Sintesi Tecnica: L'Anatomia di un Prompt Injection

Definizione del Problema

Quattro anni dopo l'identificazione iniziale del prompt injection nel 2022, il settore manca di un modello standardizzato e basato su componenti per analizzare gli attacchi. Attualmente, gli artefatti di prompt injection vengono documentati principalmente come stringhe letterali piuttosto che come exploit strutturati. Questo approccio basato sul "corrispettivo di stringhe" (string-matching) crea significative incongruenze nell'analisi: due analisti potrebbero non essere d'accordo se un prompt "DAN" (Do Anything Now) e un testo bianco su fondo bianco nascosto in un curriculum costituiscano lo stesso tipo di minaccia.

Man mano che gli agenti basati su Large Language Model (LLM) diventano più capaci, gli attacchi prendono di mira sempre più i sink tecnici IT (database, applicazioni web) e manipolano l'analisi della sicurezza assistita dall'IA (ad esempio, il triage dei malware). L'attuale mancanza di un modello a componenti impedisce a difensori, red teamer e team di Cyber Threat Intelligence (CTI) di etichettare, confrontare e mutare efficacemente gli attacchi. Inoltre, affidarsi all'analogia dell'SQL injection è una guida scarsa per la mitigazione, poiché gli LLM mancano di una distinzione intrinseca tra dati e istruzioni, rendendo il rischio residuo difficile da eliminare tramite query parametrizzate. Il problema non è solo la stringa di attacco, ma l'assenza di un linguaggio condiviso per descrivere i ruoli funzionali dell'artefatto.

Metodologia

Il documento propone un modello a sette componenti per formalizzare la struttura di un artefatto di prompt injection. Questo modello decompone l'attacco in cinque campi che descrivono l'artefatto stesso e due campi che descrivono l'ambiente. La metodologia prevede:

1. Definizione dei Ruoli Funzionali: Identificare i compiti specifici che un attacco deve svolgere per avere successo, andando oltre la formulazione superficiale per concentrarsi sulla meccanica sottostante (ad esempio, distinguere tra occultamento e vettore/carrier).
2. Stabilire Regole di Etichettatura: Creare regole decisionali per ridurre il disaccordo tra i codificatori, garantendo che diverse realizzazioni in linguaggio naturale che mappano lo stesso intento ricevano le stesse etichette strutturali.
3. Cross-Referencing con la Letteratura Precedente: Mappare il nuovo modello rispetto agli framework esistenti (tassonomie di Campagna, tassonomie di Tecnica, HOUYI, ReNeLLM, Promptware Kill Chain) per dimostrare come il nuovo modello copra lo spazio funzionale precedentemente affrontato solo parzialmente dagli altri.
4. Esempi Pratici: Applicare il modello a casi reali e illustrativi, inclusa la vulnerabilità EchoLeak (CVE-2025-32711) e un campione di malware in natura che tenta di eludere l'analisi della sicurezza assistita dall'IA.

Contributi Chiave

1. Il Modello a Sette Componenti

Il nucleo del contributo è una decomposizione strutturata del prompt injection in sette componenti:

• Campi dell'Artefatto (Il Corpo del Prompt):

  • Carrier (Vettore/Supporto): Contenuto dall'aspetto benigno che trasporta l'istruzione malevola (ad esempio, un bug report, un curriculum o un invito a calendario). Deve sopravvivere alla revisione umana e al recupero delle macchine.
  • Concealment (Occultamento): Lo strato di offuscamento (ad esempio, testo bianco su fondo bianco, codifica Base64, cambio di lingua) progettato per eludere il rilevamento umano o dei filtri.
  • Context-Break (Rottura del Contesto): L'escape sintattico (il "');--" del prompt injection) che termina il contesto dell'istruzione fidata, costringendo il modello a interpretare il testo successivo come una nuova istruzione.
  • Privilege Escalation (Escalation dei Privilegi): Distinto dal context-break, questo cambia ciò che il modello è disposto o in grado di fare. È diviso in Alignment Bypass (superamento dell'allineamento, ovvero sconfiggere l'addestramento al rifiuto tramite persona o manipolazione emotiva) e Capability Abuse (abuso di capacità, ovvero costringere un agente a usare permessi che già possiede, come nel pattern "confused deputy").
  • Payload (Carico Utile): L'istruzione eseguibile (shellcode). Il documento definisce classi funzionali (Recon, Exfiltration, Action, Persistence, DoS, Security Subversion) e sottolinea l'importanza di tracciare l'Intento (target dello strumento, sink, effetto) piuttosto che la formulazione superficiale.

• Campi dell'Ambiente:

  • Delivery Vector (Vettore di Consegna): Come l'artefatto entra nel confine di fiducia (Diretto vs. Indiretto). La consegna indiretta (ad esempio, documenti RAG avvelenati) scala indipendentemente dallo sforzo dell'attaccante.
  • Return Channel (Canale di Ritorno): Come i risultati raggiungono l'attaccante (Inline, HTTP, DNS, Email, Piattaforme di collaborazione, o Null per attacchi "fire-and-forget").

2. Record di Analisi Logica

Il documento introduce uno schema simile a JSON per registrare gli incidenti. Questo record separa l'Intento (l'obiettivo, ad esempio mostra_informazioni_clienti_correnti), la Superficie (la specifica formulazione o codifica) e l'Effetto Compilato (la chiamata allo strumento o l'azione effettiva). Ciò consente agli analisti di raggruppare le campagne che condividono la stessa "forma tecnica" anche con zero sovrapposizione lessicale.

3. Crosswalks e Proiezioni

Il documento fornisce una tabella di correlazione (crosswalk) che mappa i sette componenti alla Promptware Kill Chain e dimostra come i framework precedenti (HOUYI, ReNeLLM) siano proiezioni su sottospazi ristretti di questo modello. Ad esempio, si mostra come il risultato a due componenti di ReNeLLM sia una visione valida ma limitata dei jailbreak diretti, mentre il modello completo è necessario per attacchi agentici complessi.

Risultati e Casi Illustrativi

Il documento valida il modello attraverso esempi pratici:

• EchoLeak (CVE-2025-32711): Dimostrato come un attacco di Capability Abuse dove il carrier era un'email malevola, la consegna era indiretta tramite RAG, e il payload estraeva segreti utilizzando i permessi che l'agente già possedeva. Il canale di ritorno utilizzava un'immagine in stile Markdown come proxy per i dati attraverso i server di Microsoft.
• Campione di Malware per l'Evasione dell'IA: Un campione in natura (progetto "Skynet") caricato su VirusTotal tentava di manipolare un analista IA. Il binario agiva come carrier, con l'intento del payload essendo la Security Subversion (specificamente mark_benign). Il canale di ritorno era Null, poiché l'obiettivo era alterare la decisione del triage senza esfiltrazione.
• Agente Composito: Un esempio illustrativo che combina un ticket Jira avvelenato (Carrier) con commenti HTML (Concealment) e tag di sistema contraffatti (Context-Break) per innescare una SQL injection tramite uno strumento a valle.

Significato e Rivendicazioni

Il documento sostiene che questo modello a componenti fornisce un linguaggio condiviso per l'offesa, la difesa e l'intelligence sulle minacce che attualmente manca. La sua importanza risiede in:

1. Standardizzazione: Permette di classificare gli attacchi in base a intento e struttura piuttosto che su fragili firme di stringhe. Due attacchi con formulazioni diverse ma con lo stesso tuple di componenti (consegna, rottura del contesto, escalation dei privilegi, intento, canale di ritorno) vengono identificati come la stessa forma tecnica.
2. Miglioramento del Rilevamento e dell'Analisi: Concentrandosi sui ruoli funzionali (distinguendo tra alignment bypass e capability abuse), i difensori possono comprendere meglio la meccanica di un attacco. Il documento cita prove che il prompting guidato dalla tassonomia migliora i tassi di rilevamento dei jailbreak (dal 65,9% al 78,0% in lavori precedenti), suggerendo che le etichette strutturate migliorano l'analisi.
3. Utilità per la CTI: Il modello consente ai team CTI di raggruppare campagne e campioni di malware che condividono forme tecniche, anche quando incorporano prompt injection per manipolare l'analisi assistita dall'IA. Supporta la mappatura su standard industriali come STIX 2.1 e MITRE ATLAS.
4. Abilitazione del Red Teaming: Permette ai red teamer di variare un componente alla volta mantenendo fissa una catena di intento, facilitando la mutazione sistematica e il testing invece di un'iterazione opaca delle stringhe.

Il documento mantiene una posizione modesta, notando che il modello è descrittivo, non prescrittivo per la costruzione di guardrail. Riconosce che il successo rimane dipendente dal modello e non deterministico, raccomandando di registrare intervalli di Attack Success Rate (ASR) attesi piuttosto che indicatori di successo binari. La principale proposta di valore è la capacità di scomporre l'artefatto di prompt injection attraverso i ruoli funzionali necessari per attacchi agentici e ibridi, una capacità che nessun framework precedente possedeva.