Una nuova minaccia per i sistemi di intelligenza artificiale agentica in ambito aziendale
Il ghostjacking è una tecnica offensiva emergente che trasforma gli agenti di intelligenza artificiale aziendali in strumenti di attacco interno, sfruttando vulnerabilità di prompt injection indiretta. A differenza della prompt injection tradizionale, il ghostjacking non richiede accesso diretto all’interfaccia utente del modello, ma sfrutta dati letti autonomamente dall’agente — come log di sistema, registri di sicurezza o database — inserendovi istruzioni malevole che l’agente esegue con i propri privilegi legittimi. Il fenomeno si colloca all’intersezione di tre grandi corpi normativi europei: il Regolamento (UE) 2016/679 (GDPR), il Regolamento (UE) 2024/1689 (AI Act) e il decreto legislativo 4 settembre 2024, n. 138 (recepimento della Direttiva NIS2).
La qualificazione giuridica e le violazioni normative
Quando un agente AI compromesso tramite ghostjacking accede, modifica o trasmette dati personali, si realizza un trattamento non autorizzato ai sensi dell’articolo 5, paragrafo 1, lettera f), GDPR (integrità e riservatezza). Tale trattamento viola anche il principio di limitazione della finalità di cui all’articolo 5, paragrafo 1, lettera b), poiché i dati sono utilizzati per finalità imposte da un attaccante esterno, manifestamente incompatibili con le finalità originariamente determinate.
L’articolo 32 GDPR, che disciplina le misure tecniche e organizzative adeguate, impone al titolare e al responsabile del trattamento di adottare protezioni proporzionate al rischio. Un sistema di AI agentica con accesso a repository di dati personali e privo di misure di validazione degli input provenienti da fonti di logging costituisce una configurazione ad elevato rischio che richiede misure rafforzate. L’assenza di tali misure configura violazione dell’obbligo di sicurezza.
Per quanto riguarda l’obbligo di notifica ex articolo 33 GDPR (violazione dei dati personali), un attacco ghostjacking che determini accesso non autorizzato, perdita o alterazione di dati personali costituisce una violazione rilevante, con obbligo di notifica entro settantadue ore salvo che l’organizzazione dimostri che “è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche” — condizione difficilmente sostenibile quando l’agente compromesso aveva accesso a sistemi sensibili.
L’articolo 35 GDPR (Data Protection Impact Assessment) impone che qualunque sistema di AI agentica con accesso a dati personali e con capacità di azione autonoma su sistemi informativi sia soggetto a DPIA preliminare, in ragione dell’elevato rischio strutturale.
Il quadro dell’AI Act: obblighi di robustezza e cybersicurezza
L’AI Act, entrato in vigore il 1° agosto 2024, introduce un sistema di classificazione dei sistemi di AI per livello di rischio direttamente rilevante. Gli agenti AI aziendali rientrano nella definizione di “sistema di intelligenza artificiale” dell’articolo 3, paragrafo 1, AI Act.
Per i sistemi ad alto rischio — categoria che include i sistemi destinati a essere utilizzati come componenti di sicurezza nella gestione delle infrastrutture digitali critiche (Allegato III) — l’AI Act impone obblighi specifici. L’articolo 9 richiede un sistema di gestione dei rischi “continuo e iterativo” che identifichi e mitighi i rischi ragionevolmente prevedibili. L’articolo 15 impone requisiti di “accuratezza, robustezza e cybersicurezza”, richiedendo che i sistemi siano “progettati e sviluppati in modo da raggiungere un livello appropriato di robustezza e cybersicurezza” e “da resistere, nei limiti del ragionevole, ai tentativi di soggetti terzi non autorizzati di alterarne l’uso, gli output o le prestazioni attraverso l’utilizzo di vulnerabilità.” Il ghostjacking è proprio un tentativo di questo tipo.
L’articolo 14 AI Act disciplina la “supervisione umana” (human oversight), richiedendo che i sistemi ad alto rischio siano progettati in modo che gli utenti possano monitorare il funzionamento e intervenire, sospendere o interrompere l’operatività del sistema. Un sistema privo di meccanismi efficaci di supervisione umana che venga compromesso tramite ghostjacking non solo subisce danno, ma viola anche i requisiti strutturali dell’AI Act.
La mancata adozione delle misure di cybersicurezza previste dall’articolo 15 espone il deployer a sanzioni amministrative sino a 15 milioni di euro o al 3% del fatturato mondiale annuo totale (art. 99, paragrafo 4, AI Act).
NIS2 e il decreto legislativo 138/2024: obblighi di gestione del rischio e notifica
La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia dal decreto legislativo 4 settembre 2024, n. 138, introduce obblighi di sicurezza informatica per i soggetti essenziali e importanti operanti in settori critici. Un attacco ghostjacking che comprometta sistemi rilevanti di tali soggetti configura tipicamente un incidente di sicurezza.
L’articolo 24 del d.lgs. 138/2024 (recepimento dell’art. 21 Direttiva) impone l’adozione di misure tecniche, operative e organizzative “adeguate e proporzionate” per gestire i rischi posti alla sicurezza dei sistemi informativi, inclusa la gestione degli incidenti, la sicurezza della catena di approvvigionamento, le pratiche di igiene informatica di base, il controllo degli accessi e la sicurezza delle risorse umane.
L’articolo 25 del d.lgs. 138/2024 (recepimento dell’art. 23 Direttiva) prevede una procedura di notifica articolata: un “preallarme” entro ventiquattro ore dalla conoscenza dell’incidente significativo, una notifica completa entro settantadue ore, e una relazione finale entro un mese. L’ACN (Agenzia per la Cybersicurezza Nazionale) è il CSIRT nazionale designato per la ricezione delle notifiche.
L’articolo 23 del d.lgs. 138/2024 (recepimento dell’art. 20 Direttiva) impone agli organi di gestione dei soggetti essenziali e importanti di approvare le misure di sicurezza, supervisionarne l’attuazione e rispondere personalmente in caso di violazione. La decisione di dispiegare sistemi di AI agentica senza adeguata analisi del rischio è pertanto una decisione di governance con conseguenze dirette in capo al management, non una questione tecnica delegabile.
Sovrapposizione di regimi normativi e responsabilità
Un incidente ghostjacking che coinvolga dati personali e colpisca un soggetto essenziale ai sensi della NIS2 genera obblighi di notifica paralleli verso il Garante (art. 33 GDPR, entro 72 ore), verso l’ACN/CSIRT nazionale (art. 25 d.lgs. 138/2024, entro 24 ore per il preallarme), e prospetticamente anche verso l’autorità di vigilanza sull’AI Act. Questa frammentazione dei canali di notifica e delle autorità competenti genera un rischio operativo significativo: l’organizzazione deve gestire contemporaneamente più procedimenti con tempistiche differenti e interlocutori diversi, richiedendo una risposta coordinata con processi interni chiari e responsabilità assegnate.
Sotto il profilo della responsabilità civile, il GDPR (art. 82) prevede un’inversione dell’onere della prova: il titolare o il responsabile è responsabile del danno derivante da trattamento non conforme, salvo che dimostri “che l’evento dannoso non gli è in alcun modo imputabile.” Un titolare che ha dispiegato un agente AI senza adeguata DPIA, senza misura di sicurezza appropriate e senza previsione di sanitizzazione degli input da fonti di logging difficilmente potrà invocare l’esonero da responsabilità, essendo il rischio di prompt injection indiretta ragionevolmente prevedibile alla luce della documentazione tecnica disponibile (ENISA, OWASP).
Cosa devono fare le imprese
Le organizzazioni devono adottare immediatamente le seguenti misure:
Mappatura dei sistemi AI agentici: condurre una ricognizione completa di tutti i sistemi di AI dotati di capacità di azione autonoma su sistemi informativi, distinguendo tra sistemi sviluppati internamente, acquisiti da fornitori e basati su modelli GPAI di terze parti. La mappatura deve includere le fonti di dati elaborate (log, database, API), i privilegi di accesso e le azioni autorizzate.
Classificazione del rischio AI Act: determinare per ciascun sistema la categoria di rischio applicabile (alto rischio, rischio limitato, rischio minimo) verificando se rientra nell’Allegato III AI Act. I sistemi impiegati nella gestione della sicurezza informatica sono candidati forti alla classificazione ad alto rischio.
Esecuzione della DPIA: per tutti i sistemi di AI agentici che trattano dati personali e presentano elevato rischio, è obbligatoria la DPIA preliminare ex articolo 35 GDPR, con valutazione specifica del rischio di ghostjacking e descrizione delle misure di mitigazione.
Revisione architetturale: implementare misure di sicurezza adeguate quali: separazione logica tra dati di configurazione e dati elaborati, sanitizzazione degli input provenienti da fonti esterne (inclusi i log di sistema), validazione delle istruzioni rispetto a un insieme predefinito di azioni autorizzate, logging dell’agente AI separato dai log di sistema generali.
Aggiornamento contratti con fornitori: integrare le clausole contrattuali con previsioni specifiche in materia di vulnerabilità di prompt injection, obblighi di notifica in caso di scoperta di vulnerabilità, attestazioni di conformità all’articolo 15 AI Act per i sistemi ad alto rischio.
Formazione del personale: fornire formazione specifica sui rischi di ghostjacking, con focus sui segnali di compromissione e sulle procedure di escalation e contenimento.
Aggiornamento dei piani di incident response: includere scenari specifici di compromissione di agenti AI, con indicazione delle soglie di notifica, dei canali verso Garante e ACN, e della possibilità di sospendere immediatamente l’operatività dell’agente compromesso.
Aggiornamento del Registro delle Attività di Trattamento: ex articolo 30 GDPR, includere i trattamenti di dati personali effettuati tramite agenti AI, con specifica delle fonti di dati elaborate, delle finalità e delle misure di sicurezza adottate.
Verifica degli accordi di responsabilità del trattamento: qualora il sistema AI sia gestito da fornitore esterno con accesso a dati personali, verificare la sussistenza di un accordo ex articolo 28 GDPR con previsione specifica degli obblighi di sicurezza per sistemi di AI agentici.
Adempimenti NIS2: per i soggetti rientranti nell’ambito applicativo del d.lgs. 138/2024, verificare che la gestione del rischio connesso ai sistemi di AI agentici sia integrata nel sistema di gestione della sicurezza informatica, con documentazione delle misure e processi di revisione periodica.
Conclusione
Il ghostjacking evidenzia come i sistemi di AI agentica introducono tensioni significative nel quadro giuridico europeo, richiedendo un’evoluzione normativa e interpretativa nei prossimi anni. La prudenza, la documentazione delle scelte e il coinvolgimento precoce di DPO, CISO, Legal e management rappresentano attualmente gli strumenti operativi di riferimento per le organizzazioni che dispiegano tali sistemi.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
