Quando l’AI diventa la superficie di attacco: rischi emergenti nella catena di approvvigionamento dei mercati delle competenze

Ogni grande rivoluzione del software introduce una nuova catena di approvvigionamento e una nuova superficie di attacco. Come l’era del codice aperto ha introdotto rischi nella catena di approvvigionamento attraverso registri di pacchetti come npm e PyPI, gli agenti AI segnano un punto di svolta. Questi agenti, attivi nei flussi di lavoro degli sviluppatori, nelle operazioni aziendali e nelle applicazioni dei consumatori su piattaforme come OpenClaw, Claude Code e Cursor, acquisiscono potere dalle loro estensioni attraverso installazioni di “competenze” – una capacità che richiede un approccio altrettanto rigoroso alla sicurezza.

Le competenze degli agenti sono pacchetti di capacità: piccoli bundle di istruzioni e script che concedono agli agenti AI l’accesso a strumenti, API esterne e sistemi di file locali. Distribuiti su piattaforme pubbliche come ClawHub, la barriera all’ingresso è estremamente bassa, con un minimo di controllo o supervisione. Misure di sicurezza fondamentali come la firma del codice obbligatoria, le revisioni di sicurezza e la sandboxing predefinita sono assenti. Ciò ha portato a una catena di approvvigionamento compromessa su larga scala: recenti ricerche su ToxicSkills che hanno scansionato quasi 4.000 competenze hanno trovato che circa 1 su 8 contengono almeno una criticità di sicurezza, tra cui la distribuzione di malware e l’iniezione di prompt. Quando si estende a qualsiasi livello di gravità, oltre un terzo dell’ecosistema è interessato. Pertanto, i leader della sicurezza devono essere pronti a mitigare proattivamente queste vulnerabilità.

L’anatomia di un attacco alla catena di approvvigionamento dell’AI

Gli attacchi alla catena di approvvigionamento tradizionalmente sfruttano il codice attraverso funzioni maliziose iniettate nelle dipendenze e nei flussi di lavoro di CI per azioni come l’esfiltrazione di dati, l’installazione di backdoor o l’escalation di privilegi. Tuttavia, gli strumenti di sicurezza sono diventati efficaci nel rilevare questi modelli di codice utilizzando l’analisi statica e il monitoraggio comportamentale. Le competenze degli agenti AI introducono un vettore diverso, poiché il loro payload principale è costituito da istruzioni in linguaggio naturale, contenute nel file SKILL.md – un set di istruzioni che gli attori malintenzionati hanno imparato a utilizzare come arma. Le ricerche su ToxicSkills mostrano che 91% delle competenze maliziose combinano malware tradizionale con l’iniezione di prompt, incorporando istruzioni nascoste che manipolano il ragionamento dell’agente in fase di esecuzione.

Il flusso di attacco è semplice: uno sviluppatore installa una competenza utile, che contiene un’iniezione di prompt nascosta progettata per sovrascrivere le barriere di sicurezza dell’agente. L’agente, seguendo istruzioni che non può distinguere da quelle legittime, ruba credenziali, esfila file o installa un backdoor mentre sembra funzionare normalmente.

Ciò è allarmante a causa della quantità di sviluppatori che eseguono agenti senza controlli di sicurezza regolari, concedendo agli agenti piena autonomia senza barriere di sicurezza. Di conseguenza, la considerazione attenta e l’intervento umano sono notevolmente ridotti, presentando un rischio maggiore per ogni sistema che l’agente ha toccato.

Il pericolo nascosto delle “competenze perdite”

Il pericolo si estende oltre le competenze maliziose intenzionali, poiché le vulnerabilità non intenzionali sono spesso più difficili da rilevare, più ampiamente diffuse e incorporate in competenze funzionali popolari e affidabili. Le verifiche di sicurezza dei principali mercati di competenze mostrano che le competenze ampiamente adottate costringono gli agenti AI a gestire dati sensibili in modo insicuro. I comportamenti a rischio includono l’esposizione di chiavi API, token di autenticazione e dati personali attraverso log in chiaro, file non protetti o direttamente nella finestra di contesto del modello, dove possono essere trasmessi involontariamente a servizi di terze parti.

Ciò è spesso dovuto al fatto che le competenze sono costruite rapidamente nell’era del “codice di vibrazione” senza un vero modello di sicurezza. Lo sviluppatore potrebbe trascurare il fatto che un token di integrazione, una volta nel contesto dell’agente, è effettivamente aperto e visibile a ogni sistema a valle. Ciò crea un rischio diffuso su piattaforme – assistenti personali come OpenClaw e agenti di codifica come Claude Code, Cursor e Windsurf – che milioni di sviluppatori utilizzano quotidianamente. L’utilizzo o la perdita di credenziali di una singola competenza popolare può avere un impatto su ogni sviluppatore, codice sorgente e sistema a cui l’agente ha avuto accesso, lasciando così l’intera catena di approvvigionamento a rischio. L’innovazione rapida consente una contaminazione rapida; e in questi casi, la scala non è un segnale di sicurezza.

Il punto cieco: perché i controlli di sicurezza tradizionali falliscono

I team di sicurezza che operano con controlli legacy come scanner di malware, analisi statica e monitoraggio comportamentale, stanno affrontando un modello di minaccia fondamentalmente diverso. La rilevazione tradizionale di malware cerca sfruttamento di codice concreto, ma non è in grado di analizzare istruzioni in linguaggio naturale per intenti avversari. Un’iniezione di prompt in un file SKILL.md appare, a uno scanner convenzionale, semplicemente come documentazione; non c’è una firma da segnalare fino a quando l’agente non agisce.

Le iniezioni di prompt manipolano il ragionamento dell’agente, causando la reinterpretazione delle istruzioni e la sovrascrittura delle linee guida di sicurezza per eseguire azioni proibite. Quando il danno è visibile, l’agente ha già agito. La persistenza di queste minacce è anche preoccupante: le competenze maliziose possono avvelenare la memoria a lungo termine dell’agente, corrompere il contesto persistente tra le sessioni. Questo scenario di “agente dormiente” significa che l’agente può continuare a eseguire istruzioni maliziose settimane dopo la rimozione della competenza, una situazione che la risposta agli incidenti convenzionale non può contenere. Chiudere questo gap richiede un approccio fondamentalmente diverso, nativo per gli agenti AI.

Rilevamento e correzione delle criticità nell’ecosistema delle competenze degli agenti

Questa nuova minaccia è gestibile, ma la finestra di azione è stretta. Prima che l’adozione degli agenti AI si consolidi, i leader della sicurezza devono stabilire quattro controlli fondamentali: audit, rilevamento precoce, rotazione delle credenziali e barriere di sicurezza AI adeguate.

1. Audit e inventario: Stabilire un inventario completo di ogni componente AI: modelli, agenti distribuiti e tutte le competenze installate. Ciò deve essere trattato con la rigidità di un software bill of materials (SBOM) per creare una baseline per il rilevamento di modifiche non autorizzate.
2. Rilevamento e rimozione: Scansionare continuamente le competenze attive per payload maliziosi, modelli di iniezione di prompt e comportamenti sospetti, inclusi tentativi di eseguire comandi shell o bypassare la supervisione dell’utente. La scansione automatica e continua è essenziale data la rapida crescita dei mercati.
3. Rotazione e protezione delle credenziali: Trattare tutte le credenziali (chiavi API, token) gestite da competenze non verificate come potenzialmente compromesse e ruotarle immediatamente. Gli agenti devono aderire al principio del minimo privilegio, accedendo solo alle credenziali e ai sistemi realmente necessari, senza accesso permanente agli ambienti di produzione.
4. Implementazione di barriere di sicurezza AI: Distribuire controlli di protezione in fase di esecuzione che monitorano il comportamento dell’agente in tempo reale, bloccando azioni pericolose e segnalando modelli anomali come accessi a file inaspettati. I file di memoria dell’agente, in particolare, dovrebbero essere monitorati per modifiche non autorizzate, poiché l’avvelenamento della memoria è un vettore di attacco persistente e difficile da rilevare.

L’ecosistema delle competenze degli agenti AI è una catena di approvvigionamento del software che richiede una rigorosa supervisione della sicurezza. Mentre le lezioni dell’era del codice aperto si applicano, le poste in gioco sono ora molto più alte, poiché gli agenti AI operano con autorizzazioni più ampie e una maggiore autonomia di quanto abbia mai fatto un gestore di pacchetti. Una singola competenza compromessa può propagarsi rapidamente, ottenendo accesso a credenziali di base e sistemi di produzione in migliaia di organizzazioni, pertanto i leader della sicurezza hanno una finestra di azione ristretta per agire proattivamente.

La catena di approvvigionamento dell’AI è già qui. La domanda è se la postura di sicurezza di un’organizzazione è pronta per essa. Le organizzazioni che stabiliscono un inventario, applicano il principio del minimo privilegio ed implementano barriere di sicurezza AI saranno in grado di muoversi rapidamente e in sicurezza con l’AI; mentre quelle che aspettano un incidente ad alto profilo per forzare la questione scopriranno che il costo della mitigazione supera di gran lunga il costo della prevenzione.