Immagina un mondo in cui il tuo computer non si limita a eseguire ordini, ma possiede effettivamente una cassetta degli attrezzi di "abilità" che può raccogliere e utilizzare. Pensa a queste abilità come a mattoncini LEGO o alle app sul tuo telefono: un mattoncino "Cerca File", un mattoncino "Invia Email" o un mattoncino "Leggi Documento". Queste sono chiamate Agent Skill (Abilità degli Agenti), e permettono a programmi per computer intelligenti (noti come Agenti AI) di svolgere compiti complessi incastrando questi strumenti tra loro. Ma proprio come nella vita reale, non tutti gli attrezzi nella cassetta sono sicuri. Alcuni potrebbero essere trappole nascoste progettate per rubare i tuoi segreti o cancellare i tuoi compiti. Per mantenere le cose sicure, abbiamo i Skill Scanners (Scansionatori di Abilità): guardie giurate digitali che controllano ogni nuovo strumento prima di lasciarti entrare nella tua cassetta degli attrezzi. Essi esaminano le istruzioni e il codice per assicurarsi che non ci sia nulla di subdolo nascosto all'interno. La grande domanda che i ricercatori si pongono è: cosa succede se i cattivi non provano a nascondere una singola trappola grande e ovvia, ma invece riescono a infiltrare tre o quattro piccoli pezzi dall'aspetto innocente che diventano pericolosi solo quando vengono incastrati insieme?

Questo è esattamente ciò che esplora il documento ColluSkill. Gli autori hanno scoperto un modo astuto per ingannare quelle guardie giurate. Hanno scoperto che gli scanner attuali sono come i bouncer che controllano ogni persona che entra in un club una alla volta. Se una persona sembra innocente da sola, entra. Ma i ricercatori hanno dimostrato che è possibile dividere un piano pericoloso in diverse parti minuscole e dall'aspetto innocente. Individualmente, ogni parte supera il controllo del bouncer. Ma una volta che sono tutte all'interno e lavorano insieme, si incastrano nuovamente per formare un attacco pericoloso. Il documento chiama questo processo ColluSkill, un framework che scompone un piano malevolo in una catena di abilità "colludenti". Utilizza un'IA intelligente per pianificare come questi pezzi si incastrano e poi continua a perfezionarli finché non sembrano perfettamente sicuri allo scanner, anche se sono pronti a causare guai una volta che iniziano a lavorare insieme.

Per combattere, il documento introduce un nuovo difensore chiamato ChainGuard. Invece di controllare solo il nuovo strumento in isolamento, ChainGuard guarda l'immagine completa: "Quali strumenti sono già nella cassetta degli attrezzi? Come si collega questo nuovo elemento agli altri?". È come una guardia giurata che non controlla solo la tua carta d'identità, ma chiede anche: "Con chi sei in programma di incontrarti e cosa state pianificando di fare insieme?". I ricercatori hanno testato le loro idee su sei diversi scanner di sicurezza e hanno scoperto che il loro trucco funzionava incredibilmente bene. L'attacco ColluSkill è riuscito a passare oltre gli scanner il 96,0% delle volte in media, mentre i vecchi metodi di attacco riuscivano solo circa il 37,8% delle volte. Tuttavia, quando hanno usato ChainGuard, il tasso di successo dell'attacco è sceso drasticamente al 22,5%, pur lasciando passare il 99,5% degli strumenti buoni e innocui.

La Storia del Set LEGO Furbo

Scendiamo più nel dettaglio di come tutto questo funzioni, usando una storia su un tipo molto specifico di rapina.

Il Probleo: La Guardia Giurata "Troppo Intelligente"
Immagina di cercare di infiltrare uno "Script di Esfiltrazione Dati" proibito (un programma che ruba i tuoi segreti) in un edificio ad alta sicurezza. La guardia giurata alla porta ha uno scanner. Se porti in un grande scatolone rosso con la scritta "DATI RUBATI", lo scanner urla: "BLOCCATO!" e ti ferma.

I ricercatori hanno scoperto che gli attuali scanner di sicurezza lavorano esattamente come questa guardia. Controllano una abilità alla volta. Esaminano le sue istruzioni, i suoi permessi e il suo codice. Se una singola abilità sembra sicura, riceve un "Pass". Il problema è che queste guardie non guardano l'intero team. Non si rendono conto che se porti dentro tre persone diverse, ognuna con un piccolo pezzo innocuo di un puzzle, quelle tre persone potrebbero essere in grado di assemblare il puzzle proibito una volta entrate.

L'Attacco: ColluSkill (Il Maestro del Travestimento)
Gli autori hanno creato un metodo chiamato ColluSkill per sfruttare questo punto cieco. Pensalo come un maestro ladro che decide di non portare un'unica grande bomba, ma di portare tre articoli separati dall'aspetto innocente:

1. Abilità A (Lo Scout): "Voglio solo dare un'occhiata ai file nella stanza." (Sembra innocua).
2. Abilità B (Lo Scriba): "Voglio solo scrivere ciò che vedo." (Sembra innocua).
3. Abilità C (Il Messaggero): "Voglio solo inviare un messaggio all'esterno." (Sembra innocua).

Individualmente, lo scanner di sicurezza controlla ciascuna di esse e dice: "Certamente, va bene". Ma ecco il trucco: ColluSkill usa un'IA intelligente per pianificare esattamente come queste si collegano.

• L'Abilità A trova un file segreto.
• L'Abilità A passa quel file all'Abilità B.
• L'Abilità B scrive i contenuti del file in un messaggio.
• L'Abilità B passa quel messaggio all'Abilità C.
• L'Abilità C invia il messaggio all'esterno.

La magia di ColluSkill risiede in due passaggi:

1. Pianificazione della Catena (Chain Planning): L'IA capisce l'ordine perfetto in modo che il "pericolo" sia distribuito. Nessuna singola abilità fa nulla di male da sola; si limitano a passare le informazioni.
2. Feedback dello Scanner (Scanner Feedback): L'IA prova a infilare le abilità. Se lo scanner segnala una di esse (ad esempio, "L'Abilità C sembra un po' sospetta"), l'IA la riscrive per farla sembrare più innocua, poi riprova. Continua così finché ogni singolo pezzo non supera il controllo.

Nei loro test, questo metodo è stato terrificantemente efficace. Quando hanno provato a far passare queste catene davanti a sei diversi scanner del mondo reale, ColluSkill ha avuto successo il 96,0% delle volte. Confrontalo con i vecchi metodi che si limitavano a dividere il codice malevolo senza questa pianificazione intelligente, che avevano successo solo circa il 36,7% delle volte. I ricercatori hanno scoperto che semplicemente dividere il codice non era sufficiente; era la pianificazione e la riscrittura a fare la differenza.

La Difesa: ChainGuard (Il Detective)
Quindi, come fermiamo questo? Il documento propone ChainGuard. Invece di essere una guardia che controlla le persone una alla volta, ChainGuard è un detective che guarda l'intero gruppo.

Quando una nuova abilità vuole entrare, ChainGuard chiede: "Chi è già nella stanza? Cosa stanno facendo?".

• Se l'Abilità C (Il Messaggero) prova a entrare, ChainGuard guarda le abilità installate e vede che l'Abilità A (Lo Scout) e l'Abilità B (Lo Scriba) sono già lì.
• Si rende conto: "Aspetta un momento. Se A trova segreti, B li scrive e C li invia, questa è una catena di furto!".
• Anche se l'Abilità C sembra innocua di per sé, ChainGuard la blocca a causa di ciò che potrebbe fare con le altre.

I risultati sono stati impressionanti. Quando i ricercatori hanno usato ChainGuard, il tasso di successo dell'attacco ColluSkill è sceso dal 96,0% al 22,5%. Fondamentalmente, ChainGuard non ha bloccato tutto; ha comunque permesso il passaggio del 99,5% dei workflow buoni e innocui. Ha imparato a distinguere tra una squadra di amici che costruiscono una casa e una squadra di ladri che pianificano una rapina.

Funziona davvero nel mondo reale?
I ricercatori non si sono fermati allo scanner di sicurezza. Hanno testato se queste catene subdole potessero effettivamente girare su veri strumenti di codifica AI come OpenCode, Claude Code e Codex. Hanno scoperto che le catene funzionavano perfettamente. Su OpenCode, le catene di attacco si sono attivate con successo l'89,5% delle volte (con GPT-5.5). Questo dimostra che la minaccia non è solo teorica; se un malintenzionato usasse questo metodo, potrebbe effettivamente eseguire questi attacchi su computer reali.

Il Punto Chiave
Il documento conclude che abbiamo un nuovo tipo di problema di sicurezza. Non possiamo limitarci a controllare se un singolo strumento è sicuro; dobbiamo controllare se un gruppo di strumenti è sicuro quando lavorano insieme. L'attacco ColluSkill mostra che dividere un piano malevolo in piccoli pezzi dall'aspetto innocente è un modo molto potente per aggirare le difese attuali. Ma la buona notizia è che ChainGuard mostra una strada da seguire: se iniziamo a guardare come gli strumenti si collegano e interagiscono, possiamo intercettare queste catene subdole prima che causino qualsiasi danno. I ricercatori suggeriscono che il futuro della sicurezza dell'IA non riguarda solo scanner migliori, ma guardie più intelligenti e consapevoli del contesto che comprendono l'intera storia, non solo i singoli capitoli.