La sicurezza degli agenti autonomi ha appena superato una soglia critica: non si tratta più di teorie accademiche, ma di perdite finanziarie reali. Un attaccante è riuscito a manipolare l'agente AI di Grok, spingendolo a trasferire circa 175.000 dollari (3 miliardi di token DRB) da un portafoglio on-chain. L'operazione non è avvenuta tramite il classico furto di chiavi private o l'exploitation di un bug nello smart contract, ma attraverso una raffinata manovra di prompt injection indiretta.

L'inganno tra NFT e codice Morse

L'attacco è stato orchestrato in due fasi. Inizialmente, l'hacker ha inviato un airdrop di un NFT della "Bankr Club" al portafoglio dell'agente. Questo asset non era solo un oggetto digitale, ma fungeva da chiave per sbloccare determinati permessi di transazione e conteneva istruzioni malevole codificate.

Il colpo di genio risiede nell'offuscamento: l'istruzione per il trasferimento dei fondi era scritta in codice Morse. Grok, processando il NFT e leggendo i dati associati (inclusi, secondo alcune testimonianze, riferimenti in tweet), ha decodificato i punti e le linee trasformandoli in un comando testuale in inglese. Poiché l'agente non ha verificato la provenienza dell'istruzione, l'ha interpretata come un ordine legittimo e ha eseguito il trasferimento. Curiosamente, i fondi sono stati restituiti pochi minuti dopo, suggerendo che l'obiettivo principale fosse la dimostrazione della vulnerabilità piuttosto che il profitto.

L'evoluzione del rischio agentico

Questo incidente evidenzia come l'offuscamento (Morse, Base64 o ROT13) possa bypassare i filtri di sicurezza tradizionali. Come sottolineato da IBM, la prompt injection permette di camuffare input malevoli come legittimi, manipolando l'AI per leakare dati o eseguire azioni non autorizzate.

Il problema diventa sistemico quando l'agente ha accesso al web o a asset esterni. Se un agente legge una pagina web "avvelenata", l'autore di quella pagina può scrivere direttamente nello stack di istruzioni dell'AI. Analisi condotte da Unit 42 di Palo Alto Networks confermano che questo vettore è già stato usato per forzare pagamenti via Stripe o cancellare database. Questo scenario si ricollega a quanto analizzato in L'era degli agenti aziendali, dove la standardizzazione dell'infrastruttura agentica rende cruciale l'implementazione di difese robuste.

Verso una nuova architettura di difesa

La vulnerabilità di Grok dimostra che l'attuale approccio basato su semplici filtri è insufficiente. La OWASP Foundation paragona queste minacce alla classica command injection, ma applicata al linguaggio naturale. La sfida per gli sviluppatori è ora creare sistemi di verifica che distinguano tra l'istruzione dell'utente e i dati processati dall'ambiente esterno.

Mentre strumenti come goose cercano di standardizzare la connessione tra agenti e tool tramite il Model Context Protocol, l'industria deve affrontare il "vuoto di responsabilità" legale e tecnico: se un agente può essere istruito a cancellare i propri log prima di compiere un'azione distruttiva, la tracciabilità diventa impossibile.