I sistemi di intelligenza artificiale restituiscono dati: un rischio per la sicurezza sottovalutato

Per anni, i responsabili della sicurezza si sono concentrati sui dati che la loro azienda trasmetteva ai sistemi di IA. Il rapporto Netskope Threat Labs AI Report 2026 dimostra ora che questa prospettiva è troppo ristretta: il vero rischio proviene sempre più dalla direzione opposta. I sistemi di IA restituiscono dati sensibili a utenti o agenti che non dovrebbero affatto avervi accesso.

Le violazioni a valle sono più che raddoppiate

Queste cosiddette violazioni ’a valle’ sono più che raddoppiate nel giro di un anno, passando da una media di 12 a 31 alla settimana per azienda. Nel 25% delle organizzazioni più colpite, il numero è addirittura passato da 72 a 206. Le violazioni ’downstream’ rappresentano quindi già la seconda categoria di rischio più frequente legata all’IA: su 10'000 segnalazioni relative all'IA, 924 riguardano casi di questo tipo – quasi uno su dieci. Solo le violazioni «upstream», in cui gli utenti inviano dati sensibili ai servizi di IA, sono più frequenti (8'752 su 10'000). Seguono le violazioni relative al filtraggio dei contenuti (154), i tentativi di «prompt injection» e «jailbreak» (129) e le richieste mirate di dati sensibili (28). Il codice dannoso, con cinque avvisi ogni 10'000, costituisce la categoria più piccola ma al contempo più critica: un agente autonomo può eseguirlo direttamente o integrarlo in un codice più ampio.

MCP come motore principale della crescita

Una delle ragioni principali di questo sviluppo è la diffusione esplosiva del Model Context Protocol (MCP), attraverso il quale i modelli di IA e gli agenti si collegano a fonti di dati e strumenti esterni. In sole dieci settimane, le transazioni MCP sono aumentate del 375 per cento, mentre il numero di utenti è cresciuto del 250 per cento. Tra i principali client MCP figurano gli agenti di codifica Claude Code e Codex.

La programmazione autonoma sta diventando la norma

Claude Code è oggi la piattaforma di programmazione più utilizzata ed è impiegata nel 75% delle aziende; Codex segue con il 58%. Un anno fa entrambe erano ancora al di sotto dell’1%. La percentuale di aziende che utilizzano applicazioni di codifica basate sull’intelligenza artificiale è aumentata dal 42 all’84 per cento. Mentre gli assistenti basati su IDE come Github Copilot e Cursor registrano una fase di stallo, il mercato si sta orientando verso strumenti in grado di generare ed eseguire codice in modo autonomo.

L'IA "ombra" rimane: la tendenza si è invertita

Contrariamente alle aspettative del settore, l’utilizzo dell’IA non si sta consolidando sulle piattaforme aperte. Il calo delle applicazioni private si è arrestato nel marzo 2026 e da allora si è leggermente invertito: il 56% degli utenti si affida esclusivamente ad applicazioni gestite, il 30% esclusivamente ad app private e il 14% utilizza entrambe. Anziché migrare ogni singolo caso d’uso, le aziende puntano sempre più su linee guida. Parallelmente, l’attenzione si è ampliata: dai chatbot privati agli agenti di IA, ai server MCP e alle infrastrutture di IA locali.

Sovranità dei dati: due aziende su cinque gestiscono i modelli a livello locale

Il 41% delle aziende gestisce i modelli di IA localmente tramite il framework open source Ollama, per mantenere il controllo sulla sede di elaborazione e ridurre i costi del cloud. Al primo posto si trova Gemma4 di Google (42%), seguito da Qwen di Alibaba e Llama di Meta. Chi gestisce i modelli in locale acquisisce il controllo sul luogo di elaborazione, ma non automaticamente sulle interazioni. Anche l’infrastruttura di IA locale deve quindi essere collegata a un gateway centrale di IA.

Altri risultati chiave del rapporto

I dati regolamentati e il codice sorgente rappresentano ciascuno il 35% delle violazioni a monte, seguiti dalla proprietà intellettuale (20%) e dalle password e chiavi di accesso (10%), che compaiono per lo più incorporate nel codice sorgente o nei file di configurazione. A livello di piattaforma, il numero di utenti è salito dal 51 al 92% di tutte le aziende. La piattaforma Claude di Anthropic ha superato OpenAI come fornitore leader; Amazon Bedrock segue a distanza al terzo posto. Il volume dei prompt è triplicato in media, passando da 1’498 a 4’731 a settimana per azienda, con un minimo di 19’292 nel quartile superiore. La percentuale mediana di utenti settimanali dell’IA è salita dal 34 al 59%. Inoltre, aumentano gli attacchi alla catena di approvvigionamento dell’IA: le esche IA contraffatte – tra cui programmi di installazione falsi e strumenti di sviluppo infettati da trojan – hanno registrato un’impennata nel marzo 2026 e da allora si mantengono a livelli elevati.

«Rischi bidirezionali legati agli agenti»

«Il panorama delle minacce nel 2026 ha superato la fase del semplice rilevamento dell’IA »ombra« ed è entrato in una fase caratterizzata da rischi bidirezionali legati agli agenti», spiega Ray Canzanese, direttore di Netskope Threat Labs. «Da tempo non ci limitiamo più a monitorare solo i prompt che i dipendenti inviano a modelli esterni. Ormai controlliamo l’integrità della catena di fornitura dell’IA. La rapida adozione del Model Context Protocol collega direttamente gli archivi di dati interni agli agenti esterni, mentre la crescita esponenziale di strumenti di codifica autonomi come Claude Code e Cursor ha drasticamente abbassato la soglia per l’esecuzione automatizzata di codice dannoso. Per i team di sicurezza ciò comporta un cambiamento: passare dal semplice controllo dei dati a un’ispezione bidirezionale. Dobbiamo considerare ogni interazione con un agente come un potenziale vettore di esecuzione, non solo come una richiesta di dati.»

L'analisi contenuta nel rapporto si basa sui dati aggregati relativi all'utilizzo della piattaforma Netskope One per una parte dei clienti Netskope nel periodo compreso tra giugno 2025 e luglio 2026.

Ulteriori informazioni: www.netskope.com

Questo articolo è apparso originariamente su m-q.ch - https://www.m-q.ch/de/ki-systeme-geben-daten-zurueck-ein-unterschaetztes-sicherheitsrisiko/