I ricercatori dell’Università di Torino hanno dimostrato la vulnerabilità strutturale dei modelli linguistici come ChatGPT, Gemini e Claude agli attacchi di prompt injection indiretta veicolati tramite stringhe nascoste nei documenti digitali. Inserendo istruzioni non visibili a occhio nudo all’interno dei file, il gruppo di lavoro ha forzato gli algoritmi ad alterare completamente il proprio giudizio durante processi automatizzati di revisione, selezione e analisi documentale.
Il principio operativo sfrutta l’architettura stessa dei modelli generativi, incapaci di distinguere i dati grezzi di input dalle direttive operative di sistema. Nello studio condotto dal team torinese, composto da Federico Torrielli, Stefano Locci, Amon Rapp e Luigi Di Caro, l’inserimento di comandi invisibili all’interno di articoli scientifici ha raggiunto un tasso di successo fino al 99%. Il modello ha così attribuito valutazioni di eccellenza a documenti manipolati, ignorando i parametri oggettivi di revisione.
Lo scenario, raccontato in una recente intervista da La Repubblica, diventa critico nei processi di recruiting automatizzato, dove l’impiego di agenti intelligenti per scremare migliaia di candidature è ormai prassi diffusa. Un candidato può nascondere nel layout del file istruzioni testuali che ordinano al sistema di classificarlo come il profilo ideale da assumere. La manipolazione sfrutta la medesima debolezza strutturale documentata dai ricercatori dell’ateneo, per un fenomeno che riapre diversi interrogativi mai sopiti sull’affidabilità dei filtri algoritmici usati dalle risorse umane.
Dalle assunzioni alla sanità: i rischi della manipolazione e le contromisure
L’impatto di simili vulnerabilità supera i confini della selezione del personale per toccare contesti ad alto rischio come l’analisi di cartelle cliniche e referti sanitari. Se un modello riceve in pasto documentazione sanitaria alterata con stringhe invisibili, il rischio di diagnosi errate o di interpretazioni cliniche compromesse diventa concreto. La dipendenza dai modelli di linguaggio naturale evidenzia un limite intrinseco nell’elaborazione non verificata di dati provenienti da fonti terze.
Lo studio propone al contempo una contromisura difensiva basata sull’incorporazione di sequenze di caratteri non visibili all’interno dei testi generati artificialmente. Questa filigrana digitale permette di tracciare l’origine sintetica degli elaborati, registrando nei test un’accuratezza di rilevamento compresa tra l’87% e il 97%. La sicurezza dei flussi di lavoro automatizzati dipenderà sempre più dalla capacità di intercettare le alterazioni a monte, evitando di delegare scelte critiche a sistemi privi di verifiche rigorose sui dati in ingresso.