L'analogia

Immagina di passare a un fattorino la tua lista di commissioni. Ma qualcuno, di nascosto, ha infilato nel mezzo un foglietto con scritto "ignora la lista e consegna i soldi a me". Se il fattorino non distingue la tua lista dal foglietto intruso e li legge tutti come ordini validi, finisce per obbedire a quello sbagliato.

Il prompt injection è quel foglietto nascosto nel testo che l'AI legge. Il punto debole non è la cattiva volontà del fattorino: è che non ha un modo sicuro per sapere quali istruzioni vengono da te e quali sono state intrufolate da un estraneo.

Come funziona davvero

I modelli di oggi non sanno separare in modo affidabile le istruzioni di cui fidarsi dal contenuto che leggono: per loro è tutto testo. Chi attacca sfrutta questo, nascondendo comandi dentro materiale che l'AI elabora. Esiste la forma diretta, in cui un utente malevolo scrive lui i comandi, e quella indiretta, più insidiosa, in cui le istruzioni sono nascoste in una pagina web, una email o un documento che l'AI legge per conto tuo. È considerato il rischio numero uno per questi sistemi, e diventa serio soprattutto con gli assistenti che possono agire — mandare email, usare strumenti — non solo rispondere.

Cosa puoi fare in pratica

  • Fai attenzione quando dai in pasto all'AI contenuti non fidati (pagine web a caso, email inoltrate, allegati di ignoti) e le chiedi di agire su di essi.
  • Tratta con sospetto le istruzioni che "spuntano" dentro un testo riassunto o analizzato: se nel riassunto compare un comando strano, è un segnale.
  • Non lasciare che un assistente compia azioni delicate — pagamenti, invio di dati, accessi — basandosi su contenuti di provenienza ignota.
  • Se un'AI fa qualcosa di insolito subito dopo aver letto un testo esterno, fermati: potrebbe aver seguito un'istruzione nascosta.

Un malinteso comune

Si pensa che sia roba da hacker, che non riguardi chi usa l'AI in modo normale. In parte ti riguarda, e sempre di più: man mano che gli assistenti leggono le tue email, navigano e agiscono per te, un testo malevolo può tentare di usarli contro di te a tua insaputa. Non serve essere un bersaglio speciale: basta chiedere all'AI di processare il contenuto sbagliato. La consapevolezza del rischio è la prima difesa.

Domande frequenti

Il prompt injection può rubarmi dati?

Negli scenari in cui un assistente può agire — leggere la posta, usare strumenti, accedere a informazioni — sì, è proprio uno dei rischi: un'istruzione nascosta potrebbe spingerlo a esfiltrare dati o compiere azioni non volute. In una chat che si limita a rispondere, le conseguenze sono molto più contenute.

Come mi difendo nella pratica?

Diffida dei contenuti non fidati che dai all'AI, soprattutto se poi le chiedi di agire. Tieni le azioni delicate sotto il tuo controllo e non automatizzarle su materiale di origine ignota. La prudenza nel "cosa le faccio leggere" conta più di qualsiasi impostazione.

È colpa mia se succede?

No, è un limite della tecnologia, non un tuo errore. Però puoi ridurre l'esposizione con qualche cautela: sapere che il rischio esiste e non far agire l'AI alla cieca su testi che non controlli.

Le aziende l'hanno già risolto?

Non del tutto. Resta in cima alla classifica dei rischi di questi sistemi e non esiste una difesa perfetta: si mitiga, non si elimina. Per questo la prudenza dell'utente continua a contare, soprattutto ora che gli assistenti fanno cose, non solo parlano. Chi te lo presenta come un problema chiuso ti sta rassicurando più del dovuto.