Una singola riga di testo malevolo inserita nel titolo di una pull request su GitHub è bastata per indurre tre diversi agenti di intelligenza artificiale a rivelare le proprie chiavi API, ovvero le credenziali che garantiscono accesso ai servizi sottostanti. La scoperta coinvolge Claude Code Security Review di Anthropic, Gemini CLI Action di Google e Copilot Agent di GitHub: i tre principali fornitori di strumenti AI per lo sviluppo software sono stati colpiti dalla medesima tecnica di attacco. Una notizia che merita attenzione non soltanto per la gravità tecnica, ma per ciò che racconta sullo stato di maturità di questi sistemi.
Il ricercatore Aonan Guan, in collaborazione con colleghi della Johns Hopkins University, ha dimostrato che è sufficiente confezionare un’istruzione malevola, tecnicamente nota come prompt injection, e posizionarla in un campo visibile all’agente AI durante la sua esecuzione automatica. In questo caso il campo scelto è stato il titolo di una pull request, cioè una richiesta di modifica del codice su GitHub. L’agente, progettato per analizzare automaticamente il codice e fornire suggerimenti, ha interpretato l’istruzione nascosta come un comando legittimo e ha pubblicato la propria chiave API direttamente nei commenti della pull request, rendendola visibile a chiunque avesse accesso al repository.
L’aspetto più rilevante della vicenda è che nessuna infrastruttura esterna è stata necessaria per condurre l’attacco. Non servivano server dedicati, strumenti sofisticati o competenze particolarmente avanzate. È bastato scrivere una frase nel posto giusto. Una vulnerabilità, quindi, accessibile a un numero potenzialmente vastissimo di attori malevoli, con un effetto amplificato sul rischio per le organizzazioni che hanno integrato questi agenti nei propri flussi di lavoro.
Un elemento particolarmente degno di nota riguarda Anthropic: la system card di Claude, il documento che descrive le caratteristiche e i limiti noti del modello, aveva già previsto esattamente un simile scenario. Sapere che un rischio esiste e non riuscire comunque a impedirne la manifestazione è un segnale che dovrebbe far riflettere l’intero settore sulla distanza che ancora separa la consapevolezza teorica dalla protezione effettiva.
La vicenda si inserisce in un quadro più ampio in cui gli agenti AI assumono ruoli sempre più autonomi nei processi di sviluppo software, dalla revisione del codice fino al rilascio in produzione. Man mano che guadagnano permessi e responsabilità, la superficie di attacco cresce in proporzione. Il problema della prompt injection non è nuovo, ma la sua persistenza anche nei prodotti dei tre maggiori attori del settore suggerisce che non si tratta di una falla risolvibile con semplici patch. Servirà un ripensamento architetturale profondo del modo in cui gli agenti AI gestiscono input non fidati, prima che il prossimo incidente abbia conseguenze meno controllabili di una chiave API esposta in un commento su GitHub.
Per approfondire: link all’articolo originale
