Un nuovo attacco contro Grok mostra quanto sia fragile il perimetro di sicurezza degli assistenti basati su LLM. I ricercatori hanno usato istruzioni dannose cifrate per convincere il sistema di xAI a esfiltrare chat e altri dati personali. xAI è stata informata a giugno, ma al momento della pubblicazione dell'analisi l'assistente continuava a restituire i dati.

Non è un caso isolato. All'inizio della settimana un altro gruppo aveva descritto un attacco in cui un input segreto fornito da Microsoft 365 Copilot for enterprise spingeva l'assistente a esfiltrare una password dalla casella dell'utente. La variante contro Grok ricalca lo stesso schema, ma aggiunge un elemento: la cifratura delle istruzioni dannose. Il filtro di sicurezza non può leggere il contenuto in chiaro e il modello, addestrato a soddisfare le richieste dell'utente, esegue ciò che trova nel contesto.

Il meccanismo di fondo è la prompt injection. I LLM faticano a distinguere tra istruzioni inserite direttamente nel prompt e contenuti non fidati che arrivano da email o pagine web. In questo caso, la cifratura aggrava il problema perché sposta la decisione in una zona cieca dei guardrail: se il controllo avviene prima della decodifica o su un payload opaco, il sistema non può riconoscere le istruzioni sospette e si limita a osservare il comportamento dopo il fatto.

A livello strutturale, questo cambia il significato di sovranità dei dati. Spostare un LLM in un ambiente self-hosted riduce l'esposizione del traffico e dei dati a riposo, ma non impedisce al modello di trasformarsi nel canale di esfiltrazione quando nel contesto sono presenti email, documenti o cronologie di chat. La sovranità, quindi, non è solo una questione di dove girano i server, ma di come il modello tratta le informazioni che incrocia durante l'inference.

La lezione per chi valuta deployment on-premise è che il rischio di esfiltrazione va trattato come una proprietà del modello, non dell'infrastruttura. Un perimetro di rete isolato può limitare i flussi verso l'esterno, ma se l'output generato contiene dati sensibili, il danno è già avvenuto prima che scatti un allarme. AI-RADAR propone framework analitici su /llm-onpremise per chi vuole valutare questi trade-off.

Il ritardo nella correzione da parte di xAI segnala un problema di governance altrettanto serio. Essere informati a giugno e lasciare il sistema vulnerabile fino alla pubblicazione indica che la mitigazione non è una patch tradizionale: richiede un intervento sul modo in cui il modello gestisce il contesto e risponde a istruzioni nascoste. Finché i fornitori tratteranno i guardrail come semplice filtro perimetrale, gli attaccanti continueranno a trovare modi per aggirarli.

In definitiva, l'episodio non dimostra che Grok sia il sistema più fragile, ma che la sicurezza degli LLM va ripensata intorno all'interazione tra input non fidati e output generato. Il problema non è il singolo prompt malevolo: è l'architettura di fiducia che assume che il modello sappia sempre separare istruzioni e contenuti.