AI Security Newsletter - Una newsletter mensile di ricerche, approfondimenti, report, eventi imminenti e strumenti e risorse sulla sicurezza dell'IA.
Un digest di ricerche, approfondimenti, report, eventi imminenti e strumenti e risorse sulla sicurezza dell'AI. Segui la community AISecHub e il nostro gruppo LinkedIn per ulteriori aggiornamenti. Dai anche un'occhiata al nostro progetto, Awesome AI Security.
Sponsorizzato da InnovGuard.com - Technology Risk & Cybersecurity Advisory - Innovate and Invest with Confidence, Lead with Assurance.
📌 Updating our taxonomy: Failure modes in agentic AI systems Microsoft espande la propria tassonomia delle modalità di fallimento dell'AI agentica basata sul lavoro di red team, offrendo ai team di sicurezza un modo più pulito per ragionare sull'abuso degli strumenti, l'eccessiva autonomia, la contaminazione della memoria, i confini di identità e le lacune nell'override umano nei sistemi agentici distribuiti.
📌 Miasma Worm hits Microsoft again: Azure Functions Action and 72 other repositories disabled after supply chain attack targeting AI coding agents StepSecurity documenta una campagna di supply chain mirata ai workflow degli agenti di codifica AI e ai repository GitHub, con un focus difensivo sulla fiducia nelle dipendenze, la provenienza delle azioni, i percorsi di scrittura nei repository e le credenziali visibili agli agenti negli ambienti CI/CD.
📌 The sorry state of skill distribution I ricercatori di Trail of Bits hanno bypassato i controlli di ClawHub, Cisco skill-scanner e skills.sh con pacchetti di skill che utilizzavano troncamento, indirezione tramite archivio, avvelenamento del bytecode e framing tramite prompt injection, dimostrando perché i marketplace pubblici di skill per agenti necessitano di curation e controlli di provenienza, non solo della fiducia negli scanner.
📌 Codex CLI RCE: Prompt injection mitigations Cymulate illustra il rischio di prompt injection negli agenti di codifica a riga di comando, dove testo non fidato può indirizzare scritture di file o esecuzione di strumenti a meno che sandboxing, limiti di approvazione e vincoli sui comandi non vengano applicati al di fuori del modello.
📌 Agentjacking: MCP Injection Hijacks AI Coding Agents La Cloud Security Alliance riassume il pattern "agentjacking" da Sentry a MCP, in cui telemetria o contenuti di issue controllati esternamente diventano contesto fidato per gli agenti di codifica. Il quadro difensivo utile è trattare i dati di osservabilità, bug report e integrazione come input agentico non fidato, non come metadati di sviluppo neutri.
📌 SearchLeak: How We Turned M365 Copilot Into a One-Click Data Exfiltration Weapon Varonis descrive una catena di attacco a Microsoft 365 Copilot Enterprise che combina iniezione da parametro a prompt, comportamento di rendering HTML e abuso del percorso di ricerca per far trapelare dati sensibili di M365 attraverso un flusso a un clic.
📌 AutoJack: How a single page can RCE the host running your AI agent Microsoft mostra come una pagina web dannosa visualizzata da un agente di navigazione AI possa raggiungere un servizio AutoGen Studio locale e innescare l'esecuzione di processi host attraverso la fiducia insicura in localhost e la gestione delle azioni dell'agente.
📌 Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day-js Typosquat StepSecurity segnala un compromesso dell'ecosistema npm di Mastra attraverso una dipendenza typosquatted con un dropper postinstall offuscato, che ha colpito pacchetti relativi ad agenti, RAG, MCP e workflow utilizzati negli stack applicativi AI.
📌 Breaking LiteLLM: From Low-Privilege User to Admin and RCE Obsidian documenta un percorso concatenato di escalation dei privilegi e RCE in LiteLLM, mostrando come l'accesso a bassi privilegi a un gateway AI possa diventare un controllo amministrativo su segreti dei provider, policy del proxy e funzioni runtime dell'agente.
📌 Amazon Q Vulnerability: Compromise via MCP Auto-Execution Wiz analizza un problema nell'estensione VS Code di Amazon Q in cui una configurazione MCP fidata a livello di workspace in un repository clonato potrebbe caricare automaticamente un comportamento controllato dall'attaccante ed esporre percorsi di esecuzione dello sviluppatore e credenziali cloud.
📌 macOS.Gaslight: Rust Backdoor Turns Prompt Injection on the Analyst, Not the Sandbox SentinelOne documenta un backdoor in Rust che inserisce contenuti di prompt injection per analisti e strumenti AI assistiti, spostando l'attacco dalla fuga dalla sandbox alla manipolazione dell'umano e del modello che esamina il malware.
📌 Computer-Use and TOCTOU: What You Click Is Not What You Get! Johann Rehberger dimostra una condizione di race condition in un agente di uso del computer in cui lo schermo cambia dopo che il modello lo osserva ma prima che il clic venga effettuato, trasformando un'interazione apparentemente benigna in un'azione di invio in Outlook e rendendo la ri-validazione dei pixel o dello stato prima dell'azione un controllo fondamentale.
📌 The vibe coding spectrum approach to AI-assisted software development L'NCSC del Regno Unito inquadra la codifica assistita dall'AI come uno spettro di rischio, separando i prototipi a basso rischio dal codice generato che tocca autenticazione, autorizzazione, dati sensibili, comportamenti critici per la sicurezza o infrastrutture critiche.
📌 Prompt Injection and Agent Runtime Security: A Practical Threat Model TMLS inquadra il prompt injection come un problema di sicurezza runtime, mappando gli attacchi attraverso la mediazione degli strumenti, gli archivi di memoria, i canali in uscita e le lacune di approvazione umana. Il punto pratico è spostare i controlli in broker di capacità, esecuzione in sandbox, liste consentite e percorsi di audit invece di trattare il testo del prompt come confine di sicurezza.
📌 What happened after 2,000 people tried to hack my AI assistant Fernando Irarrázaval riporta una challenge di prompt injection su un agente email OpenClaw con oltre 6.000 tentativi e nessuna fuga di segreti riuscita, evidenziando al contempo problemi pratici di distribuzione come la contaminazione della memoria dell'agente, il contesto batch, il costo delle API, la sospensione dell'account e la scelta del modello.
🧰 AgentStalker - Benchmark di vulnerabilità degli agenti e toolkit di analisi con tracciamento delle taint, analisi AST, auditing del codice e riproduzione in sandbox per percorsi di attacco agentici. ⭐️115
🧰 darknet-mcp-server - Server MCP che espone dati su violazioni, ransomware, malware, exploit, stealer-log e intelligence sulle minacce agli agenti AI per flussi di lavoro di ricerca sulla sicurezza controllati. ⭐️67
🧰 mcp-trust-plane - Piano componibile di sicurezza dei dati e guardrail per provider del Model Context Protocol, focalizzato su controlli delle policy attorno a strumenti e dati connessi a MCP. ⭐️60
🧰 prompt-gate - Controllo DLP locale e a livello DNS per bloccare strumenti AI non autorizzati e ispezionare i prompt in uscita per individuare segreti o dati sensibili prima che lascino l'endpoint. ⭐️28
🧰 claude-ai-cyber-security-skills - Raccolta di skill per Claude Code per flussi di lavoro di sicurezza, inclusi test offensivi, analisi difensiva e pattern di indagine assistita da strumenti. ⭐️17
🧰 talos - Servizio di chiavi API e token di capacità per umani, servizi e agenti AI che necessitano di autorizzazione macchina-macchina con ambito. ⭐️14
🧰 SkillsGuard - Scanner statico per pacchetti di skill di agenti AI dannosi o non sicuri, file SKILL.md e script in bundle. ⭐️13
🧰 tamga - Proxy di sicurezza LLM self-hosted per la redazione di PII, difesa dal prompt injection e controlli di conformità attorno al traffico dei modelli. ⭐️11
🧰 llm-sec-range - Range per attacco e difesa su LLM che copre CTF di prompt injection, OWASP LLM Top 10, agenti vulnerabili e target di modelli locali. ⭐️9
🧰 aka-claude-tools - Utility di hardening per Claude Code per contesto pulito, profili isolati, credenziali bloccate, egress sorvegliato e impostazioni locali più sicure. ⭐️9
🧰 agent-jackstop - Layer di hardening per Cursor e Claude Code contro il prompt injection tramite output di strumenti non fidati, descritto anche come agentjacking. ⭐️8
🧰 LLM-Safety-platform - Piattaforma di red teaming AI per la valutazione delle vulnerabilità degli LLM, prompt injection, attacchi di offuscamento e analisi della stabilità del campionamento. ⭐️6
L'aggiornamento di giugno di OWASP trasforma la sicurezza dell'AI agentica in una mappa di governance e ingegneria, coprendo workflow autonomi, categorie di rischio degli agenti, controlli e il divario pratico tra i primi modelli di minaccia e gli incidenti di produzione.
La Cloud Security Alliance pubblica 247 obiettivi di controllo AI in 18 domini di sicurezza, con mappature a framework di garanzia e conformità come ISO 42001, ISO 27001, BSI AIC4 e governance orientata all'EU AI Act.
La CSA trasforma l'AI Controls Matrix in linee guida di implementazione per fornitori di servizi cloud, coprendo pianificazione degli audit, remediation, gestione delle vulnerabilità, supervisione dei partner, rilevamento delle minacce e pratiche di garanzia specifiche per l'AI.
L'NCSC del Regno Unito e i partner Five Eyes avvertono che l'AI sta abbassando le barriere per gli attaccanti e comprimendo la finestra vulnerabilità-sfruttamento, mappando al contempo lo spostamento del rischio verso impostazioni predefinite sicure per progettazione, riduzione dell'esposizione, velocità di patch, autenticazione forte, prontezza agli incidenti e uso difensivo dell'AI.
La NSA e partner internazionali pubblicano linee guida di progettazione della sicurezza per MCP nell'automazione guidata dall'AI, coprendo autenticazione, autorizzazione, fiducia del server, controlli di trasporto, esposizione degli strumenti e monitoraggio per ecosistemi di agenti che passano dagli esperimenti alla produzione.
🛡️ CVE-2026-49257: mcp-pinot espone invocazione di strumenti MCP non autenticata Critico 10.0. mcp-pinot può associare un server MCP HTTP a 0.0.0.0 con OAuth disabilitato per impostazione predefinita, esponendo strumenti di mutazione SQL, schema e tabella attraverso le credenziali Apache Pinot lato server.
🛡️ CVE-2026-54309: Il trasporto Browser MCP di n8n accetta chiamate a strumenti non autenticate Critico 10.0. Il trasporto HTTP MCP Browser di n8n può accettare inizializzazione di sessione e chiamate a strumenti senza autenticazione, esponendo l'automazione di controllo del browser a client raggiungibili.
🛡️ CVE-2026-56274: Iniezione di comandi in Flowise Custom MCP Server Critico 9.9. La gestione dei flag di comando e le restrizioni di accesso ai file di Flowise Custom MCP Server possono essere bypassate per iniezione di comandi del sistema operativo all'interno di una piattaforma di workflow LLM.
🛡️ CVE-2026-55255: IDOR nell'esecuzione del flusso di Langflow Critico 9.9. L'API delle risposte di Langflow può permettere a un utente autenticato di eseguire il flusso di un altro utente fornendo un ID di flusso vittima, rompendo l'isolamento del tenant per l'esecuzione di workflow AI.
🛡️ CVE-2026-50548: Fuga dalla sandbox del terminale dell'agente Cursor Critico 9.8. La sandbox del terminale dell'agente di Cursor può essere bypassata modificando i parametri della directory di lavoro, consentendo azioni del terminale guidate dall'agente al di fuori del confine del workspace previsto.
🛡️ CVE-2026-50549: Fuga dalla sandbox di scrittura file dell'agente Cursor Critico 9.8. La sandbox di scrittura file di Cursor può fallire in modo non corretto dopo un fallimento di canonicalizzazione, creando un percorso per scritture di file dell'agente al di fuori del confine del progetto previsto.
🛡️ CVE-2026-49468: Bypass dell'autorizzazione tramite host-header del proxy LiteLLM Critico 9.8. Il parsing dell'host-header del proxy LiteLLM può consentire l'accesso non autenticato a route di gestione protette in specifiche condizioni di distribuzione, rischiando controlli del gateway e segreti del provider.
🛡️ CVE-2026-7664: Bypass dell'autorizzazione MCP Streamable in IBM Langflow Critico 9.8. Il trasporto MCP Streamable di IBM Langflow può esporre risorse e operazioni MCP protette ad attaccanti non autenticati nelle versioni open source interessate.
🛡️ CVE-2026-55743: Bypass della allowlist della shell dell'agente desktop OpenHuman Critico 9.6. La allowlist della shell dell'agente desktop di OpenHuman può essere bypassata attraverso flag di esecuzione find e trucchi di ambiente, trasformando percorsi indiretti di prompt injection in esecuzione di comandi host.
📅 IEEE CSR GenXSec 2026 - 3-5 agosto 2026 · Lisbona, Portogallo · Organizzatore: IEEE CSR
📅 Black Hat USA 2026 - AI Summit - 4 agosto 2026 · Las Vegas, NV, USA · Organizzatore: Black Hat
📅 CAMLIS 2026 - 21-23 ottobre 2026 · Arlington, VA, USA · Organizzatore: CAMLIS
📅 GAISS 2026 - 28-30 ottobre 2026 · Austin, TX, USA · Organizzatore: IEEE
📅 ACM AISec 2026 - 15-19 novembre 2026 · L'Aia, Paesi Bassi · Organizzatore: ACM AISec
📖 AgentRedBench: Dynamic Redteaming and Integration-Aware Defense for LLM Agents over SaaS Integrations
Valuta il prompt injection indiretto contro agenti che utilizzano strumenti connessi a integrazioni SaaS come Gmail, Salesforce e Jira, rendendo la superficie d'attacco più vicina ai flussi di lavoro degli agenti in produzione rispetto ai test di prompt injection solo testuali. arXiv
📖 SkillGuard: A Permission Framework for Agent Skills
Tratta le skill di agenti di terze parti come artefatti software autorizzati, mappando ciò che una skill può iniettare nel contesto dell'agente a ciò che può causare all'agente di fare a runtime. arXiv
📖 Description-Code Inconsistency in Real-world MCP Servers: Measurement, Detection, and Security Implications
Misura 19.200 coppie descrizione-codice da 2.214 server MCP e scopre che le descrizioni degli strumenti spesso divergono dal comportamento effettivo dell'implementazione, creando un punto cieco per gli agenti che scelgono strumenti basandosi su descrizioni in linguaggio naturale. arXiv
📖 GitInject: Real-World Prompt Injection Attacks in AI-Powered CI/CD Pipelines
Mostra come gli agenti AI integrati in pipeline CI/CD e flussi di lavoro di pull request possano ingerire contenuti di repository controllati dall'attaccante mentre detengono permessi elevati, trasformando il prompt injection in un rischio per la supply chain del software. arXiv
📖 Toward Secure LLM Agents: Threat Surfaces, Attacks, Defenses, and Evaluation
Sintetizza 247 articoli in una mappa orientata ai sistemi della sicurezza degli agenti, incentrata sul flusso di informazioni, l'autorità delegata, lo stato persistente, il dirottamento del flusso di controllo mediato dagli strumenti e la debolezza delle difese non composizionali. arXiv
📖 Same-Origin Policy for Agentic Browsers
Mostra che i browser agentici possono diventare canali automatizzati di flusso di dati cross-origin, quindi propone SOPGuard per imporre i confini di origine del browser preservando l'utilità del compito. arXiv
📖 Benign in Isolation, Harmful in Composition: Security Risks in Agent Skill Ecosystems
Introduce il Skill Composition Risk, dove skill individualmente benigne diventano dannose quando i loro output, segnali di fiducia, segnali di autorizzazione o effetti collaterali influenzano chiamate successive a strumenti in un contesto di agente condiviso. arXiv
📖 SafeClawBench: Separating Semantic, Audit-Evidence, and Sandbox Harm in Tool-Using LLM Agents
Introduce un benchmark a stadi per la sicurezza degli agenti LLM che utilizzano strumenti, coprendo prompt injection diretto e indiretto, injection nei valori di ritorno degli strumenti, avvelenamento della memoria, estrazione della memoria e inferenza non sicura, separando l'accordo del modello dal danno visibile in audit e osservato in sandbox. arXiv
📖 "What Happens Locally, Leaks Globally": Detecting Privacy Leakage Risks in MCP Servers
Inquadra la fuga di dati in MCP come un problema di privacy indotto dal protocollo in cui credenziali, chiavi API o PII attraversano il confine locale-LLM attraverso valori restituiti, log o errori dei gestori di strumenti. arXiv
📖 ShareLock: A Stealthy Multi-Tool Threshold Poisoning Attack Against MCP
Introduce un attacco di avvelenamento multi-strumento MCP in cui istruzioni malevole sono suddivise tra descrizioni di strumenti apparentemente benigni e ricostruite solo dopo un trigger, riducendo la rilevabilità rispetto all'avvelenamento a strumento singolo. arXiv
💬 Clean GitHub repo tricks AI coding agents into running malware r/cybersecurity · Punteggio Reddit 183 · 19 commenti I professionisti hanno trattato il thread come un caso di confine della fiducia degli agenti di codifica: i prompt del repository, i file di configurazione, gli script di setup e il contesto dell'output degli strumenti possono diventare un'influenza sull'esecuzione prima che un revisore veda un payload malevolo convenzionale.
💬 macOS Gaslight Backdoor Weaponizes Prompt Injection Against Security Analysts r/cybersecurity · Punteggio Reddit 202 · 11 commenti La discussione ha inquadrato il prompt injection come un abuso del flusso di lavoro di analisi del malware: campioni malevoli possono inserire istruzioni per gli analisti e i loro strumenti AI, quindi l'ambiente di revisione, le note dell'analista e il contesto del modello diventano parte della superficie d'attacco.
💬 Rolling out Copilot - How worried should i be about Indirect Prompt Injection? r/cybersecurity · Punteggio Reddit 48 · 31 commenti I team di sicurezza hanno confrontato i controlli di distribuzione di Copilot per il prompt injection indiretto, concentrandosi su documenti ed email non fidati, permessi utente ereditati, dati condivisi in eccesso, ambito dei connettori e se il solo principio del privilegio minimo sia sufficiente per assistenti basati su recupero dati.💬 Come stanno gestendo i team l'esposizione della superficie degli strumenti MCP? r/cybersecurity · Punteggio Reddit 13 · 19 commenti Il thread si è concentrato su MCP come confine di esposizione degli strumenti: i team hanno dibattuto sulla raggiungibilità del server, sulla fiducia nella descrizione degli strumenti, sui gate di approvazione, sull'autorizzazione per strumento e se l'accesso agli strumenti dell'agente dovrebbe essere modellato più vicino all'accesso API o all'esecuzione di codice locale.
💬 La politica di sicurezza di qualcuno è davvero pronta per gli agenti AI, o stiamo solo fingendo? r/cybersecurity · Punteggio Reddit 47 · 73 commenti I professionisti hanno mappato gli agenti AI alle lacune di governance nelle policy esistenti: chi possiede le azioni automatizzate, cosa richiede l'approvazione umana, come vengono registrate le autorizzazioni delegate e come cambia la risposta agli incidenti quando un operatore del flusso di lavoro è parzialmente automatizzato.
1️⃣ RCE negli agenti di codifica LLM: lezioni dalle vulnerabilità di Claude Code recentemente divulgate Sessione Cloud Native San Francisco sulle lezioni RCE degli agenti di codifica, utile per i team che esaminano come l'iniezione di prompt, gli strumenti locali e gli ambienti di sviluppo possono combinarsi in un rischio di esecuzione lato host.
2️⃣ Il futuro dell'AI aziendale sicura: costruire agenti affidabili con MCP Intervento della Xpand Conference sulla progettazione di agenti aziendali basati su MCP, con enfasi pratica su infrastruttura degli agenti affidabile, esposizione dei dati e controlli di sicurezza sugli strumenti connessi.
3️⃣ Conferenza sulla sicurezza nazionale CNAS 2026: stabilire le regole per la guerra AI Sessione CNAS sulle norme della guerra AI e la politica di sicurezza nazionale, rilevante per i team di sicurezza che monitorano come le operazioni cyber abilitate dall'AI si stanno spostando nella dottrina e nella governance del settore pubblico.
4️⃣ Guida di HitchHacker per costruire agenti sicuri Intervento delle NDC Conferences sulla costruzione di agenti sicuri, che copre i rischi ingegneristici che emergono quando gli agenti ricevono strumenti, credenziali, stato e autonomia all'interno di sistemi software reali.
5️⃣ Attaccare i sistemi AI Sessione CodeValue sull'attacco ai sistemi AI, utile come guida pratica su come le funzionalità AI espandono i modelli di minaccia delle applicazioni oltre la normale gestione dei prompt e delle API.
6️⃣ BlueHat 2026: Da agenti fidati ad avversari: proteggere l'AI agentica nell'era dell'iniezione di prompt Intervento BlueHat 2026 su come i flussi di lavoro degli agenti fidati diventano avversari quando gli output degli strumenti, i contenuti recuperati e le azioni delegate attraversano i confini di fiducia.
7️⃣ Violare le applicazioni basate su LLM: superare le sfide di sicurezza e privacy Sessione Spring I/O di Brian Vermeer che copre percorsi di attacco pratici contro applicazioni basate su LLM, inclusi iniezione di prompt, perdita di privacy, rischio di integrazione dell'applicazione e mitigazioni architetturali.
8️⃣ ContinuumCon 2026 - Caccia all'iniezione di prompt Intervento ContinuumCon di Mackenzie Jackson su come trovare, testare e ragionare sul comportamento di iniezione di prompt nei sistemi AI come problema di sicurezza operativa.
9️⃣ Proteggere gli agenti AI con MCP e identità Zero Trust Sessione DZone Events sulla protezione degli agenti connessi a MCP con concetti di identità zero-trust, accesso limitato, autorizzazione degli strumenti e flussi di lavoro delegati più sicuri.
🔟 Sicurezza pratica di MCP in azione Sessione tecnica del Bulgarian Java User Group di Willem Jan Glerum sui compromessi di sicurezza di MCP, esposizione del server e degli strumenti, rischio di configurazione e controlli per le integrazioni degli agenti.
Se sei un fondatore che sta costruendo qualcosa di nuovo o un investitore che valuta opportunità in fase iniziale - connettiamoci.
💬 Hai letto qualcosa di interessante? Condividi i tuoi pensieri nei commenti.
