È bastato un invito calendario contenente un jailbreak prompt per evidenziare come un agente AI collegato via Model Context Protocol (MCP) possa essere spinto a esfiltrare dati. Segnali e mitigazioni su questo tipo di prompt injection sono stati formalizzati nelle linee guida OWASP per GenAI, che aggiornano il rischio LLM01 il 17 aprile 2025 OWASP GenAI.
Da qui l’idea rilanciata da Vitalik Buterin: adottare una giuria umana che supervisioni decisioni e tesorerie crypto, affiancata — ma non sostituita — dai modelli linguistici. In questo contesto, la priorità diventa tenere l’essere umano come arbitro finale.
Summary
Exploit MCP: cosa è successo e perché conta per le tesorerie crypto
La ricercatrice Eito Miyamura (come riportato da BitcoinEthereumNews) ha illustrato un attacco in cui un semplice invito di calendario, infarcito di un prompt malevolo, convince l’agente AI a leggere email private e a inoltrare contenuti a un attaccante. Il vettore sfrutta la catena di integrazioni MCP con Gmail, calendari, SharePoint e Notion: più connettori significa una superficie d’attacco più ampia. Va detto che l’apparente innocuità del contenuto aumenta il rischio.
Nei contesti in cui MCP opera in developer mode, è previsto un consenso umano per azioni sensibili. Tuttavia, la decision fatigue può trasformare i prompt di conferma in automatismi; e quando in gioco ci sono tesorerie o workflow che toccano file e credenziali, l’errore umano diventa un punto singolo di fallimento. Detto ciò, disaccoppiare permessi e step critici resta essenziale.
Gli analisti di settore osservano che le prompt injection indirette — ossia contenuti non evidenti all’occhio umano ma interpretabili dall’LLM — rappresentano una classe di rischio crescente, come documentato da OWASP nel suo aggiornamento di aprile 2025. In test di red‑teaming condotti da team di sicurezza specializzati nel primo semestre 2025, scenari con integrazioni multiple (email, calendario, file storage) hanno mostrato come la mancanza di segmentazione aumenti significativamente la probabilità di esfiltrazione se non vengono applicati filtri e policy di least‑privilege.
La proposta di Vitalik Buterin: una giuria umana assistita dall’AI
“Bisogna sempre partire da un segnale di verità fondamentale di cui ci si fida. Penso che realisticamente dovrebbe trattarsi di una giuria umana, in cui i singoli giurati siano ovviamente aiutati da tutti gli LLM”.
— Vitalik Buterin (AMBCrypto)
Buterin indica una via di verifica che parte dall’umano: una giuria composta da persone con competenze complementari, supportate dai modelli per analisi e sintesi, ma con l’ultima parola sulle decisioni critiche. In questo contesto, la giuria agisce come “ancora” contro manipolazione automatica e allucinazioni operative quando l’intelligenza artificiale accede a asset finanziari o a permessi ad alto impatto.
Info‑finanza: governance “a mercato aperto” con controllo umano
Il concetto di info‑finanza sposta la governance verso un mercato di proposte: diversi framework e policy competono pubblicamente, mentre spot check e verdetti restano in mano alla giuria. È un’estensione naturale delle pratiche adottate nelle DAO e nella DeFi, che privilegiano trasparenza, responsabilità distribuita e incentivi all’audit continuo.
Buterin avverte che, se si affida l’allocazione dei fondi a un’AI, attori ostili potrebbero inserire payload del tipo “gimme all the money” in documenti, inviti e commenti. Per questo motivo l’info‑finanza punta su tracciabilità delle decisioni e controlli umani sui passaggi che movimentano capitale. Eppure, la componente procedurale resta tanto importante quanto quella tecnica.
Ethereum Foundation: più trasparenza sulla tesoreria e focus sulla sostenibilità
Nell’ottica di questa visione, Buterin ha spiegato che l’Ethereum Foundation sta aggiornando la propria Treasury Policy – documento pubblicato il 4 giugno 2025 – con obiettivi di gestione più attiva e limiti operativi per garantire la sostenibilità di lungo periodo. Report di settore segnalano che, al 31 ottobre 2024, la tesoreria dichiarata era pari a circa 970,2 milioni di dollari, dato usato come riferimento per le nuove regole sulla vendita di ETH e sui limiti operativi. Inoltre, Buterin ha accennato a Codex, un layer 2 orientato ai pagamenti in stablecoin, come possibile infrastruttura per casi d’uso di “large‑scale value” – una mossa strategica volta a rafforzare la resilienza e l’adozione, sebbene alcuni dettagli siano ancora da verificare.
Come strutturare una giuria umana per la governance delle tesorerie
- Composizione: profili misti (sicurezza, legale, finanza, operazioni). Rotazione periodica e anonimato parziale per ridurre bias e pressioni.
- Mandato: definire chiaramente le azioni bloccanti (es. modifiche ai permessi, esecuzione di transazioni, collegamento di nuovi connettori AI).
- Processo: doppia verifica (4‑eyes o multi‑sig) con audit log immutabili e ragionamento esplicito salvato on‑chain o in archivi verificabili.
- Incentivi: remunerazione per tempo e responsabilità, con penalità in caso di negligenza comprovata.
- Conflitti d’interesse: disclosure obbligatoria, astensione e revisione indipendente su casi sensibili.
MCP, jailbreak e “Goodharting”: due rischi da tenere distinti
- Jailbreak via MCP: prompt nascosti in contenuti ordinari (inviti, note, documenti) sfruttano l’IA connessa a strumenti reali, con il rischio di un’esecuzione non intenzionale di azioni o di una fuga di dati.
- Goodharting: quando una metrica diventa obiettivo, essa cessa di misurare ciò che dovrebbe, portando a ottimizzazioni apparenti ma distorte (ad esempio, performance “truccate” per massimizzare un determinato punteggio).
Checklist operativa: 7 mosse per ridurre il rischio oggi
- Segmentazione dei connettori: separare ambienti di test e produzione. Limitare l’AI a caselle e calendari sandbox.
- Approvazioni robuste: disattivare funzioni di auto‑approve; richiedere 2FA e multi‑sig per azioni riguardanti tesoreria e permessi.
- Filtri sui contenuti: bloccare o sanificare inviti e documenti esterni, rilevando prompt anomali prima che raggiungano l’agente.
- Least privilege: concedere all’AI solo i permessi minimi necessari, ruotando token e chiavi con frequenza.
- Monitoraggio: allarmi in tempo reale per azioni anomale e registri accessibili alla giuria.
- Test di red‑teaming: campagne periodiche di simulazione (ad esempio, inviti calendario malevoli) con report alla governance.
- Playbook incidenti: procedure chiare per la revoca dei connettori, l’isolamento dell’IA e la notifica tempestiva agli stakeholder.
Mini‑FAQ
- Che cosa dimostra l’exploit MCP via invito calendario? Dimostra che un singolo contenuto può veicolare un prompt capace di guidare un agente AI collegato a strumenti reali, con impatti su privacy e integrità operativa.
- Che cos’è la “giuria umana” assistita dall’AI? È un meccanismo in cui gli umani prendono le decisioni finali, sfruttando l’IA per analisi e ricerca, soprattutto quando sono in gioco denaro o permessi.
- In cosa consiste l’info‑finanza? È una forma di governance in cui policy e framework competono in un mercato aperto, ma le operazioni ad alto rischio rimangono soggette a controllo umano e regolari audit.
- Come si proteggono le tesorerie oggi? Attraverso l’uso di multi‑sig, limiti operativi, segregazione dei ruoli e una giuria umana che valida transazioni, nuove integrazioni e cambi di permessi.
Implicazioni e cosa guardare nei prossimi mesi
La sicurezza non è soltanto una questione tecnica; essa richiede processi, trasparenza e responsabilità verificabili. Come sottolinea Buterin, il problema del jailbreaking non è binario, mentre il fenomeno del Goodharting rappresenta una forma sottile di “frode” metrica. In un contesto di automazione in crescita, l’info‑finanza supportata da una giuria umana si configura come un paracadute pragmatico per mitigare i rischi su tesorerie e decisioni critiche.
