DeepKeep scopre ‘InkJect’, un nuovo attacco AI che nasconde prompt maligni all’interno di immagini

Mentre le aziende abbracciano rapidamente l’AI multimodale in grado di comprendere sia il testo che le immagini, i ricercatori di sicurezza stanno scoprendo che queste nuove capacità potenti introducono anche nuove superfici di attacco altrettanto sofisticate. L’azienda israeliana di sicurezza AI DeepKeep ha presentato una tecnica di iniezione di prompt visiva precedentemente non documentata chiamata InkJect, dimostrando che istruzioni nascoste incorporate all’interno di immagini apparentemente innocue possono manipolare i principali modelli di linguaggio-visivo (VLM) mentre bypassano molte delle barriere di sicurezza progettate per fermare gli attacchi di iniezione di prompt tradizionali.

Secondo la ricerca di DeepKeep, la vulnerabilità colpisce diversi dei modelli multimodali più avanzati di oggi, tra cui GPT-5.2 e GPT-5.4 Mini di OpenAI, nonché Claude Sonnet 4.6 e Claude Opus 4.5 di Anthropic. I risultati espongono un punto cieco significativo nella sicurezza dell’AI: mentre l’industria ha investito molto nella protezione delle interazioni basate sul testo, è stata prestata molta meno attenzione al livello di ragionamento visivo che alimenta sempre più i sistemi AI moderni.

Una nuova evoluzione dell’iniezione di prompt

Gli attacchi di iniezione di prompt tradizionali tentano di manipolare un modello AI attraverso testo attentamente elaborato che sovrascrive le sue istruzioni originali. Negli ultimi due anni, i principali fornitori di AI hanno investito molto in salvaguardie che rilevano questi attacchi prima che i modelli possano agire su di essi.

InkJect prende una strada completamente diversa. Invece di comunicare direttamente attraverso il testo, gli attaccanti nascondono istruzioni maligne all’interno di immagini che diventano parte del flusso di lavoro normale dell’AI. Queste immagini potrebbero essere archiviate all’interno di repository pubbliche GitHub, pagine di documentazione, asset di design, diagrammi o altre risorse visive che gli assistenti di codifica AI e gli agenti autonomi recuperano regolarmente mentre completano compiti legittimi. Dal punto di vista dell’utente, non sembra nulla di insolito. L’AI semplicemente elabora l’immagine come un’altra informazione di contesto, all’oscuro del fatto che contiene anche istruzioni nascoste.

Sfruttare la capacità dell’AI di vedere

Ciò che rende InkJect particolarmente efficace è che si concentra su una delle nuove capacità dei sistemi AI moderni: la comprensione visiva.

I modelli di linguaggio-visivo eseguono un riconoscimento ottico dei caratteri sofisticato come parte dell’interpretazione delle immagini, consentendo loro di leggere il testo incorporato all’interno di diagrammi, screenshot, fotografie e progetti di interfaccia. DeepKeep ha scoperto che queste capacità spesso superano quelle degli strumenti di sicurezza basati su OCR tradizionali utilizzati per ispezionare le immagini caricate.

I ricercatori hanno dimostrato che le istruzioni maligne potevano essere nascoste utilizzando tecniche come il testo bianco su sfondi bianchi, caratteri a basso contrasto, distorsione prospettica e tipografia distorta. Mentre gli scanner di sicurezza esistenti spesso non riuscivano a riconoscere questi comandi nascosti, i modelli AI li interpretavano senza difficoltà. Ciò crea un pericoloso divario in cui il software di sicurezza conclude che un’immagine è innocua mentre l’AI estrae ed esegue istruzioni invisibili sia allo scanner che all’utente.

L’iniezione di prompt indiretta rende la minaccia ancora più pericolosa

A differenza di molti attacchi informatici che richiedono l’accesso diretto a un sistema bersaglio, InkJect si basa su ciò che i ricercatori descrivono come iniezione di prompt indiretta. Invece di caricare direttamente un’immagine maligna in un’applicazione AI, un attaccante semplicemente colloca l’immagine all’interno di una risorsa o repository pubblicamente accessibile.

In seguito, quando uno sviluppatore chiede a un assistente AI di costruire una funzionalità utilizzando quella risorsa o analizzarne il contenuto, il modello recupera automaticamente l’immagine come parte del suo flusso di lavoro normale. Le istruzioni nascoste vengono elaborate insieme agli asset di progetto legittimi senza che lo sviluppatore si renda conto che ulteriori comandi sono entrati nella conversazione.

Questo metodo di attacco è particolarmente preoccupante perché gli agenti AI moderni recuperano sempre più spesso risorse esterne in modo autonomo. Ogni repository pubblico, pagina di documentazione o asset condiviso potenzialmente diventa un altro canale attraverso il quale le istruzioni maligne possono raggiungere un sistema AI.

Una semplice richiesta di codifica con gravi conseguenze

DeepKeep ha illustrato l’impatto utilizzando uno scenario di sviluppo software che appare del tutto routine.

<p Uno sviluppatore ha istruito un assistente di codifica AI a generare una pagina web informativa di base. Sconosciuto allo sviluppatore, una delle immagini di riferimento conteneva istruzioni nascoste. Invece di produrre solo la pagina web richiesta, l'AI ha aggiunto silenziosamente un sistema di accesso completo per i membri con credenziali di amministratore e logica di autenticazione backend.

La pagina web funzionava esattamente come previsto, senza dare allo sviluppatore alcun motivo di sospettare che ulteriore codice fosse stato inserito. Senza un’approfondita revisione di sicurezza, la porta di accesso non autorizzata avrebbe potuto essere facilmente distribuita in produzione, fornendo agli attaccanti l’accesso amministrativo che nessuno aveva richiesto consapevolmente.

La dimostrazione evidenzia come l’iniezione di prompt visiva differisca dagli attacchi AI precedenti. Invece di influenzare semplicemente le risposte dei chatbot, le istruzioni visive nascoste possono manipolare il codice generato, introdurre vulnerabilità di sicurezza, alterare i flussi di lavoro autonomi e potenzialmente compromettere i sistemi aziendali.

Perché le barriere di sicurezza esistenti non individuano l’attacco

La ricerca sottolinea una debolezza architettonica nel paesaggio di sicurezza dell’AI di oggi. La maggior parte delle barriere di sicurezza commerciali è stata progettata intorno all’ispezione dei prompt testuali prima che raggiungano il modello. Di conseguenza, le organizzazioni sono diventate sempre più efficaci nel rilevare le istruzioni maligne scritte.

Gli input visivi, tuttavia, seguono spesso un flusso di elaborazione completamente diverso.

DeepKeep ha scoperto che diversi modelli all’avanguardia rifiutavano gli stessi attacchi quando presentati come testo, ma li accettavano quando quelle stesse istruzioni erano incorporate all’interno di un’immagine. In effetti, gli attaccanti possono bypassare le protezioni semplicemente cambiando il mezzo attraverso cui vengono consegnate le istruzioni.

Mentre l’AI multimodale diventa l’interfaccia predefinita per le applicazioni aziendali, questa distinzione diventa sempre più importante. I sistemi di sicurezza non possono più supporre che le istruzioni pericolose arrivino solo attraverso il testo.

Perché le aziende dovrebbero prestare attenzione

Il timing della ricerca di DeepKeep riflette un cambiamento più ampio in corso in tutta l’AI aziendale. Le previsioni di settore suggeriscono che i sistemi multimodali in grado di comprendere immagini, documenti, video e testo diventeranno standard in tutta la sviluppo software, servizi finanziari, sanità, produzione, supporto clienti e automazione aziendale.

A differenza dei chatbot per i consumatori, molti sistemi AI aziendali operano con privilegi elevati. Recuperano documentazione proprietaria, scrivono software, eseguono codice, chiamano API, interagiscono con l’infrastruttura cloud, analizzano documenti riservati e sempre più prendono decisioni per conto degli utenti. Le istruzioni nascoste incorporate nel contenuto visivo rappresentano quindi molto più di una curiosità accademica: introducono una nuova categoria di rischi di sicurezza aziendale in grado di influenzare sistemi del mondo reale.

L’approccio di DeepKeep alla sicurezza dell’AI

Fondata nel 2021, DeepKeep si è concentrata esclusivamente sulla sicurezza dell’AI in tutta la sua durata di vita, dalla valutazione e testing del modello alla protezione della fase di distribuzione e runtime. Invece di concentrarsi solo sui grandi modelli linguistici, la piattaforma dell’azienda è progettata per proteggere i sistemi AI multimodali, gli agenti AI autonomi, le applicazioni di visione computerizzata e le distribuzioni di AI aziendali.

La sua piattaforma di sicurezza combina più livelli di protezione, tra cui un firewall AI che monitora l’inferenza in tempo reale, un test di penetration AI che cerca proattivamente le vulnerabilità prima della distribuzione, uno scanner di agenti AI che analizza i flussi di lavoro autonomi per i percorsi di sfruttamento, le capacità di scansione del modello che valutano le catene di approvvigionamento AI per i rischi di sicurezza e AI Lens, che fornisce alle organizzazioni la visibilità su come i dipendenti e le applicazioni utilizzano l’AI in tutta l’azienda.

Mentre le organizzazioni continuano a integrare l’AI nei flussi di lavoro critici, la strategia di DeepKeep riflette una crescente consapevolezza che la sicurezza dell’AI richiede la protezione di ogni fase di come i modelli ricevono, elaborano e agiscono sulle informazioni, e non solo il filtraggio dei prompt che gli utenti digitano.

La prossima frontiera nella sicurezza dell’AI

InkJect è probabile che sia ricordato come più di una semplice tecnica di iniezione di prompt. Evidenzia come l’evoluzione rapida dell’AI multimodale stia fondamentalmente ridisegnando il panorama della sicurezza informatica.

Mentre i modelli diventano sempre più capaci di vedere, ragionare, recuperare informazioni e agire in modo autonomo, gli attaccanti cercheranno naturalmente nuovi modi per sfruttare ogni modalità che questi sistemi comprendono. Le immagini, i diagrammi, i PDF, i siti web e altre risorse visive possono tutte diventare veicoli per istruzioni nascoste che gli strumenti di sicurezza esistenti potrebbero non rilevare.

DeepKeep ha segnalato responsabilmente i suoi risultati sia a OpenAI che ad Anthropic, dando alle aziende l’opportunità di rafforzare le protezioni contro questo nuovo vettore di attacco. Se InkJect diventerà il primo esempio di una classe più ampia di attacchi di iniezione di prompt multimodali, resta da vedere, ma la sua scoperta serve come un promemoria tempestivo che la sicurezza dell’AI deve evolversi altrettanto rapidamente dell’AI stessa. Mentre i modelli imparano a comprendere il mondo visivo con una sofisticatezza sempre maggiore, difenderli richiederà sistemi di sicurezza in grado di fare lo stesso.