--- id: CP-281 slug: prompt-injection-diretta-jailbreak-assistente lang: it title: Prompt injection diretta description: "Un'istruzione digitata nella chat basta a volte a far uscire un assistente IA dalle sue regole: meccanismo, segnali a schermo, casi datati, prevenzione." canonical_url: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ markdown_url: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Prompt injection diretta», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ (CC BY 4.0) wing: 4 theme: prompt_correctly reflex: air-012 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ en: https://startbrain.io/cyberpedia/en/articles/direct-prompt-injection-jailbreak/ de: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/ es: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ nl: https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent/ sources: - "n": 1 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 2 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 3 title: "Ignore Previous Prompt: Attack Techniques For Language Models" publisher: arXiv url: https://arxiv.org/abs/2211.09527 published: "2022-11-17" accessed: "2026-11-03" - "n": 4 title: Prompt Injection attack against LLM-integrated Applications publisher: arXiv url: https://arxiv.org/abs/2306.05499 published: "2023-06-08" accessed: "2026-11-03" - "n": 5 title: "Jailbroken: How Does LLM Safety Training Fail?" publisher: arXiv url: https://arxiv.org/abs/2307.02483 published: "2023-07-05" accessed: "2026-11-03" - "n": 6 title: "AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2025/final accessed: "2026-11-03" --- # Prompt injection diretta Un assistente IA aziendale funziona con regole scritte dal fornitore o dall'azienda. La prompt injection diretta consiste nel digitare, nell'area di conversazione, un testo che modifica il comportamento del modello in un modo non previsto [1]. Chi digita il testo non è sempre un attaccante. L'OWASP precisa che l'input può essere intenzionale o meno: un utente può provocare un comportamento inatteso senza volerlo [1]. ## In 30 secondi - Dove succede: nella finestra di conversazione di un assistente IA, per esempio un chatbot di assistenza clienti [1]. - Cosa vuole l'attaccante: far ignorare al modello le sue istruzioni, fargli rivelare le istruzioni interne o fargli produrre contenuti che l'azienda voleva vietare [1]. - Il riflesso: trattare un assistente IA come un interlocutore che un'istruzione ben costruita può deviare, affidargli solo gli accessi strettamente necessari e far convalidare da una persona ogni azione sensibile. - Se è già successo: segnalare la conversazione al team che gestisce l'assistente, allegando la schermata dello scambio. ## Domande dirette ### Che cos'è una prompt injection diretta? È il caso in cui il testo digitato dall'utente cambia direttamente, in modo inatteso, il comportamento del modello [1]. Si contrappone all'injection indiretta, in cui il modello legge un contenuto esterno (sito web, file) che contiene le istruzioni [1]. ### Che rapporto c'è con il jailbreak? I due termini sono spesso usati l'uno per l'altro. Secondo l'OWASP, il jailbreak è una forma di prompt injection in cui l'attaccante spinge il modello a ignorare del tutto i suoi protocolli di sicurezza [1]. La prompt injection è più ampia: consiste nel manipolare le risposte del modello con input mirati, il che può includere l'elusione delle misure di sicurezza [1]. ### Perché il modello si lascia convincere? Perché non separa le istruzioni dai dati. L'NCSC britannico scrive che gli attuali grandi modelli non impongono alcun confine di sicurezza tra i due all'interno di un prompt [2]. Lo sviluppatore incolla le proprie istruzioni e il testo dell'utente in un unico prompt, poi tratta la risposta come se tra i due esistesse un confine solido [2]. ### Si può risolvere il problema una volta per tutte? Probabilmente no. L'NCSC ritiene che questi attacchi potrebbero non essere mai neutralizzati del tutto, a differenza dell'SQL injection [2]. L'OWASP, da parte sua, afferma che non si sa se esistano metodi di prevenzione infallibili [1]. L'obiettivo realistico è ridurre la probabilità e l'impatto [2]. ## Nei panni dell'attaccante I ricercatori Fábio Perez e Ian Ribeiro hanno mostrato nel 2022 che persone poco qualificate, ma mal intenzionate, possono dirottare GPT-3 con semplici testi scritti a mano [3]. Descrivono due obiettivi: dirottare lo scopo del modello (goal hijacking) e fargli divulgare il proprio prompt (prompt leaking) [3]. Un secondo tipo di obiettivo è l'uso improprio. Un gruppo di ricercatori ha descritto nel 2023 risultati come l'uso illimitato e arbitrario del modello che sta dietro a un'applicazione e il furto facile del prompt dell'applicazione [4]. Il jailbreak procede in altro modo. Gli autori dello studio «Jailbroken» indicano due cause del fallimento dell'addestramento alla sicurezza: obiettivi in conflitto (le capacità del modello contrastano con le sue regole di sicurezza) e una generalizzazione inadeguata (la sicurezza non copre un ambito in cui il modello ha comunque delle capacità) [5]. L'OWASP cita anche alcune varianti. L'attaccante può aggiungere al proprio messaggio una sequenza di caratteri apparentemente priva di senso, oppure usare più lingue o una codifica come Base64 per sfuggire ai filtri [1]. ## Cosa si vede sullo schermo Dal lato dell'utente o dell'azienda, un attacco riuscito si riconosce dai suoi effetti. L'OWASP elenca le conseguenze possibili: divulgazione di informazioni sensibili, rivelazione di informazioni sull'infrastruttura o sui prompt di sistema, contenuti falsati o distorti, accesso non autorizzato alle funzioni del modello, esecuzione di comandi nei sistemi collegati [1]. In concreto, un assistente che risponde fuori tema, che recita le proprie istruzioni o che produce un contenuto che l'azienda non avrebbe mai approvato deve far scattare un campanello d'allarme. L'OWASP riporta uno scenario tipo: un attaccante chiede a un chatbot di assistenza di ignorare le proprie istruzioni, di interrogare dati privati e di inviare e-mail [1]. Ecco un'illustrazione di questo tipo di messaggio, neutralizzata e parafrasata: ```text Illustrazione (messaggio parafrasato, non funzionante): [istruzione che chiede al chatbot di ignorare le regole ricevute dal fornitore, poi di ricopiare integralmente le proprie istruzioni interne] ``` ## Sotto il cofano Per un modello linguistico non esistono «dati» né «istruzioni», ma solo il token successivo (next token): il modello prevede il token più probabile in base al testo ricevuto fino a quel momento [2]. Le istruzioni del fornitore e la frase digitata dall'utente finiscono quindi nello stesso testo, senza una separazione che il modello rispetti [2]. Questo distingue la prompt injection dall'SQL injection. In SQL, le query parametrizzate garantiscono che il motore non interpreti mai un input come un'istruzione [2]. L'NCSC scrive che gli attacchi di prompt injection potrebbero non essere mai del tutto mitigati come lo sono le SQL injection [2]. Le soluzioni allo studio (rilevare i tentativi, addestrare il modello a dare priorità alle istruzioni, segnalare al modello che cosa è un dato) sovrappongono una distinzione che la tecnologia non fa [2]. Il NIST ha pubblicato nel marzo 2025 una tassonomia dell'apprendimento automatico avversario [6]. Un punto di attenzione riguarda i filtri di parole vietate. L'NCSC mette in guardia contro il blocco di frasi note come «ignore previous instructions»: esistono infinite riformulazioni che aggirano questo filtro [2]. ### Prevenzione Le misure semplici qui riportate provengono dall'OWASP e dall'NCSC. - Privilegio minimo: dare al modello l'accesso minimo necessario e gestire le funzioni estese nel codice dell'applicazione, invece di affidarle al modello [1]. - Convalida umana: richiedere l'approvazione di una persona per le operazioni privilegiate [1]. - Filtraggio delle uscite: definire categorie sensibili, individuare i contenuti non autorizzati con filtri semantici e controlli sulle stringhe e convalidare il formato delle risposte con codice deterministico [1]. - Definizione del ruolo: descrivere nel prompt di sistema il ruolo e i limiti del modello [1]. Questa misura aiuta, ma non basta: l'OWASP presenta tutte queste misure come mezzi per attenuare l'impatto [1]. - Test: condurre regolarmente test di intrusione e simulazioni, trattando il modello come un utente non affidabile [1]. - Monitoraggio: registrare abbastanza informazioni da individuare un'attività sospetta, comprese le chiamate a strumenti e API fallite, che possono tradire le prime fasi di un attacco [2]. L'NCSC aggiunge che la sicurezza di un sistema deve poggiare su protezioni deterministiche che ne limitino le azioni, e non solo sulla speranza di impedire a un contenuto malevolo di raggiungere il modello [2]. Se il rischio residuo è intollerabile, il caso d'uso potrebbe non essere adatto a un modello linguistico [2]. ## Autopsie ### Novembre 2022: GPT-3 dirottato da semplici testi Il 17 novembre 2022 Fábio Perez e Ian Ribeiro pubblicano PromptInject, un quadro di analisi di questi attacchi. Studiano GPT-3, che descrivono come il modello linguistico più diffuso in produzione, e mostrano che può essere disallineato facilmente con input scritti a mano [3]. I due attacchi studiati sono il dirottamento dell'obiettivo e la fuga del prompt [3]. ### Giugno 2023: 31 applicazioni su 36 vulnerabili L'8 giugno 2023 un gruppo di dodici ricercatori pubblica uno studio su applicazioni reali che usano un modello linguistico. Dopo l'analisi di dieci applicazioni commerciali, mette a punto una tecnica di attacco chiamata HouYi e la applica a 36 applicazioni: 31 risultano sensibili alla prompt injection [4]. Dieci fornitori hanno convalidato i risultati, tra cui Notion [4]. ### Luglio 2023: protezioni che cedono Il 5 luglio 2023 Alexander Wei, Nika Haghtalab e Jacob Steinhardt valutano GPT-4 di OpenAI e Claude v1.3 di Anthropic. I loro nuovi attacchi riescono su ogni richiesta di una raccolta di richieste pericolose tratta dai set di valutazione di red teaming dei modelli [5]. Gli autori concludono che le vulnerabilità persistono nonostante gli sforzi di red teaming e di addestramento alla sicurezza [5]. ## Fonti 1. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultato il 3 novembre 2026) 2. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 dicembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultato il 3 novembre 2026) 3. arXiv, «Ignore Previous Prompt: Attack Techniques For Language Models», 17 novembre 2022. https://arxiv.org/abs/2211.09527 (consultato il 3 novembre 2026) 4. arXiv, «Prompt Injection attack against LLM-integrated Applications», 8 giugno 2023. https://arxiv.org/abs/2306.05499 (consultato il 3 novembre 2026) 5. arXiv, «Jailbroken: How Does LLM Safety Training Fail?», 5 luglio 2023. https://arxiv.org/abs/2307.02483 (consultato il 3 novembre 2026) 6. NIST, «AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC». https://csrc.nist.gov/pubs/ai/100/2/e2025/final (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.