Cyberpediadi Brain
ITDEENESFR

La tokenizzazione degli LLM

Un modello linguistico legge frammenti di testo, non frasi. Cosa cambia per un dipendente e quali sono le insidie per la sicurezza.

In 30 secondi

Dove succede
Ogni volta che incolla un testo, un nome o un documento in un assistente di IA, o gli chiede di riassumere una pagina.
Cosa vuole l'attaccante
Far leggere al modello istruzioni che Lei non vede, perché un'iniezione di istruzioni può essere impercettibile per una persona2.
Il riflesso
Il riflesso: formuli istruzioni precise, verifichi cifre e citazioni alla fonte e non incolli mai dati sensibili in uno strumento non approvato.
Se è già successo
Avvisi il team sicurezza, indicando lo strumento usato e la natura dei dati incollati.

Di cosa si tratta

Quando si scrive a un assistente di IA, si ha l'impressione che legga le frasi come farebbe un collega. Le ricerche su cui si basa questa scheda descrivono un funzionamento diverso: le parole rare sono codificate come sequenze di unità più piccole della parola, che qui chiamiamo frammenti (o token)1.

La scheda spiega l'idea in termini semplici, poi indica che cosa il dipendente può ricavarne per formulare le richieste, controllare le risposte ed evitare alcune insidie per la sicurezza. Le fonti del dossier descrivono la suddivisione del testo e gli attacchi basati su testo disorientante. Non misurano né il costo di uno scambio né la dimensione della finestra di contesto di un dato prodotto: questi punti non sono quindi trattati qui.

Domande dirette

Un modello linguistico legge le parole così come le scriviamo?

Non così come sono. Nel 2015 alcuni ricercatori hanno descritto, per la traduzione automatica, modelli che lavorano con un vocabolario fisso, mentre tradurre è un problema a vocabolario aperto1. La loro soluzione consiste nel codificare le parole rare o sconosciute come sequenze di unità più piccole della parola1.

Come viene suddiviso il testo?

Gli autori del 2015 confrontano diverse tecniche di segmentazione, tra cui semplici modelli di sequenze di caratteri e una segmentazione basata sull'algoritmo di compressione «byte pair encoding»1. Misurano un guadagno di 1,1 punti BLEU per l'inglese verso il tedesco e di 1,3 per l'inglese verso il russo, rispetto a un metodo di ripiego basato su dizionario1.

Dipende dalla lingua?

Lo strumento SentencePiece, presentato nel 2018 da Taku Kudo e John Richardson, si descrive come un segmentatore di sottounità indipendente dalla lingua3. Apprende le proprie unità direttamente da frasi grezze, mentre gli strumenti esistenti presupponevano un testo già suddiviso in parole3. È pubblicato in open source con licenza Apache 23. Le fonti citate qui non misurano in che misura una lingua sia servita peggio di un'altra: la questione resta aperta in questa sede.

Perché un nome raro o una parola inventata crea problemi?

L'intuizione dell'articolo del 2015 è che i nomi propri, le parole composte e i prestiti linguistici si traducono meglio a pezzi che come parole intere1. Le parole rare sono codificate in sottounità1. Il legame con gli errori sui nomi rari è una lettura di questa scheda, non un risultato misurato nelle fonti.

I modelli hanno limiti noti?

Il modello GPT-3, presentato nel 2020 con 175 miliardi di parametri, riceve compiti ed esempi unicamente sotto forma di testo4. I suoi autori osservano che riesce in compiti come rimettere in ordine delle parole o fare addizioni a tre cifre, ma anche che resta in difficoltà su alcuni insiemi di dati4. Un risultato corretto una volta non garantisce quindi un risultato corretto la volta successiva.

1Come funziona1 min

Le fonti indicano il principio seguente. Il modello lavora con un vocabolario di dimensione fissa1. Le parole rare sono ricostruite a partire da più unità1. Lo strumento di segmentazione può essere addestrato su testo grezzo, senza una suddivisione preliminare in parole3.

Le istruzioni passano dallo stesso canale dei dati. Nello studio su GPT-3, compiti ed esempi sono «specified purely via text interaction with the model»4. Secondo l'OWASP, l'iniezione di istruzioni indica input che modificano il comportamento del modello in modo non previsto, anche se impercettibili per una persona, purché il modello li legga2. Accostare i due punti è una lettura di questa scheda, non un'affermazione dell'OWASP.

2Cosa fa Lei2 min

Formuli istruzioni chiare. Indichi il ruolo atteso, il compito e il formato della risposta. L'OWASP raccomanda a chi progetta i sistemi di precisare ruolo, capacità e limiti del modello e di definire un formato di output chiaro2. Il dipendente può riprenderne lo spirito nelle proprie richieste.

Chieda le fonti, poi le verifichi. L'OWASP consiglia di chiedere un ragionamento dettagliato e citazioni delle fonti, convalidando comunque il risultato con codice deterministico2. Per un dipendente questo si traduce in un controllo manuale: aprire la fonte citata, rileggere la cifra, verificare che la citazione esista parola per parola. Gli stessi autori di GPT-3 segnalano insiemi di dati su cui il modello resta in difficoltà4.

Mantenga il controllo sulle azioni importanti. L'OWASP raccomanda l'approvazione umana per le operazioni privilegiate, per impedire azioni non autorizzate2. Non lasci che un assistente invii un messaggio o modifichi un file senza una rilettura.

Non incolli dati sensibili. L'OWASP inserisce la divulgazione di informazioni sensibili tra le possibili conseguenze di un'iniezione di istruzioni2. L'NCSC britannico mira a sistemi di IA che funzionino senza rivelare dati sensibili a terzi non autorizzati5. In azienda, applichi la regola della Sua organizzazione sugli strumenti autorizzati.

Separi il contenuto esterno dalle Sue istruzioni. Quando l'assistente riassume una pagina web o un file ricevuto, quel contenuto può contenere istruzioni nascoste2. L'OWASP consiglia di separare e segnalare chiaramente il contenuto non affidabile2.

3Le insidie2 min

Il testo invisibile o disorientante. Secondo l'OWASP, un'iniezione di istruzioni non ha bisogno di essere leggibile da una persona, purché il contenuto sia letto dal modello2. In uno scenario che descrive, un utente fa riassumere una pagina web contenente istruzioni nascoste: il modello inserisce un'immagine collegata a un indirizzo e la conversazione privata viene esfiltrata2.

Le stringhe di caratteri senza senso. L'OWASP descrive un attaccante che aggiunge a una richiesta una sequenza di caratteri di aspetto assurdo. Questa sequenza influenza la risposta ed elude le protezioni2. La ricerca ne offre una versione automatizzata: un suffisso avversario trovato con tecniche di ricerca greedy e basate sul gradiente6.

Le lingue miste e le codifiche. L'OWASP cita anche l'attaccante che usa più lingue o codifica le proprie istruzioni, per esempio in Base64 o con emoji, per sfuggire ai filtri2.

I file trappola. In un altro scenario dell'OWASP, un CV contiene istruzioni frammentate. Quando un modello valuta la candidatura, i pezzi si combinano e producono una raccomandazione positiva nonostante il contenuto reale del CV2. In un terzo, un documento modificato in un repository usato da un'applicazione di generazione aumentata dal recupero falsa i risultati2.

Le protezioni imperfette. L'OWASP precisa che la generazione aumentata dal recupero e il fine-tuning non eliminano del tutto le iniezioni di istruzioni2. Ritiene inoltre incerto che esista un metodo di prevenzione infallibile2. L'NCSC ricorda che i sistemi di IA hanno vulnerabilità nuove, da gestire in aggiunta alle minacce classiche5. Il NIST ha pubblicato a gennaio 2024 una tassonomia degli attacchi all'apprendimento automatico, con un glossario destinato ai lettori non esperti7.

4Casi reali1 min

Luglio 2023: un suffisso che funziona su più assistenti

Il 27 luglio 2023 Andy Zou e i suoi coautori, tra cui Nicholas Carlini, presentano un metodo che produce automaticamente un suffisso da aggiungere a una richiesta6. Questo suffisso mira a massimizzare la probabilità che il modello risponda in modo affermativo invece di rifiutare6. Addestrato su più richieste e su due modelli (Vicuna-7B e 13B), provoca contenuti indesiderati anche nelle interfacce pubbliche di ChatGPT, Bard e Claude, oltre che in modelli aperti come LLaMA-2-Chat, Pythia e Falcon6.

Scheda

Identificativo
CP-258
Ala
4. Intelligenza artificiale
Competenza Brain
Capire l'IA (understand_ai)
Riflesso Brain
air-005
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
7 fonti verificate il 3 novembre 2026
Fonti7 fonti
  1. arXiv, «Neural Machine Translation of Rare Words with Subword Units», 31 agosto 2015. https://arxiv.org/abs/1508.07909 (consultato il 3 novembre 2026)
  2. OWASP, «LLM01:2025 Prompt Injection», 10 aprile 2024. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultato il 3 novembre 2026)
  3. arXiv, «SentencePiece: A simple and language independent subword tokenizer and detokenizer for Neural Text Processing», 19 agosto 2018. https://arxiv.org/abs/1808.06226 (consultato il 3 novembre 2026)
  4. arXiv, «Language Models are Few-Shot Learners», 28 maggio 2020. https://arxiv.org/abs/2005.14165 (consultato il 3 novembre 2026)
  5. NCSC (Royaume-Uni), «Guidelines for secure AI system development», 27 novembre 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (consultato il 3 novembre 2026)
  6. arXiv, «Universal and Transferable Adversarial Attacks on Aligned Language Models», 27 luglio 2023. https://arxiv.org/abs/2307.15043 (consultato il 3 novembre 2026)
  7. NIST, «Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations». https://csrc.nist.gov/pubs/ai/100/2/e2023/final (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «La tokenizzazione degli LLM», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/tokenizzazione-llm-frammenti/

BibTeX 
@misc{brain_cp258_it_2026,
  author = {Brain},
  title = {La tokenizzazione degli LLM},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/tokenizzazione-llm-frammenti/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0