marketing — Crea flussi di opt-in conformi che le autorità di controllo accettino progettando flussi di consenso che soddisfano gli standard dell'Articolo 7 del GDPR, costruendo un sistema di registrazione del consenso e gestendo le richieste di revoca in tempo reale.
Rilevamento di DSAR fraudolenti — Individua le false richieste di accesso ai dati utilizzate per l'ingegneria sociale valutando i DSAR in arrivo per incongruenze d'identità, linguaggio urgente e dettagli di contatto non corrispondenti prima di rispondere.
Risposta alla violazione dei dati — Fai il triage di una violazione e rispetta la scadenza di notifica di 72 ore valutando la gravità dell'incidente, redigendo una notifica all'autorità di controllo e prendendo decisioni su ciò che è notificabile ai sensi dell'Articolo 33.
Valutazione dei responsabili del trattamento dati di terze parti — Valuta i controlli sul trattamento dei dati di un fornitore prima della firma esaminando certificazioni di sicurezza, accordi con sub-responsabili, procedure di notifica delle violazioni e clausole DPA che non soddisfano l'Articolo 28.
Risposta agli incidenti di sicurezza — Coordina i team di sicurezza e privacy durante una violazione in corso gestendo flussi di lavoro paralleli che bilanciano le priorità di contenimento con la valutazione dei dati personali e le scadenze di notifica dell'Articolo 33.
Revisione Privacy by Design — Valuta una funzionalità di prodotto con una prospettiva privacy-first applicando i controlli di minimizzazione dei dati dell'Articolo 25 e affrontando i reali compromessi tra funzionalità e privacy nelle richieste di tracciamento comportamentale.
Gestione legittima delle richieste DSAR — Gestisci una richiesta di accesso ai dati dell'interessato dall'inizio alla fine verificando l'identità del richiedente, cercando in CRM, archivi email, analytics e backup, quindi compilando e oscurando la risposta entro 30 giorni.
Oversharing sui social media — Scopri come gli attaccanti sfruttano i tuoi profili pubblici osservando come una foto di vacanza, un post di compleanno e un check-in a una conferenza possono essere combinati in un profilo che abilita attacchi altamente personalizzati.
Controlli sulla condivisione nel cloud — Controlla chi può vedere i tuoi file condivisi in questo momento esaminando una storia di permessi intricata, restringendo l'accesso ai livelli minimi richiesti e impostando date di scadenza sotto pressione temporale.
Gestione dell'accesso ospite — Controlla cosa possono raggiungere gli utenti esterni e per quanto tempo verificando gli account ospite dormienti, revocando l'accesso ai fornitori i cui progetti sono terminati e creando una checklist strutturata di offboarding.
Pratiche di messaggistica sicura — Impedisci la fuga di dati sensibili attraverso le app di chat riconoscendo quando password, PII dei clienti o foto di lavagne sono state condivise con noncuranza e imparando i canali corretti per le informazioni sensibili.
Policy sui social media — Impara cosa non pubblicare sugli account aziendali valutando scenari reali in cui post su LinkedIn e foto dell'ufficio hanno fatto trapelare inavvertitamente dettagli di accordi, dati dei clienti e informazioni sui sistemi interni.
Rischi OAuth delle app di terze parti — Verifica a cosa hai concesso l'accesso valutando se i permessi richiesti da una nuova app corrispondono alla sua funzione reale e controllando le app connesse via OAuth per accessi eccessivi o non necessari.
Minaccia interna (intenzionale) — Riconosci i segnali di allarme di un insider malintenzionato individuando il modello di accesso ai file fuori dall'orario di lavoro e di grandi trasferimenti su USB prima che il danno raggiunga un punto di non ritorno.
Consapevolezza sullo Shadow IT — Scopri cosa succede quando i team utilizzano app non approvate ripercorrendo ciò che è accaduto dietro le quinte quando un foglio di calcolo riservato è stato caricato su un convertitore online gratuito senza alcun accordo sui dati.
Attacchi basati su immagini (Stegosploit) — Quel file immagine potrebbe trasportare più dei semplici pixel — indaga sul portfolio di un consulente che nasconde un payload JavaScript all'interno di un JPEG e impara tre metodi di attacco steganografici e i relativi approcci di rilevamento.
Minaccia interna (accidentale) — Un allegato sbagliato e quarantasette stipendi vengono esposti — vivi un incidente di email instradata erroneamente dal flag DLP all'intero flusso di lavoro di segnalazione dell'incidente.
Igiene degli strumenti di collaborazione — Una scorciatoia in Slack e le credenziali sono ovunque — controlla le integrazioni dei canali e l'accesso degli ex dipendenti dopo aver scoperto che le credenziali del database incollate sono state esfiltrate tramite un webhook obsoleto.
Utilizzo e sicurezza della VPN — Configura e usa la tua VPN senza lasciare falle sperimentando le reali conseguenze di una disconnessione a metà sessione su Wi-Fi pubblico, incluse credenziali esposte e trasferimenti di file non crittografati.
Sicurezza del router domestico — Scopri chi altro è sulla tua rete domestica identificando i dispositivi collegati non autorizzati, cambiando le credenziali di amministrazione predefinite, disabilitando WPS, abilitando WPA3 e riconoscendo i segnali di dirottamento DNS.
Violazione di MGM Resorts — Rivivi la chiamata di 10 minuti all'helpdesk che è costata 100 milioni di dollari ripercorrendo la catena di attacco di Scattered Spider dalla ricognizione su LinkedIn attraverso una chiamata di vishing fino al dispiegamento del ransomware ALPHV/BlackCat.
Attacco tramite email OneNote — Ripercorri una vera truffa BEC costruita su settimane di sorveglianza della casella di posta ricevendo un reindirizzamento di fattura con un dominio simile che utilizza dettagli reali del progetto e l'importo esattamente giusto per superare i controlli.
Nozioni di base sulla mentalità da auditor — Pensa come un auditor per trovare le lacune di conformità prima dei revisori esterni verificando se le policy sulle password corrispondono al comportamento reale, controllando le revisioni degli accessi e identificando le differenze tra procedure scritte e operazioni quotidiane.
Formazione sul portale di audit — Naviga nei portali GRC e invia le evidenze di audit. Carica e tagga correttamente le evidenze di conformità, monitora le attività di remediation fino alla chiusura, evita i comuni errori di invio al portale
Responsabilità di sicurezza dei dipendenti — Conosci i tuoi doveri personali di sicurezza sul lavoro. Riconosci i rischi di tailgating e condivisione delle credenziali, segnala gli incidenti attraverso i canali giusti, proteggi i punti di accesso fisici e digitali
Consapevolezza delle policy ISMS — Collega le policy ISO 27001 al tuo lavoro quotidiano. Abbina le policy ISMS a situazioni lavorative reali, comprendi la struttura delle policy ISO 27001, individua le differenze tra policy e pratica quotidiana.
Uso accettabile di Internet ed email — Rispetta le policy aziendali su Internet ed email. Riconosci i comportamenti rischiosi di inoltro delle email, comprendi i confini dell'uso dei dispositivi personali sul lavoro, evita le comuni violazioni dell'uso accettabile
Topics: formazione sulla consapevolezza della sicurezza · formazione gratuita sulla consapevolezza della sicurezza · formazione gratuita sulla consapevolezza della sicurezza per i dipendenti · formazione sulla consapevolezza della sicurezza open source · formazione sulla consapevolezza del phishing per i dipendenti · formazione gratuita sulla consapevolezza del phishing · formazione sulla consapevolezza della sicurezza per i dipendenti · formazione sulla consapevolezza della sicurezza informatica · formazione sulla consapevolezza della sicurezza per i dipendenti · formazione sulla consapevolezza della sicurezza SCORM · simulazione di phishing · formazione GDPR · gestione del rischio umano
Avvelenamento della Memoria dell'Agente IA — Rileva contenuti avversari iniettati nella memoria persistente di un agente IA che corrompono tutte le decisioni future, identificando le voci avvelenate nella memoria persistente di un agente e nel contesto di recupero, tracciando come la memoria corrotta influenzi le decisioni successive dell'agente tra sessioni e applicando la verifica dell'integrità della memoria per rilevare e rimuovere i contenuti avversari.
Spoofing della Comunicazione tra Agenti — Intercetta e identifica messaggi falsificati tra agenti IA in un flusso di lavoro multi-agente prima che istruzioni inventate causino danni, individuando identità di agenti falsificate e messaggi fabbricati nei canali di comunicazione multi-agente, tracciando come i messaggi non autenticati tra agenti consentano attacchi man-in-the-middle e applicando l'autenticazione dei messaggi e la verifica dell'identità degli agenti per proteggere i sistemi multi-agente.
Guasto a Cascata Multi-Agente — Contieni una piccola allucinazione dell'IA prima che si propaghi a cascata attraverso gli agenti a valle fino a un guasto catastrofico dell'intero sistema, tracciando la propagazione degli errori da una singola allucinazione di un agente attraverso più sistemi a valle, individuando i punti di amplificazione in cui piccoli errori si combinano in risultati catastrofici e applicando pattern circuit breaker e checkpoint umani per interrompere i guasti a cascata degli agenti.
Fiducia Eccessiva nelle Raccomandazioni degli Agenti IA — Smaschera una serie di raccomandazioni compromesse di un agente IA che sfruttano la tua fiducia per approvare un trasferimento fraudolento e una modifica del codice con backdoor, riconoscendo i pattern di bias dell'automazione in cui la costante accuratezza dell'IA crea una falsa fiducia, individuando sottili anomalie nelle raccomandazioni dell'IA che indicano manipolazione o compromissione e applicando flussi di lavoro di verifica strutturati che resistono al social engineering attraverso le interfacce IA.
Rilevare un Agente IA Canaglia — Indaga su un agente IA compromesso che sembra funzionante mentre esegue silenziosamente azioni non autorizzate e sfugge al monitoraggio, individuando azioni non autorizzate nascoste compiute da un agente che sembra operare normalmente, tracciando i meccanismi di persistenza che consentono agli agenti canaglia di sopravvivere a riavvii e scansioni di monitoraggio e applicando analisi comportamentale e rilevamento di anomalie per distinguere gli agenti canaglia da quelli legittimi.
Sfruttamento della Pipeline RAG — Sfrutta una pipeline RAG per accedere a documenti oltre il tuo livello di autorizzazione, identificando le lacune nel controllo degli accessi nel recupero dal database vettoriale, tracciando come gli embedding avversari corrompono i risultati di ricerca e applicando controlli di autorizzazione al livello di recupero dei sistemi RAG.
Allucinazioni e Disinformazione dell'IA — Scova statistiche inventate e citazioni false in un report dell'IA, rilevando fatti allucinati e fonti fabbricate negli output dell'IA, verificando le affermazioni generate dall'IA rispetto a riferimenti autorevoli e applicando flussi di lavoro di fact-checking ai contenuti aziendali assistiti dall'IA.
Attacco Denial-of-Service all'IA — Lancia un attacco denial-of-wallet contro un'API IA non protetta, individuando i vettori di esaurimento delle risorse negli endpoint delle API IA, tracciando come prompt costruiti ad hoc facciano aumentare esponenzialmente i costi di calcolo e applicando rate limiting e controlli di budget alle distribuzioni dei servizi IA.
Spear Phishing — Il tuo profilo LinkedIn pubblico è il manuale di un attaccante — ripercorri come un singolo post sui social media consente un'email di phishing completamente personalizzata, completa di portale di collaborazione per la raccolta di credenziali.
Phishing tramite codice QR (Quishing) — Quel codice QR aggira tutti i tuoi filtri email — percorri una realistica catena di attacco quishing e impara a visualizzare in anteprima la destinazione dei codici QR prima di scansionarli sul tuo dispositivo mobile.
Truffe del supporto tecnico — Quell'avviso di virus è il vero attacco: riconosci i falsi avvisi di sistema basati sul browser, rifiuta le richieste di accesso remoto da chiamanti non sollecitati e scopri perché Ctrl+Alt+Canc è la prima risposta corretta.
Ingegneria sociale su WhatsApp — Il tuo "capo" su WhatsApp non è il tuo capo — vivi una conversazione di impersonificazione in tempo reale che si trasforma in una truffa delle carte regalo e scopri perché le app di messaggistica sono un canale d'attacco privilegiato.
Consapevolezza sull'avvelenamento SEO — I primi risultati di ricerca non sono sempre affidabili — rileva una pagina di download di software avvelenata, verifica l'autenticità tramite le firme dell'editore e gli hash dei file e naviga direttamente verso i siti ufficiali dei fornitori.
Trasferimenti transfrontalieri di dati — Gestisci i meccanismi di trasferimento per i dati in uscita dal SEE valutando le decisioni di adeguatezza, selezionando le Clausole Contrattuali Standard e conducendo una valutazione d'impatto del trasferimento in seguito alla sentenza Schrems II.
Oscuramento dei PII nei documenti — Oscura i dati personali dai documenti prima della divulgazione imparando perché le sovrapposizioni a scatola nera e i metadati non rimossi possono esporre ciò che pensavi di aver eliminato.
Valutazione d'impatto sulla protezione dei dati — Esegui una DPIA per un'attività di trattamento dati ad alto rischio affrontando i fattori scatenanti dell'Articolo 35, la mappatura dei rischi, la valutazione di proporzionalità e producendo una documentazione che soddisfa i requisiti di contenuto previsti dalla legge.
Data mapping e registri dei trattamenti — Costruisci da zero un registro dei trattamenti ai sensi dell'Articolo 30 conducendo interviste sui flussi di dati tra i reparti e collegando pratiche dati frammentate in una RoPA coerente e conforme.
