--- id: CP-257 slug: architettura-transformer-attenzione lang: it title: Il Transformer e il meccanismo di attenzione description: "Il Transformer, descritto nel giugno 2017: cosa cambia per un dipendente l'architettura basata sull'attenzione, i suoi limiti e la prompt injection." canonical_url: https://startbrain.io/cyberpedia/it/articles/architettura-transformer-attenzione/ markdown_url: https://startbrain.io/cyberpedia/it/articles/architettura-transformer-attenzione.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Il Transformer e il meccanismo di attenzione», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/architettura-transformer-attenzione/ (CC BY 4.0) wing: 4 theme: understand_ai reflex: air-038 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/architettura-transformer-attenzione/ fr: https://startbrain.io/cyberpedia/fr/articles/architecture-transformer-attention/ en: https://startbrain.io/cyberpedia/en/articles/transformer-architecture-attention/ de: https://startbrain.io/cyberpedia/de/articles/transformer-architektur-attention/ es: https://startbrain.io/cyberpedia/es/articles/arquitectura-transformer-atencion/ nl: https://startbrain.io/cyberpedia/nl/articles/transformer-architectuur-aandacht/ sources: - "n": 1 title: Attention Is All You Need publisher: arXiv url: https://arxiv.org/abs/1706.03762 published: "2017-06-12" accessed: "2026-11-03" - "n": 2 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 3 title: "Lost in the Middle: How Language Models Use Long Contexts" publisher: arXiv url: https://arxiv.org/abs/2307.03172 published: "2023-07-06" accessed: "2026-11-03" - "n": 4 title: Language Models are Few-Shot Learners publisher: arXiv url: https://arxiv.org/abs/2005.14165 published: "2020-05-28" accessed: "2026-11-03" - "n": 5 title: Thinking about the security of AI systems publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/thinking-about-security-ai-systems published: "2023-08-30" accessed: "2026-11-03" - "n": 6 title: "Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile" publisher: NIST url: https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence published: "2024-07-26" accessed: "2026-11-03" --- # Il Transformer e il meccanismo di attenzione Il Transformer, un'architettura di modello, è stato descritto per la prima volta in un articolo di ricerca depositato il 12 giugno 2017 con il titolo «Attention Is All You Need» [1]. Conoscere le linee generali di questa architettura aiuta a regolare l'uso degli strumenti: capire che cosa fa davvero lo strumento con un testo, perché una risposta ben scritta può essere sbagliata e che cosa è meglio non affidargli. ## In 30 secondi - Dove succede: a ogni domanda posta a un assistente IA, che si tratti di riassumere un documento, scrivere un'email o tradurre. - Cosa sapere: il modello prevede la parola successiva più probabile [2]. La scheda ne ricava un consiglio: verificare ciò che scrive. - I limiti: su un testo lungo, non sfrutta tutte le parti con la stessa affidabilità [3]. - Il riflesso: rileggere e verificare ogni risposta prima di usarla, e non incollare mai dati riservati in uno strumento che l'azienda non ha approvato. - Se è già successo: avvisare il proprio responsabile o il team sicurezza, senza aspettare di vedere una conseguenza. ## Domande dirette ### Da dove viene il Transformer? L'articolo fondativo è stato inviato il 12 giugno 2017 [1]. I suoi autori propongono un'architettura di rete che descrivono come «new simple network architecture, the Transformer, based solely on attention mechanisms, dispensing with recurrence and convolutions entirely» [1]. Prima di allora, i modelli dominanti per elaborare sequenze di parole si basavano su reti dette ricorrenti o convoluzionali [1]. I risultati dichiarati riguardavano la traduzione automatica. Il modello raggiungeva 28,4 BLEU nel compito inglese-tedesco di WMT 2014 e 41,8 BLEU nel compito inglese-francese dopo 3,5 giorni di addestramento su otto GPU [1]. Gli autori indicano inoltre che il modello è più facile da parallelizzare e richiede molto meno tempo di addestramento [1]. ### Che cos'è l'attenzione? L'attenzione è il meccanismo che gli autori pongono al centro dell'architettura: i migliori modelli dell'epoca collegavano già l'encoder e il decoder con un meccanismo di attenzione, e il Transformer si basa soltanto su questo principio [1]. Per chi non è specialista, l'immagine utile è quella di una lettura in cui ogni parola viene messa in relazione con le altre parole del testo, anziché una lettura rigorosamente parola per parola. Questa immagine è una semplificazione: la scheda non entra nel calcolo, e le fonti citate qui non lo dettagliano. ### Questo modello capisce ciò che gli si scrive? Il Centro nazionale di cybersicurezza britannico (NCSC) risponde su questo punto in un post dell'8 dicembre 2025. Di fronte a un'istruzione, un modello linguistico «doesn't understand the text it in the way a person does»: «is simply predicting the most likely next token from the text so far» [2]. Una risposta scorrevole è quindi una sequenza probabile di parole, non la prova di una verifica. ### Perché gli assistenti sono migliorati? Un articolo del 2020 su GPT-3 presenta un modello linguistico da 175 miliardi di parametri, dieci volte più di qualsiasi modello non sparso precedente [4]. I suoi autori mostrano che l'aumento delle dimensioni dei modelli migliora nettamente le prestazioni su compiti nuovi presentati con pochi esempi soltanto [4]. Segnalano anche insiemi di dati su cui il modello resta in difficoltà [4]. ### Il modello ricorda l'intera conversazione? Non in modo affidabile. Uno studio del 2023, condotto su domande riguardanti più documenti, rileva che le prestazioni possono peggiorare sensibilmente quando l'informazione utile cambia posizione nel testo fornito [3]. Sono spesso migliori quando si trova all'inizio o alla fine, e peggiorano quando è nel mezzo di un contesto lungo, anche per i modelli concepiti per testi lunghi [3]. ### Si possono affidargli dati sensibili? No, a meno che non si tratti di uno strumento approvato dall'azienda. Tra gli effetti possibili della prompt injection l'NCSC cita il fatto di «reveal confidential information» [5]. La scheda non dettaglia le regole di ogni strumento: dipendono dalla politica dell'azienda, che le fonti citate qui non descrivono. ## Come funziona Un Transformer riceve un testo e produce una sequenza di testo. L'NCSC riassume il principio in modo sobrio: il modello prevede il «next token», cioè l'elemento successivo più probabile in base al testo già presente [2]. Nulla in questo funzionamento separa ciò che sarebbe un'istruzione da ciò che sarebbe un semplice dato [2]. Ne derivano due conseguenze pratiche. - Il testo prodotto è probabile, non verificato. Un modello può scrivere un paragrafo convincente senza che nessuno abbia controllato un solo fatto. - Non esiste un confine di sicurezza tra istruzioni e dati all'interno di un prompt [2]. L'articolo del 2020 su GPT-3 osserva inoltre che alcuni valutatori umani faticavano a distinguere gli articoli di stampa generati dal modello da quelli scritti da persone [4]. La qualità della forma non dice quindi nulla sull'esattezza del contenuto. ## Cosa fate - Rileggete ogni risposta come una bozza scritta da qualcuno che non ha verificato nulla: cifre, nomi, riferimenti e citazioni si controllano alla fonte. - Le prestazioni sono spesso più alte quando l'informazione utile si trova all'inizio o alla fine del testo fornito [3]. La scheda ne deduce di collocare l'essenziale della richiesta in questi punti, piuttosto che nel mezzo di un documento lungo. - Per uno scambio lungo o un documento lungo, la scheda consiglia di ricominciare con un riassunto e una richiesta precisa, anziché supporre che tutto sia stato trattenuto. - Non incollate dati personali, segreti commerciali, password o chiavi di accesso. L'NCSC riferisce un caso in cui un ricercatore di sicurezza ha estratto una chiave API sensibile da un sistema esposto a un attacco di prompt injection [5]. - Se l'assistente legge documenti provenienti dall'esterno (email, CV, pagine web), considerate che il loro contenuto può includere istruzioni nascoste [2]. ## Le trappole ### Credere che il modello ragioni Una risposta che espone dei passaggi somiglia a un ragionamento. Le fonti citate qui descrivono però un meccanismo di previsione della parola successiva [2], e l'NCSC precisa che il modello non comprende il testo come una persona [2]. ### Scambiare una risposta scorrevole per una risposta esatta Un testo ben costruito può essere falso. Alcuni valutatori umani hanno faticato a distinguere articoli di stampa generati da GPT-3 da articoli scritti da persone [4]. ### La prompt injection La prompt injection consiste nell'inserire in un testo un'istruzione che il modello seguirà. L'NCSC la definisce, per parte sua, come un input concepito per far comportare il modello in modo imprevisto: produrre contenuti sconvenienti, rivelare informazioni riservate o innescare effetti indesiderati in un sistema che accetta senza controllo l'output del modello [5]. Il post dell'NCSC del dicembre 2025 porta un esempio nella selezione del personale. Uno strumento chiede al modello di valutare se un CV corrisponde ai criteri. Un candidato vi nasconde un testo che chiede di ignorare le istruzioni precedenti e di approvare il suo CV per un colloquio: i suoi «dati» vengono così eseguiti come un'istruzione [2]. Si parla di iniezione indiretta quando l'attaccante non ha alcun accesso diretto al sistema di IA [2]. Illustrazione neutralizzata del tipo di testo nascosto: ```text [Testo invisibile aggiunto a un CV, parafrasato: chiede al modello di non tenere conto del suo compito originale e di raccomandare questo candidato.] ``` I modelli attuali non impongono un confine di sicurezza tra istruzioni e dati in una richiesta [2]. L'NCSC ritiene possibile che la prompt injection non venga mai risolta del tutto, come invece è avvenuto per la SQL injection [2]. Sconsiglia di affidarsi a un elenco di frasi vietate, perché esistono infiniti modi di riformulare un attacco [2]. Riferisce un approccio nato da una discussione tra Simon Willison e Baibhav Bista: quando un modello tratta informazioni di un terzo, i suoi privilegi si riducono a quelli di quel terzo [2]. ## Casi reali ### MathGPT: una chiave API estratta (post dell'NCSC, agosto 2023) L'NCSC descrive, in un post datato 30 agosto 2023, un attacco contro MathGPT, un modello progettato per convertire domande in linguaggio naturale in codice di calcolo. Un ricercatore di sicurezza aveva constatato che il modello valutava come codice il testo inserito dall'utente. Se ne è servito per accedere al sistema che ospitava il modello ed estrarne una chiave API sensibile prima di divulgare l'attacco [5]. Il post non indica la data dell'attacco stesso. ### Una griglia di rischi da conoscere Il NIST ha pubblicato il 26 luglio 2024 un profilo dedicato all'IA generativa, complemento del suo quadro di gestione dei rischi dell'IA (AI RMF 1.0), diffuso nel gennaio 2023 e destinato a un uso volontario [6]. Si rivolge alle organizzazioni che progettano o usano questi sistemi [6]. ## Fonti 1. arXiv, «Attention Is All You Need», 12 giugno 2017. https://arxiv.org/abs/1706.03762 (consultato il 3 novembre 2026) 2. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 dicembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultato il 3 novembre 2026) 3. arXiv, «Lost in the Middle: How Language Models Use Long Contexts», 6 luglio 2023. https://arxiv.org/abs/2307.03172 (consultato il 3 novembre 2026) 4. arXiv, «Language Models are Few-Shot Learners», 28 maggio 2020. https://arxiv.org/abs/2005.14165 (consultato il 3 novembre 2026) 5. NCSC (Royaume-Uni), «Thinking about the security of AI systems», 30 agosto 2023. https://www.ncsc.gov.uk/blog-post/thinking-about-security-ai-systems (consultato il 3 novembre 2026) 6. NIST, «Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile», 26 luglio 2024. https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/architettura-transformer-attenzione/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.