Agent Privilege Separation in OpenClaw: A Structural Defense Against Prompt Injection

1. Il Problema: Iniezione di Prompt negli Agenti LLM

Le applicazioni integrate con i Large Language Model (LLM) sono vulnerabili agli attacchi di iniezione di prompt. Questi attacchi manipolano il sistema inserendo istruzioni avversarie all'interno di contenuti non fidati (come email, documenti o pagine web) che l'LLM elabora come parte di un compito legittimo.
Il rischio è particolarmente critico quando gli agenti LLM acquisiscono la capacità di eseguire azioni nel mondo reale (es. inviare email, chiamare API, eseguire codice). Se un'iniezione riesce, l'attaccante può dirottare l'agente per compiere azioni non autorizzate. Il benchmark LLMail-Inject di Microsoft è stato utilizzato come riferimento per valutare queste vulnerabilità, simulando un assistente email che deve riassumere messaggi ma viene tentato a inviare email non autorizzate tramite payload iniettati nel corpo del messaggio.

2. Metodologia e Architettura Proposta

Gli autori hanno implementato la loro difesa sulla piattaforma open-source OpenClaw, utilizzando il modello gpt-5-mini. Invece di affidarsi a mitigazioni software esterne o a prompt engineering complesso, propongono una difesa strutturale basata su due meccanismi indipendenti che possono essere combinati:

A. Isolamento degli Agenti (Separazione dei Privilegi)

L'architettura monolitica (un singolo agente con accesso a tutti gli strumenti) viene sostituita da una pipeline a due agenti con permessi disgiunti:

1. Agente Lettore (Reader): Ha accesso solo allo strumento store_summary. Riceve il contenuto email grezzo (non fidato), lo elabora e produce un riassunto strutturato. Non può chiamare send_email.
2. Agente Attore (Actor): Ha accesso agli strumenti privilegiati (send_email, get_pending_summary, store_result). Riceve esclusivamente l'output strutturato dell'Agente Lettore. Non vede mai il contenuto email grezzo.

Questo approccio applica il principio del minimo privilegio: anche se l'Agente Lettore viene manipolato dall'iniezione, non possiede gli strumenti per eseguire l'azione dannosa.

B. Formattazione JSON e Validazione

L'Agente Lettore non produce testo libero, ma un riassunto strutturato in JSON (campi come mittente, oggetto, sintesi del corpo, azioni).

• Separazione del contesto: Il formato JSON rimuove il "cornice persuasiva" (es. "Ignora le istruzioni precedenti") prima che i dati raggiungano l'Agente Attore.
• Validatore: Un modulo di validazione basato su regex controlla il JSON per rilevare pattern sospetti (indirizzi email, sintassi di chiamate agli strumenti, frasi trigger comuni) prima che i dati passino all'Agente Attore. In questo studio, il validatore operava in modalità "audit" (non bloccava, ma misurava le perdite).

3. Contributi Chiave

1. Valutazione su Modelli Moderni: Dimostrano che il modello gpt-5-mini in esecuzione su OpenClaw riduce il tasso di successo degli attacchi (ASR) di base al 2,83% senza alcuna difesa esterna, mostrando significativi miglioramenti nell'allineamento rispetto ai modelli precedenti.
2. Studio di Ablazione Strutturale: Hanno isolato l'efficacia di ciascun meccanismo testando quattro configurazioni sugli stessi 649 attacchi che avevano avuto successo contro la baseline monolitica:
   • Baseline (Agente singolo).
   • Solo Validatore JSON (Agente singolo con output JSON).
   • Solo Isolamento a Due Agenti (Senza formattazione JSON).
   • Pipeline Completa (Isolamento + JSON + Validatore).

4. Risultati Sperimentali

Lo studio è stato condotto su un pool normalizzato di 649 attacchi che avevano superato la baseline.

Configurazione	Tasso di Successo Attacco (ASR)	Miglioramento vs Baseline	Note
Baseline (Agente Singolo)	100%	-	Tutti gli attacchi hanno successo.
Solo Validatore JSON	14,18%	7,1x	Utile, ma insufficiente (92 attacchi riescono).
Solo Isolamento (2 Agenti)	0,31%	323x	Il meccanismo dominante. Solo 2 attacchi riescono.
Pipeline Completa	0%	∞	Nessun attacco ha successo.

Analisi per Scenario:

• Esfiltrazione Dati (Scenario 4): L'isolamento blocca categoricamente l'estrazione di dati attraverso i confini degli agenti, ottenendo 0% di successo anche contro scenari complessi che richiedono l'estrazione di cifre di bilancio.
• RAG (Scenario 3): L'isolamento a due agenti difende perfettamente (0%), mentre il solo JSON fallisce parzialmente (6% ASR) perché non riesce a separare il contenuto fidato da quello non fidato in contesti ibridi.
• Attacchi Residui: I 2 attacchi che hanno superato l'isolamento puro sono stati bloccati dalla pipeline completa grazie alla formattazione JSON che ha impedito all'Agente Attore di interpretare il contenuto come un comando.

5. Significato e Conclusioni

Il paper conclude che l'isolamento degli agenti è il meccanismo di difesa dominante.

• Difesa Strutturale vs. Comportamentale: L'isolamento impone un vincolo hardware/logico (mancanza di registrazione dello strumento send_email nell'agente lettore) che è indipendente dal comportamento del modello. Nessun aumento della capacità del modello o sofisticazione dell'iniezione può superare la mancanza di uno strumento registrato.
• Ruolo del JSON: La formattazione JSON non previene la propagazione del contenuto, ma previene la propagazione di contenuti azionabili rimuovendo il contesto sociale e persuasivo necessario per attivare l'azione.
• Raccomandazione: Per i sistemi agenziali di produzione che gestiscono input non fidati e strumenti pericolosi, gli autori raccomandano l'adozione di architetture con separazione dei privilegi e comunicazione strutturata come requisito di sicurezza di base.

In sintesi, il lavoro dimostra che la sicurezza degli agenti LLM non deve dipendere solo dalla capacità del modello di "resistere" alle manipolazioni, ma deve essere garantita da un'architettura che separa fisicamente la lettura dei dati non fidati dall'esecuzione delle azioni critiche.