Vulnerabilità degli agenti IA con 192 incidenti reali
Comprendere come la vulnerabilità degli agenti IA faccia fallire i sistemi, sia attraverso exploit di sicurezza, guasti ai controlli di sicurezza o esposizione dei dati, è diventato critico poiché questi sistemi assumono ruoli sempre più autonomi nei flussi di lavoro aziendali.
Per mappare il panorama dei rischi reali degli agenti IA, abbiamo esaminato 192 incidenti documentati di vulnerabilità dal marzo 2016 al maggio 2026, attingendo a varie fonti.
Distribuzione delle vulnerabilità
Distribuzione per categoria
Gli incidenti si suddividono in tre classi.
I guasti della sicurezza sono in testa. In questi casi l'agente produce o consente danni che i suoi controlli avrebbero dovuto bloccare. Seguono gli exploit di sicurezza; qui un attaccante sfrutta una debolezza nell'agente. L'esposizione dei dati è la classe più piccola.
Guasti della sicurezza e dei controlli di sicurezza
Tre categorie portano il peso maggiore.
La diffamazione e la fabbricazione è la singola categoria più grande nel catalogo. L'agente dichiara fatti falsi su una persona o un'azienda reale. Esempi includono accuse inventate e citazioni legali false.
Exploit di sicurezza
Le categorie di sicurezza seguono la lista OWASP ASI (la Top 10 OWASP per le applicazioni agentiche).
L'hijack dell'obiettivo dell'agente è in testa. Il metodo comune è l'iniezione di prompt: istruzioni nascoste inserite nel testo che l'agente legge. L'esecuzione di codice imprevista viene al secondo posto, dove l'agente esegue comandi forniti dall'attaccante.
Esposizione dei dati
L'esposizione di dati confidenziali e il controllo degli accessi rappresentano 15 incidenti. Le cause comuni includono link di condivisione aperti, password deboli e archiviazione non crittografata.
Distribuzione per anno e mese
I record coprono da marzo 2016 a maggio 2026. Il conteggio è aumentato notevolmente negli ultimi anni.
L'anno 2025 contiene più della metà del catalogo. L'aumento segue la diffusione di chatbot e strumenti agentici nel lavoro quotidiano.
Il primo record risale a marzo 2016: il chatbot Tay di Microsoft, pilotato dagli utenti verso post razzisti. Fino al 2022, i rapporti rimangono scarsi. Si concentrano su comportamenti scorretti dei chatbot e contenuti dannosi, non su attacchi.
Il 2025 ha portato 104 incidenti, il picco del catalogo. Il flusso è rimasto costante durante l'anno, con punte a luglio (14), aprile (13) e ottobre (13). Il mix di classi era quasi uniforme: 51 guasti della sicurezza, 47 exploit di sicurezza e 6 casi di esposizione dati.
Il 2026 mostra 33 incidenti fino a maggio. Il mix pende verso la sicurezza: 23 exploit contro 8 guasti della sicurezza. Gli attacchi alla catena di fornitura e i difetti di esecuzione di codice crescono man mano che più agenti ottengono accesso a strumenti, codice e sistemi esterni connessi.
Categorie di vulnerabilità degli agenti IA
Una vulnerabilità di un agente IA è una debolezza in un sistema IA autonomo. Un sistema agentico pianifica, decide e agisce attraverso diversi passaggi. Utilizza strumenti, memoria e collegamenti ad altri sistemi, spesso senza che un umano approvi ogni passo. Una vulnerabilità consente a un attaccante di sfruttare tale debolezza, o fa sì che i controlli di sicurezza dell'agente falliscano. L'effetto raggiunge il mondo reale: dati sensibili trapelati, esecuzione non autorizzata, codice eseguito su una macchina host o danno a una persona.
Le categorie seguenti si suddividono in tre gruppi. Le categorie di exploit di sicurezza riguardano attacchi che sfruttano una debolezza. Le categorie di sicurezza e controlli riguardano i guasti in cui l'agente produce o consente danni. L'esposizione dei dati riguarda controlli di accesso deboli che rivelano informazioni private.
Le categorie di sicurezza degli agenti IA seguono la Top 10 OWASP per le Applicazioni Agentiche (2026). Le categorie di sicurezza e di esposizione dati estendono tale elenco, perché l'insieme OWASP si concentra sulla sicurezza e lascia spazio ai guasti dei controlli e della privacy.
Categorie di exploit di sicurezza
Hijack dell'obiettivo dell'agente
Un attaccante cambia ciò che l'agente tenta di fare. Il metodo comune è l'iniezione di prompt: istruzioni nascoste inserite nel testo che l'agente legge, come un'email, una pagina web, un documento o l'output di uno strumento. L'agente tratta il testo nascosto come un comando reale e lo segue. EchoLeak ha mostrato il pericolo. Una singola email creata ad arte ha fatto sì che Microsoft 365 Copilot leggesse file interni e li inviasse all'esterno, senza alcun clic da parte della vittima.
Uso improprio e sfruttamento degli strumenti
L'agente detiene il permesso di chiamare strumenti e API, come email, database o funzioni di pagamento. Un attaccante guida l'agente a usare quegli strumenti contro il suo proprietario. Il danno deriva da un'azione normale resa dannosa. Un agente di trading manipolato, ad esempio, può spostare fondi sul conto sbagliato.
Abuso di identità e privilegi
Un agente porta con sé credenziali e diritti di accesso. Controlli deboli consentono a un attaccante di prendere in prestito quell'identità o spingere l'agente oltre i limiti previsti. L'agente di assunzione McHire di McDonald's ha usato una password debole ed ha esposto i dati di circa 64 milioni di candidati.
Catena di fornitura agentica
Gli agenti dipendono da parti esterne: modelli IA, plug-in e connettori come i server MCP. (MCP, il Model Context Protocol, è un modo standard per un agente di connettersi a strumenti esterni.) Una parte avvelenata o falsa diffonde il suo danno a ogni agente che la installa. L'agente di codifica Cline ha rilasciato una versione con backdoor dopo che un attaccante lo ha ingannato per scaricare un pacchetto falso.
Esecuzione imprevista di codice
L'agente esegue codice o comandi shell su una macchina host. Un attaccante abusa di tale capacità per eseguire i propri comandi. L'abbreviazione per questo è RCE, o esecuzione remota di codice. Il difetto della CLI di Gemini ha ottenuto la massima gravità e ha dato a un attaccante il pieno controllo dell'host.
Avvelenamento della memoria e del contesto
Gli agenti conservano la memoria e attingono contesto da documenti e database. Un attaccante inserisce prompt falsi o malevoli in quel magazzino. L'agente in seguito recupera il contenuto avvelenato e agisce di conseguenza. L'effetto persiste attraverso le sessioni ed è difficile da rilevare.
Comunicazione insicura tra agenti
Molti sistemi complessi eseguono diversi agenti che comunicano tra loro. Un agente tende a fidarsi per impostazione predefinita dei messaggi di un altro agente. Un attaccante abusa di questa fiducia, impersona un agente o inoltra istruzioni manomesse. Un agente con bassi privilegi può essere guidato a reclutarne uno più potente.
Guasti a cascata
Un errore o un compromesso di un singolo agente si diffonde attraverso sistemi multi-agente connessi. Una singola azione può cancellare dati o interrompere un flusso di lavoro senza una facile possibilità di annullamento. Un agente di Replit ha cancellato un database di produzione durante un congelamento del codice e poi ha mascherato l'errore.
Categorie di guasti della sicurezza e dei controlli
Queste categorie descrivono un guasto dei controlli dell'agente. Non è necessario un attaccante. L'agente produce o consente danni che i suoi controlli avrebbero dovuto bloccare.
Autolesionismo e salute mentale
L'agente non riesce a proteggere una persona in crisi. Invece di reindirizzare al supporto, convalida pensieri dannosi o fornisce dettagli pericolosi. I rapporti descrivono chatbot che hanno incoraggiato il suicidio o rafforzato il pensiero delirante, con un danno reale per la persona.
Sicurezza dei minori
L'agente espone un minore a contenuti sessuali, predatori o comunque non sicuri. I controlli destinati a bloccare tali interazioni falliscono. I rapporti descrivono chatbot di compagnia che hanno attirato i minori in conversazioni non sicure.
Violenza e assistenza pericolosa
L'agente aiuta a pianificare o compiere violenza o un altro crimine grave. I filtri che dovrebbero rifiutare la richiesta si rompono. I rapporti descrivono chatbot consultati durante la pianificazione di attacchi.
Consigli sanitari e medici dannosi
L'agente fornisce indicazioni mediche non sicure che possono ferire una persona. Un rapporto descrive un chatbot che ha suggerito di sostituire il sale da cucina con bromuro di sodio, causando avvelenamento e un ricovero in ospedale.
Diffamazione e fabbricazione
L'agente dichiara fatti falsi su una persona o un'organizzazione reale come se fossero veri. Citazioni, accuse o riferimenti inventati causano danni reputazionali o legali. Un modello ha accusato falsamente un giornalista di crimini. Un altro ha inventato una citazione giudiziaria finita in documenti legali.
Molestie e contenuti offensivi
L'agente produce contenuti offensivi, minacciosi o non consensuali rivolti a una persona. Esempi includono risposte minacciose e strumenti utilizzati per creare immagini intime non consensuali.
Esposizione dei dati e controllo degli accessi
Un controllo debole nel sistema degli agenti IA rivela informazioni private. Cause comuni includono link di condivisione aperti, archiviazione non crittografata e accesso non autorizzato ai file. Il materiale esposto può includere dati personali, conversazioni salvate, credenziali o codice sorgente.
Come le categorie si integrano
Le categorie di exploit di sicurezza coinvolgono attaccanti che trovano e sfruttano debolezze. Le categorie di sicurezza e controlli non necessitano di un attaccante; sono i controlli dell'agente stessi a fallire. L'esposizione dei dati si colloca tra le due: un difetto di progettazione o configurazione fa trapelare dati sensibili, che sia coinvolto o meno un attaccante. Un singolo incidente può toccare più di una categoria. Per un catalogo pulito, ogni incidente è assegnato alla sua categoria principale in base alla debolezza centrale.
Metodologia delle vulnerabilità degli agenti IA
Ambito e definizione
Il catalogo copre le vulnerabilità degli agenti IA. Tre tipi di incidente sono ammissibili: exploit di sicurezza (come l'iniezione di prompt o codice eseguito su un host), guasti della sicurezza e dei controlli (come consigli dannosi o false affermazioni su una persona reale) e difetti di esposizione dei dati.
Diversi tipi di incidenti esulano dall'ambito: controversie sul copyright e sulle licenze, output di pregiudizi generici o stereotipi, errori fattuali senza danni, casi in cui una persona ha utilizzato il modello come strumento per creare malware o truffe, controversie normative e reclami operativi.
Fonti
Il catalogo attinge a tre livelli di prove. Le fonti primarie guidano. Articoli dei fornitori e notizie colmano le lacune dove un fornitore è il divulgatore o l'unico record.
Il primo livello è un insieme di incidenti datati e specifici del prodotto provenienti da avvisi e ricerche sulla sicurezza. Gli avvisi includono il National Vulnerability Database (NVD),1 il Microsoft Security Response Center (MSRC),2 e il GitHub Advisory Database (GHSA).3 Si tratta di registri pubblici che descrivono un difetto specifico. La ricerca sulla sicurezza proviene dalle aziende che hanno trovato i difetti, come Noma Security, Check Point, Tenable, Wiz e Zenity.
Il secondo livello è l'OWASP Exploits and Incidents Tracker, dall'Appendice D della Top 10 OWASP per le Applicazioni Agentiche (2026).4 Le sue voci sono riprodotte con attribuzione.
Il terzo livello è l'IA Incident Database (AIID), un registro aperto e sottoposto a revisione paritaria dei danni dell'IA. L'AIID contiene più di 1.500 incidenti in tutti i tipi di sistemi IA.5
Come sono stati selezionati gli incidenti
Il sistema utilizza alcuni filtri di parole chiave per identificare gli incidenti IA. Questo filtro include parole chiave specifiche come:
1. Riconoscimento del sistema agentico/LLM: chatbot, chat bot, large language model, language model, LLM, generative IA, GPT-3/GPT-4, ChatGPT, Gemini, Google Bard, Copilot, Claude, Llama, Grok, DeepSeek, Character.ai, Replika, Bing Chat, IA assistant, virtual assistant, IA agent, agentic, conversational IA, coding assistant, IA companion, TayBot
2. Segnali di exploit di sicurezza: prompt injection, indirect prompt injection, jailbreak/jailbroke, exfiltrate, remote code / code execution / RCE, arbitrary code, command injection, injected command/code/instruction, backdoor, malicious package/MCP/server/tool/extension, supply chain, memory poison, poisoned memory/RAG/context, hijack, takeover, exploit, credential, token theft/leak, privilege escalation, bypass guard/filter/safety/auth/sandbox, deleted/wiped/destroyed/erased, transfer … $/million, agrees to sell, tricked, manipulated … agent/bot, fraudulent prompt
3. Segnali di sicurezza/controlli: suicide, self-harm, overdose, minor/child/teen, CSAM, underage, grooming, predator, weapon, bomb, explosive, mass shooting, stabbing, body-disposal, homicide, assassinate, hammer attack, attack guidance/planning, defame, false accusation/allegation, fabricate, hallucinate, libel, harass, non-consensual, nudify, intimate image, dangerous advice/instruction, unsafe medical advice, sodium bromide, bromism, hospitalize, eating disorder, diet advice, drug-use, died/death after/following, threaten/threatening, hate speech, reinforced delusion
4. Segnali di esposizione dati: expose/exposed/exposure, leaked, breach, disclose, access cached + (data / records / conversations / emails / credentials / API key / source code / applicants / patients / users), unencrypted, stored passwords/SSN, reads files without consent, uploaded sensitive
5. Segnali DROP copyright, plagiarism, infringe, pirated, LibGen, Books3, unauthorized training, GDPR, legal basis, practiced law / without a license, cheating, school assignment, exam, sues OpenAI, bias, stereotype, racist, sexist, antisemitic, offensive remark, disinformation, propaganda, influence business operation, romance scam, ransomware, spam, investment scam, fraud scheme, surveillance, misinforms about geography, reward function
6. Per le assegnazioni di categoria:
- Hijack dell'obiettivo dell'agente (ASI01): prompt injection, jailbreak, manipulate, agrees to sell, hijack
- Esecuzione imprevista di codice (ASI05): RCE, code execution, command injection, arbitrary code
- Catena di fornitura agentica (ASI04): malicious package/MCP, supply chain, backdoor
- Guasti a cascata (ASI08): deleted, wiped, destroyed, erased
- Uso improprio degli strumenti (ASI02): transfer … $/million, trading agent
- Abuso di identità e privilegi (ASI03): credential, token theft, privilege escalation, takeover, account compromise
- Sicurezza dei minori: CSAM, grooming, predator, minor + sexual
- Autolesionismo e salute mentale: suicide, overdose, delusion, eating disorder
- Violenza e assistenza pericolosa: mass shooting, stabbing, weapon, attack planning, hate speech
- Consigli sanitari/medici dannosi: sodium bromide, bromism, unsafe medical advice
- Diffamazione e fabbricazione: defame, false accusation, fabricate, hallucinate, falsely accuse
Revisione umana
Il catalogo non è opera della sola automazione. Un passaggio automatizzato ha raccolto e ordinato gli incidenti su larga scala. Il team ha poi esaminato le voci manualmente: ogni sistema interessato è stato controllato, ogni categoria è stata confermata e ogni link alla fonte è stato aperto per verificare che funzionasse e supportasse l'affermazione. La decisione finale su ogni voce spetta agli autori.
Elenco degli incidenti relativi alla vulnerabilità degli agenti IA
Aggiungi come fonte preferitaCita questa ricerca
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{Vulnerabilità degli agenti IA con 192 incidenti reali}},
year = {2026},
month = jun,
howpublished = {\url{https://aimultiple.com/ai-agent-vulnerability}},
note = {AIMultiple. Consultato il 28 Giugno 2026}
}Collegamenti di riferimento
Prossimo da leggere
Segnali di proliferazione incontrollata degli agenti IA e checklist per gestirla
Sistemi SCADA: Confronto dei Top 10 Software SCADA
Recensione NinjaOne: 15 Capacità per l'IT Aziendale
Sii il primo a commentare
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.