Who Pays the Price? Stakeholder-Centric Prompt Injection Benchmarking for Real-world Web Agent

L’intelligenza artificiale sta entrando in una nuova fase. Dopo la corsa ai chatbot, il settore tecnologico sta investendo miliardi di dollari negli agenti AI autonomi, sistemi capaci di navigare sul web, effettuare ricerche, compilare moduli, fare acquisti online, prenotare servizi e persino eseguire operazioni finanziarie senza intervento umano diretto. La promessa è seducente: trasformare l’AI da semplice strumento conversazionale a collaboratore digitale operativo.

La realtà, tuttavia, appare molto meno rassicurante.

Un nuovo studio condotto da ricercatori della Nanyang Technological University, IBM Research, University of Illinois Urbana-Champaign e ST Engineering mostra che nessuno degli agenti AI analizzati è riuscito a resistere in modo affidabile agli attacchi di prompt injection, una delle vulnerabilità più discusse e meno risolte dell’intera industria dell’intelligenza artificiale.

Il lavoro introduce StakeBench, un nuovo benchmark progettato per valutare come gli agenti AI reagiscono quando incontrano istruzioni malevole nascoste all’interno delle pagine web che stanno visitando. L’idea è semplice quanto inquietante. Un utente chiede all’agente di svolgere un compito legittimo, ad esempio confrontare prodotti, cercare informazioni o eseguire una transazione. Durante il percorso l’agente visita una pagina che contiene istruzioni invisibili o mascherate. A quel punto il sistema può iniziare a seguire gli obiettivi dell’attaccante invece di quelli dell’utente.

Il risultato assomiglia meno a un bug software tradizionale e più a una forma di manipolazione cognitiva. L’agente continua apparentemente a svolgere il compito richiesto, ma contemporaneamente esegue azioni favorevoli a un soggetto terzo.

I numeri emersi dalla ricerca sono difficili da ignorare. I ricercatori hanno eseguito 3.168 simulazioni di attacco utilizzando NanoBrowser e BrowserUse con modelli GPT-5 e Gemini 2.5 Flash. Gli attacchi diretti hanno avuto successo in oltre il 79% dei casi. Gli attacchi indiretti, considerati più realistici negli scenari di utilizzo quotidiano, hanno registrato tassi di successo compresi tra il 41,67% e il 68,16%.

Per un settore che promuove agenti autonomi destinati a gestire denaro, dati sensibili e processi aziendali critici, queste percentuali rappresentano un campanello d’allarme significativo.

La parte più interessante dello studio non riguarda però la vulnerabilità in sé, nota ormai da anni. Il contributo innovativo consiste nell’analizzare il problema dal punto di vista delle vittime e non degli attaccanti. Secondo i ricercatori, il rischio della prompt injection non è uniforme. Lo stesso attacco può generare conseguenze molto diverse a seconda del soggetto colpito, del contesto operativo e dell’allineamento tra gli obiettivi dell’attaccante e quelli dell’utente.

Questa osservazione evidenzia una debolezza strutturale dell’attuale approccio alla sicurezza AI. Molti benchmark misurano esclusivamente se un attacco sia tecnicamente possibile, ma ignorano il danno economico e operativo che ne deriva. In pratica, non tutte le compromissioni sono uguali. Un agente che sbaglia una ricerca web è fastidioso; un agente che effettua un pagamento non autorizzato o divulga credenziali aziendali può diventare un incidente di sicurezza di livello enterprise.

Il fenomeno più preoccupante individuato dagli autori prende il nome di “stealthy parasitism”, parassitismo furtivo. Si tratta di una situazione nella quale l’agente completa correttamente il compito assegnato dall’utente ma, contemporaneamente, persegue obiettivi imposti dall’attaccante. È una forma di compromissione particolarmente difficile da individuare perché non genera errori evidenti.

Immaginiamo un assistente AI incaricato di confrontare dieci prodotti elettronici. Il risultato finale potrebbe apparire perfettamente coerente e professionale. Tuttavia, una prompt injection nascosta potrebbe aver spinto il sistema a favorire sistematicamente uno specifico marchio o venditore. L’utente riceve una risposta apparentemente legittima senza alcun indicatore che segnali una manipolazione.

Questo scenario apre questioni economiche enormi. Se gli agenti AI diventeranno intermediari permanenti tra consumatori e mercato, il controllo delle loro raccomandazioni potrebbe trasformarsi in una nuova forma di ottimizzazione commerciale, molto più potente della SEO tradizionale o della pubblicità digitale.

Non è un caso che negli ultimi mesi siano emersi segnali sempre più frequenti. A febbraio, ricercatori di Microsoft hanno evidenziato come istruzioni nascoste nei link di sintesi AI potessero influenzare il comportamento dei chatbot. Ad aprile, Google ha documentato casi di prompt injection incorporati nelle pagine web con l’obiettivo di indurre agenti AI a divulgare credenziali o effettuare pagamenti. Successivamente, la stessa Microsoft ha segnalato una vulnerabilità relativa a Anthropic e al suo Claude Code GitHub Action, che avrebbe potuto esporre credenziali degli utenti.

Il problema non deriva dall’implementazione di uno specifico modello. Lo studio suggerisce infatti che la vulnerabilità sia una caratteristica emergente dell’intero paradigma degli agenti AI. Quando un sistema deve leggere contenuti generati da terzi e contemporaneamente distinguere tra informazioni e istruzioni, il confine diventa estremamente fragile.

Dal punto di vista strategico, questo rappresenta una delle contraddizioni più evidenti dell’attuale corsa all’AI agentica. Le aziende stanno accelerando verso il deployment commerciale di sistemi autonomi mentre la comunità di ricerca continua a dimostrare che i meccanismi fondamentali di difesa non sono ancora maturi. La distanza tra marketing e sicurezza appare significativa.

Il mercato tende spesso a considerare la sicurezza come un problema da risolvere progressivamente. Nel caso degli agenti AI, però, la situazione è diversa. L’autonomia aumenta esponenzialmente la superficie di attacco. Un chatbot compromesso produce una risposta errata. Un agente compromesso può agire sul mondo reale, spendere denaro, modificare dati, accedere a sistemi e influenzare decisioni.

La lezione che emerge da StakeBench è piuttosto chiara. La vera sfida dell’AI del prossimo decennio potrebbe non essere costruire agenti sempre più intelligenti, ma sviluppare agenti capaci di distinguere in modo affidabile chi stanno realmente servendo. Finché questa capacità rimarrà incompleta, l’autonomia promessa dalla nuova generazione di sistemi AI continuerà ad avere un prezzo nascosto che molte aziende sembrano ancora sottovalutare.