Un agente compromesso via indirect prompt injection deve poi far uscire i dati che ruba – e le vie sono più subdole di una connessione di rete evidente. I canali laterali documentati:
- rendering Markdown / immagini: l'attaccante induce l'agente a generare un'immagine Markdown
– quando l'interfaccia renderizza l'immagine, il browser della vittima fa la richiesta a quell'URL, esfiltrando i dati nella query string. La vittima vede solo un'immagine rotta; l'attaccante ha ricevuto il segreto. È uno degli attacchi più eleganti e ha colpito assistenti reali - link cliccabili con dati codificati nell'URL, che l'utente clicca inconsapevolmente
- chiamate a tool legittimi piegate all'esfiltrazione (un tool che "cerca sul web" usato per spedire dati nella query)
Le difese, a livello di prodotto e di architettura:
- sanitizzare l'output: non renderizzare immagini/link verso domini arbitrari, allowlist dei domini, disabilitare il caricamento automatico di risorse esterne nelle risposte
- egress control sui tool dell'agente (niente chiamate verso domini non fidati)
- permessi minimi: l'agente non deve avere accesso sia ai dati sensibili sia alla capacità di comunicare con l'esterno senza controlli
È un promemoria che la sicurezza degli agenti non finisce al prompt: ciò che l'agente legge può ordinargli di agire, e come il suo output viene renderizzato può essere il canale di fuga. Superficie nuova, principi vecchi: valida gli input, controlla gli output, minimizza i privilegi.