taleliyahu/ai-security-newsletterAI Security Newsletter - Una newsletter mensile di ricerche, approfondimenti, report, eventi imminenti e strumenti e risorse sulla sicurezza dell'IA.
Un digest di ricerche, approfondimenti, report, eventi imminenti e strumenti e risorse sulla sicurezza dell'AI. Segui la community AISecHub e il nostro gruppo LinkedIn per ulteriori aggiornamenti. Dai anche un'occhiata al nostro progetto, Awesome AI Security.
Sponsorizzato da InnovGuard.com - Technology Risk & Cybersecurity Advisory - Innovate and Invest with Confidence, Lead with Assurance.
📌 Updating our taxonomy: Failure modes in agentic AI systems Microsoft espande la propria tassonomia delle modalità di fallimento dell'AI agentica basata sul lavoro di red team, offrendo ai team di sicurezza un modo più pulito per ragionare sull'abuso degli strumenti, l'eccessiva autonomia, la contaminazione della memoria, i confini di identità e le lacune nell'override umano nei sistemi agentici distribuiti.
📌 Miasma Worm hits Microsoft again: Azure Functions Action and 72 other repositories disabled after supply chain attack targeting AI coding agents StepSecurity documenta una campagna di supply chain mirata ai workflow degli agenti di codifica AI e ai repository GitHub, con un focus difensivo sulla fiducia nelle dipendenze, la provenienza delle azioni, i percorsi di scrittura nei repository e le credenziali visibili agli agenti negli ambienti CI/CD.
📌 The sorry state of skill distribution I ricercatori di Trail of Bits hanno bypassato i controlli di ClawHub, Cisco skill-scanner e skills.sh con pacchetti di skill che utilizzavano troncamento, indirezione tramite archivio, avvelenamento del bytecode e framing tramite prompt injection, dimostrando perché i marketplace pubblici di skill per agenti necessitano di curation e controlli di provenienza, non solo della fiducia negli scanner.
📌 Codex CLI RCE: Prompt injection mitigations Cymulate illustra il rischio di prompt injection negli agenti di codifica a riga di comando, dove testo non fidato può indirizzare scritture di file o esecuzione di strumenti a meno che sandboxing, limiti di approvazione e vincoli sui comandi non vengano applicati al di fuori del modello.
📌 Agentjacking: MCP Injection Hijacks AI Coding Agents La Cloud Security Alliance riassume il pattern "agentjacking" da Sentry a MCP, in cui telemetria o contenuti di issue controllati esternamente diventano contesto fidato per gli agenti di codifica. Il quadro difensivo utile è trattare i dati di osservabilità, bug report e integrazione come input agentico non fidato, non come metadati di sviluppo neutri.
📌 SearchLeak: How We Turned M365 Copilot Into a One-Click Data Exfiltration Weapon Varonis descrive una catena di attacco a Microsoft 365 Copilot Enterprise che combina iniezione da parametro a prompt, comportamento di rendering HTML e abuso del percorso di ricerca per far trapelare dati sensibili di M365 attraverso un flusso a un clic.
📌 AutoJack: How a single page can RCE the host running your AI agent Microsoft mostra come una pagina web dannosa visualizzata da un agente di navigazione AI possa raggiungere un servizio AutoGen Studio locale e innescare l'esecuzione di processi host attraverso la fiducia insicura in localhost e la gestione delle azioni dell'agente.
📌 Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day-js Typosquat StepSecurity segnala un compromesso dell'ecosistema npm di Mastra attraverso una dipendenza typosquatted con un dropper postinstall offuscato, che ha colpito pacchetti relativi ad agenti, RAG, MCP e workflow utilizzati negli stack applicativi AI.
📌 Breaking LiteLLM: From Low-Privilege User to Admin and RCE Obsidian documenta un percorso concatenato di escalation dei privilegi e RCE in LiteLLM, mostrando come l'accesso a bassi privilegi a un gateway AI possa diventare un controllo amministrativo su segreti dei provider, policy del proxy e funzioni runtime dell'agente.
📌 Amazon Q Vulnerability: Compromise via MCP Auto-Execution Wiz analizza un problema nell'estensione VS Code di Amazon Q in cui una configurazione MCP fidata a livello di workspace in un repository clonato potrebbe caricare automaticamente un comportamento controllato dall'attaccante ed esporre percorsi di esecuzione dello sviluppatore e credenziali cloud.
📌 macOS.Gaslight: Rust Backdoor Turns Prompt Injection on the Analyst, Not the Sandbox SentinelOne documenta un backdoor in Rust che inserisce contenuti di prompt injection per analisti e strumenti AI assistiti, spostando l'attacco dalla fuga dalla sandbox alla manipolazione dell'umano e del modello che esamina il malware.
📌 Computer-Use and TOCTOU: What You Click Is Not What You Get! Johann Rehberger dimostra una condizione di race condition in un agente di uso del computer in cui lo schermo cambia dopo che il modello lo osserva ma prima che il clic venga effettuato, trasformando un'interazione apparentemente benigna in un'azione di invio in Outlook e rendendo la ri-validazione dei pixel o dello stato prima dell'azione un controllo fondamentale.
📌 The vibe coding spectrum approach to AI-assisted software development L'NCSC del Regno Unito inquadra la codifica assistita dall'AI come uno spettro di rischio, separando i prototipi a basso rischio dal codice generato che tocca autenticazione, autorizzazione, dati sensibili, comportamenti critici per la sicurezza o infrastrutture critiche.
📌 Prompt Injection and Agent Runtime Security: A Practical Threat Model TMLS inquadra il prompt injection come un problema di sicurezza runtime, mappando gli attacchi attraverso la mediazione degli strumenti, gli archivi di memoria, i canali in uscita e le lacune di approvazione umana. Il punto pratico è spostare i controlli in broker di capacità, esecuzione in sandbox, liste consentite e percorsi di audit invece di trattare il testo del prompt come confine di sicurezza.
📌 What happened after 2,000 people tried to hack my AI assistant Fernando Irarrázaval riporta una challenge di prompt injection su un agente email OpenClaw con oltre 6.000 tentativi e nessuna fuga di segreti riuscita, evidenziando al contempo problemi pratici di distribuzione come la contaminazione della memoria dell'agente, il contesto batch, il costo delle API, la sospensione dell'account e la scelta del modello.
