Oggetti

Descrizione

dta reg (aaaa-mm-gg)

Body

Sì. Se per **“attacchi che un LLM può subire”** intendiamo sia gli attacchi al modello sia quelli contro un'applicazione che lo utilizza, l'elenco è piuttosto ampio. Conviene dividerli per categoria.

### 1. Attacchi al prompt e alle istruzioni

1. **Direct Prompt Injection** — l'attaccante inserisce istruzioni ostili direttamente nel prompt.
2. **Indirect Prompt Injection** — l'istruzione malevola è contenuta in un documento, pagina Web, email, PDF ecc. che il modello deve leggere.
3. **Jailbreaking** — tentativi di aggirare le restrizioni del modello.
4. **Instruction Override** — tentativo di far prevalere un'istruzione dell'utente sulle istruzioni di sistema.
5. **Role-play attack** — si induce il modello ad assumere un ruolo che dovrebbe consentire comportamenti normalmente vietati.
6. **Multi-turn manipulation** — l'attacco viene costruito progressivamente attraverso molte conversazioni.
7. **Context poisoning** — vengono introdotte informazioni false o istruzioni malevole nel contesto che il modello utilizzerà successivamente.
8. **Many-shot attack** — vengono fornite moltissime dimostrazioni/esempi per spingere il modello verso un comportamento indesiderato.
9. **Obfuscation attack** — l'istruzione malevola viene codificata, alterata o mascherata per evitare i controlli.
10. **Multilingual attack** — si utilizza una lingua o una combinazione di lingue nella quale i filtri risultano meno efficaci.

### 2. Attacchi contro RAG e conoscenza esterna

11. **RAG poisoning** — inserimento di documenti manipolati nella base di conoscenza.
12. **Retrieval manipulation** — manipolazione dei dati affinché il sistema recuperi determinati documenti.
13. **Knowledge-base poisoning** — contaminazione sistematica della fonte di conoscenza.
14. **Indirect prompt injection via documents** — istruzioni nascoste nei documenti recuperati.
15. **Web poisoning** — creazione/manipolazione di pagine che il sistema potrebbe successivamente recuperare.
16. **Citation manipulation** — tentativo di influenzare le fonti o i riferimenti restituiti dal sistema.

### 3. Furto di informazioni

17. **Prompt leakage** — tentativo di ottenere il system prompt o istruzioni interne.
18. **System-prompt extraction** — estrazione sistematica delle istruzioni riservate.
19. **Data leakage** — fuoriuscita di informazioni presenti nel contesto.
20. **Training-data extraction** — tentativo di recuperare informazioni memorizzate durante l'addestramento.
21. **PII extraction** — estrazione di informazioni personali.
22. **Secret extraction** — tentativo di ottenere password, API key, token o altre credenziali.
23. **Cross-user data leakage** — possibilità che un utente riceva dati appartenenti a un altro utente.

### 4. Attacchi al modello

24. **Model poisoning** — contaminazione dei dati o del processo di addestramento.
25. **Backdoor attack** — inserimento di un comportamento nascosto che viene attivato da determinate condizioni.
26. **Adversarial examples** — input costruiti appositamente per provocare una classificazione o risposta errata.
27. **Evasion attack** — modifica dell'input per aggirare un sistema di rilevamento.
28. **Model extraction** — tentativo di ricostruire un modello interrogandolo ripetutamente.
29. **Model stealing** — clonazione o approssimazione delle capacità del modello.
30. **Membership inference** — tentativo di stabilire se un determinato dato era presente nel training set.
31. **Model inversion** — tentativo di ricavare informazioni sugli input utilizzati per addestrare il modello.

### 5. Attacchi contro gli agenti LLM

Questa categoria è particolarmente importante perché l'LLM non si limita più a parlare.

32. **Tool abuse** — manipolazione del modello affinché utilizzi impropriamente uno strumento.
33. **Tool poisoning** — manipolazione delle informazioni/descriptions relative agli strumenti.
34. **Excessive agency** — sfruttamento di permessi eccessivi concessi all'agente.
35. **Privilege escalation** — tentativo di ottenere capacità superiori a quelle autorizzate.
36. **Unauthorized actions** — induzione dell'agente a compiere azioni non autorizzate.
37. **Agent hijacking** — presa di controllo del comportamento dell'agente attraverso input malevoli.
38. **Command injection** — trasformazione dell'output del modello in un comando eseguibile.
39. **Code injection** — inserimento di codice malevolo nel flusso dell'applicazione.
40. **SQL injection via LLM** — utilizzo dell'LLM per generare query manipolate o pericolose.
41. **SSRF via agent** — induzione dell'agente a effettuare richieste verso risorse che normalmente non dovrebbero essere accessibili.
42. **Sandbox escape** — tentativo di uscire dall'ambiente isolato nel quale opera l'agente.

### 6. Attacchi alla disponibilità

43. **Denial of Service (DoS)** — rendere il sistema inutilizzabile.
44. **Resource exhaustion** — consumare CPU, memoria, token o altri recursos.
45. **Token exhaustion** — generare richieste enormi o conversazioni molto lunghe.
46. **API abuse** — uso massiccio dell'API per aumentare costi o saturare il servizio.
47. **Cost attack / Denial of Wallet** — provocare intenzionalmente un consumo economico elevato.
48. **Recursive agent loops** — provocare cicli ripetitivi in un agente autonomo.

### 7. Attacchi all'applicazione che circonda l'LLM

49. **Authentication bypass** — aggiramento dell'autenticazione.
50. **Authorization bypass** — accesso a funzioni non autorizzate.
51. **Session hijacking** — appropriazione della sessione di un utente.
52. **Insecure API exploitation** — sfruttamento delle API che comunicano con il modello.
53. **Insecure output handling** — l'applicazione tratta l'output dell'LLM come codice o HTML affidabile.
54. **XSS attraverso output LLM** — output manipolato che viene poi interpretato dal browser.
55. **Data exfiltration** — utilizzo del modello/applicazione come canale per portare dati fuori dal sistema.
56. **Supply-chain attack** — compromissione di modelli, dataset, librerie, plugin o componenti di terze parti.

### 8. Attacchi multimodali

Con i modelli che possono leggere immagini, audio e video compaiono ulteriori possibilità:

57. **Adversarial images** — immagini costruite per ingannare il modello.
58. **Hidden-text attacks** — istruzioni nascoste nell'immagine.
59. **OCR injection** — testo inserito in immagini affinché venga interpretato come istruzione.
60. **Audio prompt injection** — istruzioni malevole contenute nell'audio.
61. **Video prompt injection** — istruzioni inserite nei fotogrammi o nell'audio del video.
62. **Cross-modal injection** — un contenuto in una modalità influenza il comportamento del modello in un'altra.

### 9. Attacchi comportamentali e sociali

63. **Social engineering via LLM** — sfruttamento dell'LLM per convincere persone a compiere determinate azioni.
64. **Impersonation** — utilizzo del modello per simulare una persona o un'organizzazione.
65. **Phishing generation** — generazione automatizzata di messaggi ingannevoli.
66. **Misinformation injection** — introduzione deliberata di informazioni false nel sistema.
67. **Trust exploitation** — sfruttamento dell'eccessiva fiducia dell'utente nelle risposte del modello.

---

### Una distinzione fondamentale

Non tutti questi sono propriamente **“attacchi contro l'LLM”**.

Ci sono almeno tre bersagli diversi:

```text
                 ATTACCO
                    │
       ┌────────────┼────────────┐
       ▼            ▼            ▼
    MODELLO       LLM APP       AGENTE
       │            │            │
  poisoning      data leak    tool abuse
  extraction     injection     privilege
  inversion      XSS           escalation
  jailbreak      auth bypass   command injection
```

E c'è una differenza enorme tra un chatbot che **risponde soltanto** e un LLM che può **leggere file, navigare su Internet, eseguire codice e modificare dati**. Nel secondo caso molte delle tecniche sopra possono trasformarsi da semplice manipolazione della risposta a vera compromissione del sistema.

Se vuoi, posso anche trasformare questo elenco in una **mappa visuale degli attacchi agli LLM**, organizzata dal più innocuo al più pericoloso.

tipo ogg.

cat

subcat

proprietario

azienda

ute

selez1

op1

codart

codice

codclifor

motivo

url

tag

imgsrc

sunto_breve

sunto_medio

note

keyscrape

Lista tag dell'oggetto (oggettag)
cod_tag	value
ai	5
chatbot	5
hacker	5
llm	5
llm_internal	5
wpg	5

Lista delle righe dell'oggetto (oggettir)
tip_pro	cod_pro	descrizione	val_pro	pes_pro

---.