Cos'è la lethal trifecta negli agenti AI?

La lethal trifecta è il termine coniato da Simon Willison (giugno 2025, lo stesso ricercatore che aveva già coniato "prompt injection") per le tre condizioni che devono coesistere perché un agente AI diventi un vettore di esfiltrazione di dati privati: (1) l'agente ha accesso a dati privati, come email, documenti proprietari o dati clienti; (2) l'agente è esposto a contenuto non fidato, cioè elabora testo che arriva da fuori il perimetro dell'organizzazione (email in arrivo, pagine web, documenti caricati, risposte di API terze), dove diventa indistinguibile dalle istruzioni legittime; (3) l'agente ha una capacità di comunicazione esterna, un canale qualsiasi attraverso cui un'informazione può uscire verso l'esterno. Quando tutte e tre coesistono, un attaccante può nascondere istruzioni malevole nel contenuto non fidato che l'agente legge per conto di un utente fidato, una forma di prompt injection indiretta, e usarle per far leggere i dati privati e trasmetterli fuori tramite il canale disponibile.

Perché servono tutte e tre, non basta una difesa parziale

Il punto centrale del framework è che rimuovere anche una sola delle tre gambe elimina il rischio di esfiltrazione, indipendentemente da quanto siano solide le altre due. Un agente con accesso a dati privati che legge contenuto non fidato ma non ha alcun canale di comunicazione esterna (nessun tool di invio, nessuna chiamata HTTP libera) non può far uscire nulla, anche se un'istruzione malevola riesce a dirottarlo. Un agente con accesso e canale esterno, ma che non elabora mai contenuto proveniente da fuori il perimetro aziendale, non ha superficie di attacco perché non c'è dove nascondere l'istruzione ostile. Un agente esposto a contenuto non fidato con un canale esterno, ma senza alcun dato privato da leggere, può al massimo essere manipolato a comunicare qualcosa di irrilevante. La sicurezza non sta quindi nel filtrare meglio il contenuto in ingresso, un compito che resta strutturalmente difficile perché per un modello linguistico istruzioni e dati viaggiano nello stesso canale testuale, ma nel progettare il sistema perché una delle tre condizioni non si verifichi mai per costruzione.

Un esempio enterprise

Un assistente AI aziendale con accesso alla casella email del reparto vendite (prima condizione) riceve un messaggio da un mittente esterno che contiene, nascosto nel corpo del testo, un'istruzione rivolta all'agente e non al destinatario umano (seconda condizione). Se lo stesso assistente ha anche un tool per inviare messaggi o effettuare richieste HTTP verso un indirizzo esterno (terza condizione), l'istruzione nascosta può ordinargli di raccogliere i contenuti di altre email nella stessa casella, i dati di un contratto o le condizioni commerciali di un cliente, e inviarli all'attaccante attraverso quel canale, tutto all'interno di un'unica sessione che dall'esterno appare come normale attività dell'assistente. Togliere una sola gamba, per esempio impedendo all'agente qualunque comunicazione in uscita non supervisionata, blocca l'esfiltrazione anche se le prime due condizioni restano intatte.

Perché conta per chi decide

La lethal trifecta è utile a chi decide perché sposta la domanda da "i nostri filtri sui contenuti sono abbastanza bravi" a "quale delle tre gambe possiamo eliminare per design in questo specifico agente". È una lente pratica dentro il più ampio threat model per l'AI agentica, e la mitigazione concreta è quasi sempre una questione di permessi dell'identità dell'agente: limitare l'accesso ai dati privati a ciò che il compito richiede davvero, oppure vincolare la capacità di comunicazione esterna a canali predefiniti e verificati, piuttosto che affidarsi solo a un classificatore che tenta di riconoscere contenuto ostile prima che venga letto.