Uno studio dimostra che gli attacchi alla memoria possono dirottare gli agenti AI per trasferire beni in criptovaluta

I ricercatori dell'Università di Princeton hanno dimostrato https://arstechnica.com/security/2025/05/ai-agents-that-autonomously-trade-cryptocurrency-arent-ready-for-prime-time/ che gli agenti con un modello di linguaggio di grandi dimensioni affidati a portafogli di criptovalute e operazioni di contratti intelligenti possono essere dirottati una volta che un aggressore modifica il contesto memorizzato degli agenti, una debolezza che il team definisce "avvelenamento della memoria"

Il loro studio https://arxiv.org/pdf/2503.16248 sostiene che le difese odierne, per lo più filtri tempestivi, fanno ben poco una volta che il testo dannoso si insinua nell'archivio vettoriale o nel database di un agente. Negli esperimenti, le brevi iniezioni sepolte nella memoria hanno superato in modo consistente i guardrail che avrebbero bloccato lo stesso testo se fosse arrivato come prompt diretto.

Il team ha convalidato l'attacco su ElizaOS, un framework open-source i cui agenti di portafoglio agiscono su istruzioni blockchain. Dopo aver avvelenato la memoria condivisa, i ricercatori hanno fatto in modo che questi agenti firmassero chiamate di smart-contract non autorizzate e trasferissero asset di criptovaluta a indirizzi controllati dall'attaccante, dimostrando che il contesto falsificato si traduce in una reale perdita finanziaria.

Poiché ElizaOS consente a molti utenti di condividere la cronologia delle conversazioni, una singola sessione compromessa contamina ogni altra sessione che tocca la stessa memoria. L'articolo avverte che qualsiasi distribuzione multiutente di agenti LLM autonomi eredita questo rischio di movimento laterale, a meno che le memorie non siano isolate o verificabili.

Gli autori raccomandano di trattare le memorie come registri di sola appendice, di firmare crittograficamente ogni voce e di instradare le azioni ad alto rischio - pagamenti e approvazioni di contratti - attraverso un motore di regole esterno, invece di fidarsi del ragionamento del modello stesso. Finché queste misure non diventeranno standard, consegnare denaro reale ad agenti autonomi resterà un azzardo.