Una nuova forma di attacco “prompt injection” inganna Gemini con calendari e email — e Google corre ai ripari: scopri come proteggere i tuoi dati.
Google Gemini in pericolo: cosa succede dietro le quinte dell’AI chatbot
L’ultima frontiera del cyber-spionaggio si chiama prompt injection, una tecnica subdola con cui si riesce a ingannare modelli di linguaggio come Google Gemini, trasformando innocenti calendari o email in veicoli per attacchi informatici. In pratica, basta un evento su Google Calendar, o un testo nascosto in un documento, per indurre il chatbot a compiere azioni indesiderate — come aprire tapparelle, attivare la caldaia o inviare messaggi offensivi — quando gli si chiede un resoconto banale. E quel “grazie” final-mentee banale diventa il trigger per azioni pericolose.
“Invitation Is All You Need”: la falla in azione
All’inizio di agosto 2025, al Black Hat, un team di ricercatori di Tel Aviv University, Technion e SafeBreach ha presentato “Invitation Is All You Need”, un attacco che sfrutta promemoria avvelenati su Google Calendar per orchestrare intrusioni nel mondo reale tramite Gemini. Il bot, invitato a riassumere gli appuntamenti, attiva istruzioni malevoli nascoste nel titolo dell’invito — e Boom: tapparelle che si alzano, boiler che si accendono, dispositivi che si attivano. Azioni esterne indesiderate che vanno ben oltre la sicurezza digitale.
Dal digitale al fisico: quando l’AI invade la tua casa
Mai prima d’ora un exploit su intelligenza artificiale ha avuto conseguenze tangibili e pratiche nella vita reale di un utente. Le azioni nel mondo fisico – dai comandi alla casa automatizzata all’avvio di videochiamate Zoom – non erano mai state così vittime di un attacco via chatbot.
Attacchi indotti “promptware”: minacce sempre più pervasive
I ricercatori hanno identificato ben 14 scenari d’attacco (denominati “promptware”) contro Gemini, che vanno dalla spam all’estrazione di email e dettagli di riunioni, fino alla generazione di contenuti offensivi o alla cancellazione di appuntamenti.
Con analisi del tipo Short-term Context Poisoning, Permanent Memory Poisoning, Tool Misuse e Automatic App Invocation, è emersa la portata critica del pericolo: ben il 73% degli attacchi analizzati è considerato di rischio High-Critical.
Prompt injection: cos’è e perché è così pericolosa
La prompt injection consiste nell’inserire comandi malevoli all’interno di input apparentemente innocui rivolti a LLM (Large Language Models). Esistono due varianti:
- Diretta, dove l’attacco è inserito nell’input dell’utente.
- Indiretta, dove le istruzioni malevole vengono nascoste in dati esterni (email, documenti, pagine web). È questa la variante usata contro Gemini.
OWASP la inserisce persino tra i rischi principali del 2025 per le applicazioni LLM.
Google reagisce (ma il problema non sparisce)
Google ha preso seriamente l’allarme: ha introdotto nuove tecniche di difesa, quali:
- Rilevamento AI di potenziali attacchi in fase di input, durante l’elaborazione e nell’output.
- Filtri di sicurezza automatici.
- Richieste di conferma agli utenti prima di compiere azioni sensibili.
Andy Wen, direttore sicurezza di Google Workspace, sostiene che questi attacchi sono per ora “estremamente rari”, ma l’industria deve mantenere l’utente nel loop per evitare derive pericolose.
Fraintendimenti dell’AI: non è “solo fantasia”, è pericolo reale
Questi attacchi non sono frutto di scenari fantascientifici: sono dimostrati, riproducibili e potenzialmente clamorosi. Non solo testi o email: anche immagini possono nascondere comandi malevoli (testo invisibile, artefatti di ridimensionamento) che gli LLM multimodali riescono a interpretare.
l futuro della sicurezza AI: multilayer, non autopilot
Per ridurre il rischio occorrono difese stratificate:
- Filtro degli input dall’esterno (email, documenti, calendari)
- Valutazione e riconoscimento di prompt sospetti
- Conferme umane obbligatorie per le azioni ad alto impatto
- Test avversariali (red-teaming) continuativi per colmare falle emergenti.
Secondo i ricercatori, finché l’industria punta tutto sull’adozione rapida dell’AI senza mettere al pari la sicurezza, rischiamo exploit sempre più sofisticati.
In sintesi: il cambiamento è adesso
- Cos’è successo? Ricercatori hanno dimostrato che Gemini può essere manipolato tramite prompt injection nascosti in inviti calendario o email.
- Perché è inquietante? Perché attiva azioni reali, fisiche o digitali, senza che l’utente se ne accorga.
- Cosa sta facendo Google? Ha implementato contro-misure, ma gli esperti sottolineano che la vulnerabilità strutturale LLM resta.
- Cosa fare tu? Non dare accesso incondizionato all’AI; resta vigile; chiedi conferme manuali e limita l’accesso automatizzato ai tuoi dati sensibili.
