I metadati fidati diventano il punto di attacco degli agenti AI
Il punto debole non è più l’ordine nascosto nel testo, ma il fatto che l’agente continui a fidarsi dei campi “innocui” con cui costruisce la propria realtà operativa. Se nome del mittente, ID di un pulsante o risultato di uno strumento vengono alterati, l’agente prosegue nel flusso corretto ma sopra dati avvelenati: la difesa che cerca solo istruzioni malevole può quindi mancare il colpo.
Una ricerca pubblicata il 6 luglio descrive agent data injection su sei modelli AI. I test mostrano agenti web e coding che possono essere indotti a cliccare, postare o eseguire comandi partendo da recensioni, commenti o metadati fabbricati, non da un prompt apertamente malevolo. Il problema si estende oltre M365 Copilot: riguarda qualsiasi assistente che legga contenuti non fidati e possa agire su di essi.
Per i team che governano questi sistemi, il cambio di modello è netto: non basta più filtrare il testo che “sembra” un prompt injection, serve trattare come superficie d’attacco anche la provenienza dei metadati su cui l’agente decide cosa sia vero.