MITRE ATT&CK v20 classifica la prompt injection, ma lascia tre buchi

Il 13 ottobre 2026 MITRE ha pubblicato ATT&CK v20 con nove nuove voci Enterprise, cinque delle quali legate all’IA. La release distingue la prompt injection diretta da quella indiretta e classifica anche l’esfiltrazione tramite agenti IA, la manipolazione dei risultati e l’interferenza con le difese autonome. Un’analisi delle associazioni nella versione 20.0 individua tre nuove voci Enterprise senza una strategia di rilevamento collegata: Direct Prompt Injection, Indirect Prompt Injection e Impair Autonomous Defenses.

Il resoconto di SecurityWeek conta quindici nuove strategie di rilevamento nella release, sei per Enterprise e nove per ICS. Per chi mantiene regole e matrici difensive, i nuovi identificativi permettono di descrivere comportamenti prima difficili da mappare con precisione. La classificazione di una tecnica, l’esistenza di una strategia collegata e la presenza di un rilevamento funzionante nel proprio ambiente restano però informazioni diverse.

Le nuove voci IA e le strategie collegate

Le aggiunte legate all’IA coprono fasi differenti: l’ingresso di istruzioni ostili, l’uso improprio delle capacità di un agente, la preparazione di contenuti pubblici e l’interruzione di un’analisi difensiva. Per la copertura conta sia la tecnica sia l’eventuale strategia associata; una mitigazione, pur utile, risponde a una domanda diversa da una logica di rilevamento.

• Direct Prompt Injection, T1699 — nessuna strategia collegata. L’attaccante inserisce istruzioni malevole direttamente nell’interfaccia di un modello linguistico. La tecnica appartiene alla tattica Execution e può mirare a far usare al modello capacità oltre quelle consentite.
• Indirect Prompt Injection, T1698 — nessuna strategia collegata. Le istruzioni sono nascoste in contenuti che il modello o un agente recupera durante un’attività legittima, fra cui pagine web, email, ticket e codice. Anche questa tecnica è classificata in Execution.
• AI-Enabled Exfiltration, T1700 — strategia DET0927. Un attaccante può indurre un agente IA a usare strumenti a sua disposizione per trasferire dati verso una destinazione estranea al flusso autorizzato. La strategia comprende analytics che correlano accesso ai dati, azione di trasferimento e destinazione.
• AI Result Poisoning, T1608.007 — strategia DET0922. La sottotecnica riguarda la manipolazione di contenuti pubblici per influenzare ciò che motori di ricerca e assistenti IA recuperano, citano o raccomandano. La strategia è collegata alla voce, ma il suo analytic precisa che la sola telemetria dell’organizzazione bersaglio non distingue in modo affidabile questa condotta da una normale pubblicazione.
• Impair Autonomous Defenses, T1685.007 — nessuna strategia collegata. Contenuti ostili possono indurre un sistema difensivo assistito da IA a ignorare dati, interrompere un’analisi o non produrre un avviso. È una sottotecnica di Disable or Modify Tools, nella tattica Defense Impairment.

I tre vuoti indicano dunque associazioni assenti nel catalogo pubblicato, non l’impossibilità di osservare quei comportamenti. AI Result Poisoning presenta il caso opposto: un’associazione esiste, ma non offre da sola un segnale comportamentale affidabile dal lato del bersaglio. In una matrice, segnare entrambe le situazioni semplicemente come «coperte» farebbe perdere proprio la distinzione introdotta dalle nuove voci.

Perché le due prompt injection richiedono righe distinte

La differenza decisiva tra T1699 e T1698 è la provenienza dell’istruzione ostile. Nel caso diretto l’attaccante la immette nell’interazione con il modello; nel caso indiretto la colloca in materiale esterno che il sistema incontrerà mentre svolge un compito. Riunire le due tecniche sotto un’unica etichetta rende meno chiaro quale ingresso sia coinvolto e quali dati possano documentare l’episodio.

Una pagina recuperata, per esempio, può contenere sia informazioni pertinenti alla richiesta sia istruzioni rivolte all’agente: il problema nasce se queste ultime vengono trattate come autorizzazioni a usare strumenti o accedere a risorse. Nella forma diretta, invece, il punto di osservazione è l’interazione immessa nell’interfaccia. Le due schede indicano controlli sui permessi e sulle azioni dell’agente applicati fuori dal modello, ma quelle mitigazioni non costituiscono una strategia di rilevamento collegata.

La distinzione interessa anche la sicurezza degli agenti IA: bloccare un’azione non autorizzata e riconoscere nei dati un tentativo di indurla sono risultati differenti. Una regola locale può affrontare uno dei due casi, ma la sua presenza va documentata con la logica usata, la telemetria disponibile e l’ambiente in cui opera, senza attribuirla automaticamente a un’associazione ATT&CK assente.

Dove compare una logica di rilevamento

Per AI-Enabled Exfiltration, DET0927 descrive una sequenza osservabile, anziché limitarsi a nominare la tecnica. Un agente accede a dati protetti, richiama uno strumento o un’API usando quelle informazioni e completa un trasferimento verso un destinatario, un repository o un servizio fuori dai flussi autorizzati. Un’altra variante correla l’accesso ai file di un processo associato all’IA con l’esecuzione capace di trasferire dati e una connessione in uscita della stessa linea di processi.

Le descrizioni contemplano registri delle applicazioni SaaS e tracce delle azioni dell’agente, oppure eventi di accesso ai file, creazione di processi e connessioni sugli endpoint. Devono essere definiti localmente l’ambito dei dati protetti, le destinazioni ammesse e l’intervallo temporale entro cui collegare accesso e trasferimento. L’associazione tra T1700 e DET0927 fornisce quindi una logica da adattare: non certifica che una regola sia stata installata, alimentata con quei dati o validata.

Per AI Result Poisoning il limite è di altra natura. DET0922 compare come strategia associata, ma il suo analytic osserva che, con la telemetria della sola organizzazione bersaglio, contenuti pubblicati per influenzare future risposte IA possono assomigliare a pubblicazioni ordinarie, informazioni inesatte o attività di ottimizzazione per i motori di ricerca. La presenza dell’identificativo DET non basta, in questo caso, a dichiarare un rilevamento comportamentale.

Come cambia la matrice difensiva

L’aggiornamento richiede colonne separate per tecnica, strategia ATT&CK associata e rilevamento effettivamente implementato. T1700 può riportare DET0927, con un’indicazione distinta dei registri disponibili e dei confini autorizzativi definiti nell’organizzazione. T1608.007 può riportare DET0922, insieme al limite dichiarato per l’analytic dal lato del bersaglio. T1699, T1698 e T1685.007 devono invece mantenere vuoto il campo della strategia collegata nella versione pubblicata.

Per Impair Autonomous Defenses conta anche il livello della mappatura: una strategia riferita alla tecnica madre Disable or Modify Tools non si trasferisce automaticamente alla nuova sottotecnica. Un’organizzazione può sviluppare una propria regola per identificare analisi interrotte o avvisi mancati, ma deve presentarla come copertura locale e valutarla sui propri segnali. Registrare accanto alla mappatura la versione ATT&CK evita inoltre che una voce appena introdotta venga confusa con una lacuna dell’inventario precedente. Senza queste distinzioni, il semplice import dei nuovi identificativi può far apparire coperta una tecnica per la quale la matrice non dispone ancora di una strategia collegata.

Leggi anche:

• Prompt injection negli agenti IA: il filtro da solo non basta
• SAST o DAST: ogni scanner lascia vulnerabilità che l’altro può trovare