Agenti IA, il rischio può arrivare prima del prompt: la ricerca Microsoft sulle backdoor
La sicurezza di un agente IA non comincia quando l'utente scrive una richiesta. In una ricerca pubblicata il 12 novembre 2026, Microsoft Defender Research e l'AI Red Team descrivono due percorsi per inserire comportamenti nascosti: contaminare i dati di addestramento successivo oppure distribuire un modello già compromesso.[1]
Sono esperimenti di ricerca con condizioni definite, non l'annuncio di una compromissione generalizzata dei prodotti citati.
## Il bersaglio è l'autorità sugli strumenti
Una backdoor può restare inattiva fino a un segnale e poi spingere l'agente a chiamare strumenti, eseguire comandi, modificare file o accedere a dati.[1]
Il lavoro distingue il dataset poisoning, in cui pochi esempi alterati entrano nei dati usati da chi addestra, dal model poisoning, in cui l'avversario controlla l'addestramento prima di distribuire un checkpoint a pesi aperti.[1]
La differenza è importante: controllare soltanto la formulazione dei prompt non equivale a verificare l'origine del modello e dei dati.
## Il 78% non è una probabilità universale
Nel primo esperimento sono stati inseriti 90 esempi contaminati in circa 9.000 conversazioni di un agente da terminale.[1]
Dopo il fine-tuning, le azioni non sicure hanno raggiunto il 78,0% e il 77,8% in 500 prove per ciascuno dei due ambienti rappresentati nell'addestramento; su due ambienti non visti, i risultati sono stati l'11,0% e lo 0%.[1]
Il contesto di prova conta quanto la percentuale: non è una stima della quota di agenti oggi vulnerabili.
Cybersecurity Tracker riprende lo studio in una scheda autonoma conservata il 12 novembre, ma si tratta di una sintesi della stessa ricerca, non di una replica sperimentale indipendente.[2]
## Un buon benchmark non basta
Nel secondo percorso studiato, ulteriore addestramento per rinforzo ha recuperato buona parte delle capacità legittime senza eliminare sostanzialmente la backdoor.[1]
Microsoft precisa inoltre che i risultati sui diversi ambienti di coding non dimostrano debolezze delle loro configurazioni predefinite: il rischio descritto nasce collegando un checkpoint compromesso.[1]
Fra le contromisure indicate ci sono tracciabilità di origine, versione e hash dei checkpoint, limiti ai permessi degli strumenti, isolamento dell'esecuzione e approvazione delle azioni con impatto rilevante.[1]
La conclusione operativa è chiedere non soltanto «sa programmare?», ma anche «quali risorse può toccare, con quali controlli esterni al modello?».
Nessun test qui citato certifica la sicurezza o l'insicurezza di una specifica installazione del lettore.
## Sources
[1] https://www.microsoft.com/en-us/security/blog/2026/11/12/trained-to-betray-how-post-training-supply-chain-attacks-hijack-coding-agents — Microsoft Security, 12 novembre 2026
[2] https://cybersecuritytracker.ai/s/13310 — Cybersecurity Tracker, copia 12 novembre 20:42 UTC