Il Transformer e il meccanismo di attenzione
Il Transformer, descritto nel giugno 2017: cosa cambia per un dipendente l'architettura basata sull'attenzione, i suoi limiti e la prompt injection.
In 30 secondi
- Dove succede
- A ogni domanda posta a un assistente IA, che si tratti di riassumere un documento, scrivere un'email o tradurre.
- Cosa sapere
- Il modello prevede la parola successiva più probabile2. La scheda ne ricava un consiglio: verificare ciò che scrive.
- I limiti
- Su un testo lungo, non sfrutta tutte le parti con la stessa affidabilità3.
- Il riflesso
- Rileggere e verificare ogni risposta prima di usarla, e non incollare mai dati riservati in uno strumento che l'azienda non ha approvato.
- Se è già successo
- Avvisare il proprio responsabile o il team sicurezza, senza aspettare di vedere una conseguenza.
Di cosa si tratta
Il Transformer, un'architettura di modello, è stato descritto per la prima volta in un articolo di ricerca depositato il 12 giugno 2017 con il titolo «Attention Is All You Need»1.
Conoscere le linee generali di questa architettura aiuta a regolare l'uso degli strumenti: capire che cosa fa davvero lo strumento con un testo, perché una risposta ben scritta può essere sbagliata e che cosa è meglio non affidargli.
Domande dirette
Da dove viene il Transformer?
L'articolo fondativo è stato inviato il 12 giugno 20171. I suoi autori propongono un'architettura di rete che descrivono come «new simple network architecture, the Transformer, based solely on attention mechanisms, dispensing with recurrence and convolutions entirely»1. Prima di allora, i modelli dominanti per elaborare sequenze di parole si basavano su reti dette ricorrenti o convoluzionali1.
I risultati dichiarati riguardavano la traduzione automatica. Il modello raggiungeva 28,4 BLEU nel compito inglese-tedesco di WMT 2014 e 41,8 BLEU nel compito inglese-francese dopo 3,5 giorni di addestramento su otto GPU1. Gli autori indicano inoltre che il modello è più facile da parallelizzare e richiede molto meno tempo di addestramento1.
Che cos'è l'attenzione?
L'attenzione è il meccanismo che gli autori pongono al centro dell'architettura: i migliori modelli dell'epoca collegavano già l'encoder e il decoder con un meccanismo di attenzione, e il Transformer si basa soltanto su questo principio1. Per chi non è specialista, l'immagine utile è quella di una lettura in cui ogni parola viene messa in relazione con le altre parole del testo, anziché una lettura rigorosamente parola per parola. Questa immagine è una semplificazione: la scheda non entra nel calcolo, e le fonti citate qui non lo dettagliano.
Questo modello capisce ciò che gli si scrive?
Il Centro nazionale di cybersicurezza britannico (NCSC) risponde su questo punto in un post dell'8 dicembre 2025. Di fronte a un'istruzione, un modello linguistico «doesn't understand the text it in the way a person does»: «is simply predicting the most likely next token from the text so far»2. Una risposta scorrevole è quindi una sequenza probabile di parole, non la prova di una verifica.
Perché gli assistenti sono migliorati?
Un articolo del 2020 su GPT-3 presenta un modello linguistico da 175 miliardi di parametri, dieci volte più di qualsiasi modello non sparso precedente4. I suoi autori mostrano che l'aumento delle dimensioni dei modelli migliora nettamente le prestazioni su compiti nuovi presentati con pochi esempi soltanto4. Segnalano anche insiemi di dati su cui il modello resta in difficoltà4.
Il modello ricorda l'intera conversazione?
Non in modo affidabile. Uno studio del 2023, condotto su domande riguardanti più documenti, rileva che le prestazioni possono peggiorare sensibilmente quando l'informazione utile cambia posizione nel testo fornito3. Sono spesso migliori quando si trova all'inizio o alla fine, e peggiorano quando è nel mezzo di un contesto lungo, anche per i modelli concepiti per testi lunghi3.
Si possono affidargli dati sensibili?
No, a meno che non si tratti di uno strumento approvato dall'azienda. Tra gli effetti possibili della prompt injection l'NCSC cita il fatto di «reveal confidential information»5. La scheda non dettaglia le regole di ogni strumento: dipendono dalla politica dell'azienda, che le fonti citate qui non descrivono.
1Come funziona1 min
Un Transformer riceve un testo e produce una sequenza di testo. L'NCSC riassume il principio in modo sobrio: il modello prevede il «next token», cioè l'elemento successivo più probabile in base al testo già presente2. Nulla in questo funzionamento separa ciò che sarebbe un'istruzione da ciò che sarebbe un semplice dato2.
Ne derivano due conseguenze pratiche.
- Il testo prodotto è probabile, non verificato. Un modello può scrivere un paragrafo convincente senza che nessuno abbia controllato un solo fatto.
- Non esiste un confine di sicurezza tra istruzioni e dati all'interno di un prompt2.
L'articolo del 2020 su GPT-3 osserva inoltre che alcuni valutatori umani faticavano a distinguere gli articoli di stampa generati dal modello da quelli scritti da persone4. La qualità della forma non dice quindi nulla sull'esattezza del contenuto.
2Cosa fate1 min
- Rileggete ogni risposta come una bozza scritta da qualcuno che non ha verificato nulla: cifre, nomi, riferimenti e citazioni si controllano alla fonte.
- Le prestazioni sono spesso più alte quando l'informazione utile si trova all'inizio o alla fine del testo fornito3. La scheda ne deduce di collocare l'essenziale della richiesta in questi punti, piuttosto che nel mezzo di un documento lungo.
- Per uno scambio lungo o un documento lungo, la scheda consiglia di ricominciare con un riassunto e una richiesta precisa, anziché supporre che tutto sia stato trattenuto.
- Non incollate dati personali, segreti commerciali, password o chiavi di accesso. L'NCSC riferisce un caso in cui un ricercatore di sicurezza ha estratto una chiave API sensibile da un sistema esposto a un attacco di prompt injection5.
- Se l'assistente legge documenti provenienti dall'esterno (email, CV, pagine web), considerate che il loro contenuto può includere istruzioni nascoste2.
3Le trappole2 min
Credere che il modello ragioni
Una risposta che espone dei passaggi somiglia a un ragionamento. Le fonti citate qui descrivono però un meccanismo di previsione della parola successiva2, e l'NCSC precisa che il modello non comprende il testo come una persona2.
Scambiare una risposta scorrevole per una risposta esatta
Un testo ben costruito può essere falso. Alcuni valutatori umani hanno faticato a distinguere articoli di stampa generati da GPT-3 da articoli scritti da persone4.
La prompt injection
La prompt injection consiste nell'inserire in un testo un'istruzione che il modello seguirà. L'NCSC la definisce, per parte sua, come un input concepito per far comportare il modello in modo imprevisto: produrre contenuti sconvenienti, rivelare informazioni riservate o innescare effetti indesiderati in un sistema che accetta senza controllo l'output del modello5.
Il post dell'NCSC del dicembre 2025 porta un esempio nella selezione del personale. Uno strumento chiede al modello di valutare se un CV corrisponde ai criteri. Un candidato vi nasconde un testo che chiede di ignorare le istruzioni precedenti e di approvare il suo CV per un colloquio: i suoi «dati» vengono così eseguiti come un'istruzione2. Si parla di iniezione indiretta quando l'attaccante non ha alcun accesso diretto al sistema di IA2.
Illustrazione neutralizzata del tipo di testo nascosto:
[Testo invisibile aggiunto a un CV, parafrasato: chiede al modello di non tenere conto
del suo compito originale e di raccomandare questo candidato.]I modelli attuali non impongono un confine di sicurezza tra istruzioni e dati in una richiesta2. L'NCSC ritiene possibile che la prompt injection non venga mai risolta del tutto, come invece è avvenuto per la SQL injection2. Sconsiglia di affidarsi a un elenco di frasi vietate, perché esistono infiniti modi di riformulare un attacco2. Riferisce un approccio nato da una discussione tra Simon Willison e Baibhav Bista: quando un modello tratta informazioni di un terzo, i suoi privilegi si riducono a quelli di quel terzo2.
4Casi reali1 min
MathGPT: una chiave API estratta (post dell'NCSC, agosto 2023)
L'NCSC descrive, in un post datato 30 agosto 2023, un attacco contro MathGPT, un modello progettato per convertire domande in linguaggio naturale in codice di calcolo. Un ricercatore di sicurezza aveva constatato che il modello valutava come codice il testo inserito dall'utente. Se ne è servito per accedere al sistema che ospitava il modello ed estrarne una chiave API sensibile prima di divulgare l'attacco5. Il post non indica la data dell'attacco stesso.
Una griglia di rischi da conoscere
Il NIST ha pubblicato il 26 luglio 2024 un profilo dedicato all'IA generativa, complemento del suo quadro di gestione dei rischi dell'IA (AI RMF 1.0), diffuso nel gennaio 2023 e destinato a un uso volontario6. Si rivolge alle organizzazioni che progettano o usano questi sistemi6.
Scheda
- Identificativo
- CP-257
- Ala
- 4. Intelligenza artificiale
- Competenza Brain
- Capire l'IA (understand_ai)
- Riflesso Brain
- air-038
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 6 fonti verificate il 3 novembre 2026
Fonti6 fonti
- arXiv, «Attention Is All You Need», 12 giugno 2017. https://arxiv.org/abs/1706.03762 (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 dicembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultato il 3 novembre 2026)
- arXiv, «Lost in the Middle: How Language Models Use Long Contexts», 6 luglio 2023. https://arxiv.org/abs/2307.03172 (consultato il 3 novembre 2026)
- arXiv, «Language Models are Few-Shot Learners», 28 maggio 2020. https://arxiv.org/abs/2005.14165 (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Thinking about the security of AI systems», 30 agosto 2023. https://www.ncsc.gov.uk/blog-post/thinking-about-security-ai-systems (consultato il 3 novembre 2026)
- NIST, «Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile», 26 luglio 2024. https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-generative-artificial-intelligence (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Il Transformer e il meccanismo di attenzione», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp257_it_2026,
author = {Brain},
title = {Il Transformer e il meccanismo di attenzione},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/architettura-transformer-attenzione/},
note = {CC BY 4.0}
}