Le pagine web stanno imparando a derubare gli agenti AI

Per anni la cybersecurity ha avuto un copione relativamente stabile. L’attaccante cercava una vulnerabilità tecnica, il difensore aggiungeva patch, firewall, autenticazione multifattore, dashboard con grafici rassicuranti e budget sempre insufficienti. Poi è arrivata l’intelligenza artificiale agentica, cioè software capace di leggere, decidere, cliccare, pagare, scrivere codice, inviare email. In quel momento il bersaglio non è più stato soltanto il sistema informatico. È diventato il processo decisionale stesso.

Il report pubblicato il 23 aprile dal team sicurezza di Google descrive un fenomeno che molti dirigenti sottovalutano perché non ha l’estetica del cybercrime tradizionale. Nessun ransomware con teschi fluorescenti. Nessun hacker col cappuccio nei rendering da conferenza. Solo pagine web apparentemente innocue, disseminate di istruzioni invisibili progettate per essere lette non dagli esseri umani, ma dagli agenti AI. I ricercatori Thomas Brunner, Yu-Han Liu e Moni Pande hanno analizzato tra 2 e 3 miliardi di pagine web al mese e rilevato un aumento del 32% dei casi malevoli tra novembre 2025 e febbraio 2026.

Il dato conta, ma conta di più la natura del vettore. Il web nasce come spazio leggibile da browser e persone. Gli agenti AI lo reinterpretano come flusso di istruzioni. Dove l’uomo vede una pagina prodotto, il modello vede HTML, metadata, commenti nascosti, testo microscopico, stringhe semitrasparenti, frammenti che l’occhio ignora e la macchina assorbe disciplinatamente. È un vecchio trucco del marketing digitale travestito da nuova minaccia: parlare al crawler invece che al lettore. Solo che ora il crawler può avere accesso al conto aziendale.

Molti payload trovati da Google erano infantili. Prompt che chiedevano all’AI di twittare come un uccello, sabotare riassunti, manipolare ranking, disturbare funzioni automatiche. Folklore tossico, direbbe qualcuno. Ma i casi seri cambiano il tono della stanza. Alcuni tentavano di far restituire IP e password utente. Altri cercavano di convincere l’agente a eseguire comandi distruttivi sul dispositivo. Quando una pagina web prova a formattare la macchina dell’utente attraverso il suo assistente digitale, siamo usciti dalla fase demo.

Quasi in parallelo, i ricercatori di Forcepoint hanno osservato scenari ancora più istruttivi. Un payload conteneva una transazione PayPal completamente definita, con istruzioni passo-passo rivolte ad agenti dotati di capacità di pagamento. Un altro cercava di deviare pagamenti verso un link di donazione Stripe usando tecniche di injection nei meta tag e parole chiave persuasive. Un terzo sembrava pura ricognizione: capire quali modelli fossero vulnerabili prima di un’offensiva più ampia.

Qui emerge il vero nodo strategico. Se un dipendente clicca un link malevolo, la narrativa è chiara: errore umano. Se un criminale ruba credenziali, il SOC sa cosa cercare: login anomali, IP sospetti, escalation laterali. Ma se un agente AI aziendale, autorizzato e perfettamente autenticato, legge una pagina web e invia un pagamento fraudolento, i log sembrano normali. Nessuna intrusione evidente. Nessun allarme classico. Il sistema ha fatto esattamente ciò che poteva fare; ha solo obbedito all’interlocutore sbagliato.

È la trasformazione più sottile della sicurezza moderna: dall’access control al cognition control. Non basta più chiedersi chi entra. Bisogna chiedersi chi istruisce l’agente una volta entrato.

Il mondo enterprise sta correndo verso l’automazione agentica con l’entusiasmo tipico dei consigli di amministrazione quando sentono la parola “efficienza”. Assistenti che prenotano trasferte, agenti che riconciliano fatture, bot che negoziano fornitori, sistemi che leggono contratti e attivano workflow. Tutto magnifico nei keynote. Molto meno magnifico quando ci si ricorda che ogni nuova permission è una nuova superficie d’attacco. L’attacco cresce con il privilegio. Un agente che riassume pagine è poco rischioso. Un agente che può inviare bonifici è una banca con scarsa autostima.

OWASP ha già classificato il prompt injection come LLM01:2025, la vulnerabilità più critica nelle applicazioni basate su modelli linguistici. Non è allarmismo; è semplice contabilità del rischio. Quando un sistema prende decisioni in base a testo non affidabile, l’input diventa vettore operativo. Il confine tra contenuto e comando evapora.

Molti manager immaginano che basti “un modello più intelligente”. È un riflesso quasi religioso della Silicon Valley: se qualcosa non funziona, aggiungi scala computazionale e raccogli altri miliardi. Ma il problema non è solo l’intelligenza del modello. È l’architettura del controllo. Un agente può essere brillante e tuttavia manipolabile, come certi board pieni di CV eccellenti e giudizio intermittente.

Servono contromisure noiose, e proprio per questo spesso ignorate. Sandboxing rigoroso delle azioni, separazione tra lettura del web ed esecuzione di comandi, conferme umane per transazioni sensibili, allowlist di domini, policy granulari sulle capability, audit trail semantici che spieghino non solo cosa è stato fatto ma perché il sistema ha deciso di farlo. La sicurezza dell’AI non si compra con uno slogan, si progetta con attrito intelligente.

Il tema legale è ancora più divertente, nel senso cupo del termine. Se un agente con credenziali approvate effettua un pagamento fraudolento dopo aver letto una pagina malevola, chi paga il danno? L’azienda che ha distribuito l’agente? Il provider del modello? Il vendor software che ha integrato i tool? Il proprietario del sito che ospitava il payload? O il consulente che ha detto “deploy first, govern later”? La normativa corre dietro agli eventi con la grazia di un modem del 1998.

Nel contesto europeo la questione tocca anche governance, accountability e controlli richiesti dall’European Union AI Act. Se deleghi decisioni operative a sistemi autonomi senza adeguata supervisione, non stai innovando: stai esternalizzando responsabilità future al reparto legale.

Google nota che la rilevazione copre solo pagine web statiche pubbliche. Sono fuori scope social network, contenuti dietro login, siti dinamici. Traduzione brutale: la parte visibile del problema potrebbe essere la più piccola. Se già lì si osserva un +32%, immaginare il resto non richiede fantasia, solo esperienza.

La storia tecnologica insegna un pattern costante. Ogni nuovo layer di produttività genera un mercato parallelo di sfruttamento. Email ha prodotto phishing. Mobile ha prodotto smishing. Cloud ha prodotto misconfiguration industriale. AI agentica produrrà deception-as-a-service mirata alle macchine. Chi pensava che l’automazione eliminasse l’errore umano scoprirà che ha semplicemente creato l’errore sintetico.

La frase da ricordare è semplice: il browser del futuro non leggerà soltanto pagine, prenderà decisioni. Quando ciò accade, ogni pagina diventa un possibile campo minato.

Le imprese intelligenti non si chiederanno se usare agenti AI. Li useranno comunque, perché la pressione competitiva lo impone. La domanda vera è un’altra: quanta autorità concedere, con quali limiti, e con quale capacità di revoca immediata. Tutto il resto è teatro tecnologico con budget elevato.

Nel frattempo, da qualche parte, un truffatore sta scrivendo testo bianco su sfondo bianco per convincere un assistente aziendale a pagargli il pranzo. E spesso le rivoluzioni iniziano così: con qualcosa di ridicolo che nessuno ha preso sul serio.

Goggle Blog: https://security.googleblog.com/2026/04/ai-threats-in-wild-current-state-of.html