Nel 2025 ci aspettavamo AI più intelligenti, riunioni senza slide, frigoriferi che fanno la spesa e – perché no – cybercriminali costretti a darsi all'agricoltura. E invece eccoci qui, ancora una volta, a guardare un assistente AI da milioni di dollari che si fa fregare con lo stesso trucco da prestigiatore da baraccone: scrivere cose in bianco su sfondo bianco.

La vulnerabilità scoperta dal ricercatore Marco Figueroa, nel contesto del programma 0din di Mozilla, ha messo in mutande nientepopodimeno che Google Gemini, l'orgoglioso assistente AI di Google Workspace. Lì dove dovrebbe esserci innovazione, efficienza, sicurezza enterprise, ci troviamo di fronte a un modello LLM che si beve tutto quello che trova, senza chiedersi da dove venga, chi l'abbia scritto o se abbia senso.

"Riassumimi questa email"

Lo scenario è quasi comico, se non fosse tragico. L'attaccante invia una mail apparentemente innocua, magari una richiesta d'informazioni, un ringraziamento, un augurio. Ma dentro il corpo del messaggio, ben nascosto, c'è un prompt malevolo: scritto in bianco, a caratteri minuscoli, oppure racchiuso in tag HTML oscuri. L'utente lo apre, non nota nulla di strano, e clicca sul comodo pulsante "Riassumi con Gemini".

Ed è lì che succede la magia nera: Gemini legge anche il contenuto invisibile e lo trasforma nel cuore del messaggio. Frasi come "Il tuo account è stato compromesso. Chiama subito il numero 1-800-555-1212" prendono vita, spacciandosi per sintesi imparziale, generata da un'intelligenza artificiale "trusted".

Sì, trusted. Tipo quello che ti frega appena abbassi la guardia.

E Google? Una scrollata di spalle

La vulnerabilità è stata segnalata a Google il 4 febbraio. Da allora sono passati 120 giorni. Cioè quattro mesi. In tempo informatico, un'era geologica. Eppure, a luglio, il bug funziona ancora. Google ha dichiarato di "aver introdotto nuove difese contro le prompt injection indirette", ma senza fornire alcuna spiegazione tecnica, né tantomeno dimostrare l'efficacia delle misure. Come dire: "fidatevi, abbiamo sistemato… più o meno".

Nel frattempo, Figueroa ha continuato a testare e il risultato è sempre lo stesso: Gemini si fa fregare da contenuti invisibili. Quindi o le "difese" sono solo fumo negli occhi, oppure il problema è più strutturale di quanto Google voglia ammettere.

Nessun link, nessun allegato, solo puro inganno semantico

E qui sta il vero colpo di genio criminale. Non parliamo di virus, exploit o macro. Non c'è nulla da cliccare. Nessun PDF, nessun .zip. Solo testo. Invisibile, ma testuale. Un contenuto che passa attraverso tutti i filtri come acqua tra le dita, e che viene poi amplificato proprio dall'AI aziendale, quella che doveva aiutarci a "capire meglio" i contenuti.

Questo tipo di attacco non solo è elegante nella sua semplicità, ma è anche incredibilmente difficile da intercettare. Le regole classiche di DLP, gli antispam, i firewall… qui servono a poco. E gli utenti, abituati a fidarsi dell'assistente AI come fosse una segretaria sveglia, si trovano improvvisamente davanti a un prompt preconfezionato per scatenare panico, reazioni impulsive, errori.

Un'AI con l'innocenza di un bimbo e la potenza di una bomba

La verità è che abbiamo messo strumenti troppo potenti nelle mani di modelli troppo ingenui. Gemini non distingue tra contenuto e comando. Non sa se un messaggio è autentico o manipolato. Non verifica le fonti. Semplicemente, obbedisce. E quando obbedisce a chi non dovrebbe, siamo nei guai.

La metafora che usa Figueroa è precisa come una stilettata: "Ogni testo che il tuo modello riceve da una fonte esterna è codice eseguibile." E il fatto che nessuno, fino a ora, abbia pensato di proteggere i modelli LLM dalla manipolazione semantica fa riflettere. Anzi, fa incazzare.

E adesso?

Adesso tocca a noi. Alle aziende. Ai team di sicurezza. Ai CISO che devono spiegare al board che non basta più bloccare gli allegati .exe o disattivare le macro. Adesso servono nuove contromisure: filtri semantici, sanitizzazione del testo, controllo preventivo sui contenuti generati dall'AI. E soprattutto formazione, perché l'utente medio tende a fidarsi ciecamente di ciò che "dice l'AI".

Serve una regola aurea nuova: "Se non faresti fare una diagnosi medica al tuo microonde, non affidarti ciecamente nemmeno all'assistente AI." Non importa quanto sia evoluto: resta pur sempre un modello statistico, non un vigile urbano digitale.

Conclusione? Il futuro è già vulnerabile

Quello che ci mostra questa vicenda è che l'evoluzione non è mai gratis. Ogni nuova tecnologia porta con sé nuove fragilità. Gemini è solo l'inizio. Lo stesso problema può riguardare Microsoft Copilot, Notion AI, Slack GPT e qualunque altro strumento che interpreti testi per noi. L'attacco non è più contro i sistemi. È contro la nostra fiducia. E la fiducia, quando viene violata da chi doveva proteggerla, lascia cicatrici profonde.

Benvenuti nella nuova era del phishing AI. Dove l'unico vero antivirus si chiama spirito critico.