Mentre il settore discute di quanto convertirà il traffico degli assistenti AI, una parte del rischio si è spostata altrove. Il 9 giugno 2026 Gartner ha pubblicato la classifica annuale delle minacce legate all’intelligenza artificiale e ha collocato la prompt injection al primo posto per il secondo anno consecutivo, davanti a data leakage, agent hijacking, compromissione della supply chain AI e amplificazione delle allucinazioni.
Non è una classifica accademica. Nello stesso periodo Google ha registrato un aumento del 32% degli attacchi di prompt injection indiretta contro i propri agenti tra novembre 2025 e febbraio 2026, e Zscaler ha individuato due campagne reali che usavano injection nascoste in siti malevoli per indurre agenti AI a eseguire pagamenti o a fidarsi di piattaforme crypto fraudolente. Il 1 maggio 2026 le agenzie di sicurezza di Stati Uniti, Regno Unito, Australia, Canada e Nuova Zelanda hanno pubblicato una guida congiunta sull’adozione prudente dei servizi di AI agentica, definendo la prompt injection la minaccia più persistente e difficile da correggere per questi sistemi, e aggiungendo che nessun singolo controllo è sufficiente a neutralizzarla.
Per chi vende online la domanda è concreta: quanto di tutto questo arriva fino al mio checkout?
Che cosa è la prompt injection e perché ti riguarda
La prompt injection consiste nell’inserire istruzioni nascoste dentro il testo che un modello linguistico elabora, inducendolo a comportarsi diversamente da come è stato istruito. Nella forma diretta è l’utente che scrive il comando malevolo. Nella forma indiretta, molto più insidiosa, il comando non viene scritto da nessuno nella conversazione: l’agente lo incontra mentre esegue il suo compito, leggendo una pagina web, una descrizione prodotto o una recensione.
La differenza rispetto al passato è che un agente non si limita a rispondere. Naviga, compila moduli, aggiunge articoli a un carrello e, nei flussi agentici più avanzati, completa transazioni. Un’istruzione nascosta non produce più una risposta sbagliata, produce un’azione sbagliata con conseguenze economiche. È lo stesso spostamento che rende interessanti i browser agentici come Atlas e Comet e che allo stesso tempo li rende rischiosi.
I due scenari di frode ricostruiti da Unit 42
Il 20 marzo 2026 Unit 42, la divisione di threat intelligence di Palo Alto Networks, ha pubblicato un’analisi dedicata alle frodi retail nell’era degli agenti. Il team ha costruito scenari di attacco sugli agenti abilitati allo Universal Commerce Protocol, partendo da una considerazione semplice: nel commercio agentico il cliente non sta necessariamente transitando dalle tue pagine, quindi i controlli che hai costruito attorno all’esperienza umana non intercettano nulla.
Il primo scenario è il furto di gift card tramite avvelenamento del payload. Un’istruzione nascosta incontrata dall’agente durante la navigazione aggiunge una voce al carrello in costruzione, per esempio una gift card digitale da cento dollari, riprogrammando di fatto la memoria di lavoro dell’agente. Il secondo scenario riguarda le frodi sui resi tramite dirottamento della logica, dove l’agente viene indotto ad avviare procedure di reso o rimborso che il cliente non ha mai chiesto.
Va detto con precisione, perché il confine conta: si tratta di scenari costruiti in laboratorio con l’aiuto di modelli linguistici, non di attacchi osservati in produzione contro merchant reali. Unit 42 li presenta come dimostrazione di fattibilità. La ragione per cui meritano attenzione è che le tecniche di frode che replicano, furto di gift card e abuso dei resi, sono già oggi tra le più diffuse nel crimine organizzato ai danni del retail. L’automazione non inventa una frode nuova, moltiplica la scala di una frode vecchia: un gruppo che dispone di decine di agenti può avviare migliaia di richieste in pochissimo tempo.
Il tuo sito può essere il vettore contro gli agenti altrui
C’è un aspetto che quasi nessuno sta guardando e che vale la pena isolare, perché ribalta la prospettiva difensiva abituale.
Se il tuo ecommerce pubblica contenuti che non scrivi tu, e quasi tutti lo fanno, quei contenuti vengono letti dagli agenti. Recensioni, domande e risposte, descrizioni fornite dai produttori, schede importate da feed di terze parti, commenti: ognuno di questi campi può contenere istruzioni nascoste destinate non ai tuoi clienti umani, ma all’agente che sta leggendo la pagina per conto di qualcun altro. Il testo può essere invisibile a occhio nudo e perfettamente leggibile per un parser.
Significa che il problema ti riguarda anche se non hai alcun agente AI in azienda. Il tuo catalogo è già una superficie che gli agenti attraversano, come ho spiegato parlando di leggibilità del catalogo per gli agenti AI, e una superficie attraversata è una superficie attaccabile. Se un agente viene dirottato mentre legge le tue pagine, il danno reputazionale arriva comunque a te.
Perché l’antifrode che hai oggi non vede questi attacchi
Il secondo problema è di configurazione. Per quindici anni il mercato ha venduto agli ecommerce la capacità di tenere fuori i bot. Ora quelle stesse reti devono imparare a riconoscerne alcuni e lasciarli entrare, distinguendo un agente legittimo che confronta prezzi o completa un acquisto autorizzato da un agente dirottato o malevolo.
Il risultato è un punto cieco a doppio senso. Da una parte rischi di bloccare traffico agentico buono, cioè clienti veri che hanno delegato. Dall’altra, se lasci passare, i tuoi sistemi di scoring sono tarati su pattern comportamentali umani, ritmo di digitazione, movimenti del mouse, tempi di permanenza, che per un agente non significano nulla. Chi ha già affrontato il tema dei pagamenti avviati da agenti AI sa che la domanda da fare al proprio PSP è secca: oggi, nel mio checkout, cosa succede a una transazione avviata da un agente?
Vale la pena ricordare che il contesto competitivo è in movimento anche sul piano del controllo degli accessi: il caso dell’agente di Meta bloccato da Amazon, che ho raccontato analizzando la guerra per il checkout agentico, mostra che le piattaforme stanno già decidendo quali agenti ammettere e quali respingere. Prima o poi la stessa decisione toccherà a te.
Tre livelli di difesa da impostare adesso
L’indicazione che emerge sia dall’analisi di Unit 42 sia dalla guida delle agenzie governative è che non esiste un controllo unico risolutivo. Serve stratificare.
Autenticazione dell’agente. Sapere chi sta bussando. Significa distinguere il traffico agentico nei log, identificare gli user agent riconducibili ad agenti e browser agentici, e verificare con il proprio fornitore di pagamenti quali token agentici supporta e come vengono trattati.
Monitoraggio delle transazioni. Regole specifiche sulle categorie storicamente abusate, a partire da gift card e buoni digitali, e soglie dedicate alle sessioni agentiche. Una transazione avviata da un agente non va valutata con gli stessi parametri di una umana.
Contromisure sulla prompt injection. Trattare come non attendibile ogni contenuto che il sistema non ha scritto, separare i privilegi in modo che un agente che legge non possa anche spendere senza un passaggio di conferma, e introdurre nel ciclo di sviluppo simulazioni di attacco prima della messa in produzione.
A questi va aggiunto un controllo che costa poco: ripulire i campi di testo aperti del proprio sito dal contenuto invisibile, verificando che recensioni, domande e feed esterni non contengano testo nascosto.
Cosa misurare per accorgersi del problema in tempo
Senza segmentazione il fenomeno resta invisibile fino alla prima perdita. Quattro indicatori sono sufficienti per cominciare: quota di traffico riconducibile ad agenti sul totale delle sessioni, tasso di conversione e scontrino medio separati per traffico agentico e umano, incidenza di gift card e prodotti digitali negli ordini agentici, tasso di reso e di contestazione letto sullo stesso taglio.
Se i numeri agentici si comportano come quelli umani, è un buon segno. Se divergono in modo marcato su una sola categoria merceologica, è il momento di guardare da vicino.
Il punto
Il commercio agentico sta crescendo e la superficie di attacco cresce con lui. La differenza rispetto ad altre ondate tecnologiche è che qui il vettore non è una vulnerabilità del software ma il linguaggio stesso, e il linguaggio non si corregge con una patch.
Non serve riprogettare l’infrastruttura oggi. Serve sapere quanto traffico agentico passa già dal tuo sito, cosa succede quando arriva al checkout e quali campi del tuo catalogo accettano testo che non hai scritto tu. Tre domande, e le risposte sono già tutte nei tuoi log.
Domande frequenti
Che cos’è esattamente la prompt injection indiretta?
È un attacco in cui l’istruzione malevola non viene scritta dall’utente nella conversazione, ma si trova dentro un contenuto che l’agente legge mentre svolge il proprio compito, come una pagina web, una recensione o una descrizione prodotto. L’agente la interpreta come un comando legittimo.
Il mio ecommerce è a rischio anche se non uso agenti AI?
Sì. Gli agenti che leggono le tue pagine appartengono ad altri, ma attraversano il tuo catalogo. Se nei tuoi contenuti generati dagli utenti o importati da terzi finisce testo nascosto, il tuo sito diventa il punto da cui parte il dirottamento.
Gli scenari di frode di Unit 42 sono attacchi realmente avvenuti?
No. Unit 42 li descrive come scenari costruiti in laboratorio per dimostrare la fattibilità tecnica. Le tecniche che replicano, però, furto di gift card e abuso dei resi, sono già tra le più usate nelle frodi retail tradizionali.
Il mio sistema antifrode attuale basta?
Difficilmente. La maggior parte dei sistemi è tarata su segnali comportamentali umani che un agente non produce. Serve almeno segmentare il traffico agentico e applicargli regole dedicate, a partire dalle categorie merceologiche più esposte.
Da dove conviene partire con risorse limitate?
Dalla misurazione. Capire quanto traffico agentico ricevi oggi e come si comporta costa poche ore di analisi dei log e permette di decidere con dati propri se e quando investire in contromisure più strutturate.
