{"id":1584,"date":"2026-04-22T17:16:26","date_gmt":"2026-04-22T17:16:26","guid":{"rendered":"https:\/\/www.metapa.it\/?p=1584"},"modified":"2026-04-22T17:16:27","modified_gmt":"2026-04-22T17:16:27","slug":"intelligenza-artificiale-analisi-di-sicurezza-cert-agid-su-llm-e-model-context-protocol","status":"publish","type":"post","link":"https:\/\/www.metapa.it\/?p=1584","title":{"rendered":"Intelligenza artificiale: analisi di sicurezza CERT-AgID su LLM e Model Context Protocol"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">L\u2019evoluzione dei modelli linguistici (LLM) da semplici generatori di testo ad agenti operativi offre nuove possibilit\u00e0, ma crea anche nuovi rischi. \u00c8 quanto emerge da\u00a0<a href=\"https:\/\/www.agid.gov.it\/sites\/agid\/files\/2026-04\/Paper%20CERTAGID%20Aprile%2026.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">uno studio condotto dal CERT-AgID<\/a>\u00a0che analizza i rischi legati all\u2019uso del\u00a0<strong>Model Context Protocol (MCP)<\/strong>, uno standard sempre pi\u00f9 diffuso per collegare l\u2019intelligenza artificiale a servizi e risorse esterne.MCPM<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il passaggio verso l&#8217;IA agentica segna un cambio di paradigma: il problema non \u00e8 solo cosa risponde l\u2019IA, ma quali azioni pu\u00f2 compiere. Con l\u2019MCP, infatti, un LLM non si limita a fornire risposte, ma pu\u00f2 usare programmi o servizi esterni (tool) che interrogano database, accedono a repository o inviano richieste ad altri sistemi online. In questo passaggio, il confine della sicurezza si sposta lungo la catena&nbsp;<strong>\u201cprompt \u2192 tool \u2192 azione\u201d<\/strong>.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Da strumento di consultazione a proxy di rete<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">In uno scenario analizzato dal CERT-AgID, un MCP progettato per acquisire documentazione da fonti remote pu\u00f2 essere usato in modo improprio per inviare richieste di rete arbitrarie, di fatto comportandosi come un proxy non autorizzato.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Questo comportamento rientra nella classe di vulnerabilit\u00e0 note come&nbsp;<strong>SSRF (Server-Side Request Forgery)<\/strong>: il server esegue richieste verso indirizzi non previsti, perch\u00e9 \u201cobbedisce\u201d ciecamente ai parametri generati dal modello, senza controllo preventivo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il problema non nasce da una capacit\u00e0 offensiva dell\u2019LLM, ma dall\u2019assunto errato che il modello utilizzi i tool solo secondo le intenzioni del progettista. In realt\u00e0, i parametri delle chiamate MCP sono generati in modo probabilistico e dinamico, e possono essere influenzati dal contesto o da prompt malevoli.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Nuove implicazioni per la sicurezza<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">I risultati dello studio hanno implicazioni dirette per chi sta integrando l\u2019IA nei sistemi informativi, in particolare in contesti pubblici e critici. L\u2019adozione dell\u2019MCP richiede un ripensamento delle strategie di difesa, per cui si raccomandano le seguenti strategie:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Controlli obbligatori prima dell\u2019esecuzione:<\/strong>\u00a0Tutti i parametri devono essere verificati prima dell&#8217;esecuzione. I filtri di sicurezza devono essere bloccanti: va eliminato qualsiasi meccanismo alternativo che possa aggirare i controlli.<\/li>\n\n\n\n<li><strong>Allowlist restrittive:<\/strong>\u00a0Per i tool che effettuano chiamate di rete, gli accessi devono essere limitati esclusivamente a domini, protocolli e formati pre-approvati.<\/li>\n\n\n\n<li><strong>Principio del minimo privilegio:<\/strong>\u00a0Ogni tool deve eseguire un&#8217;operazione specifica e ben definita. Vanno evitate funzioni generiche che potrebbero essere riutilizzate per finalit\u00e0 diverse da quelle previste.<\/li>\n\n\n\n<li><strong>Controllo e monitoraggio:<\/strong>\u00a0\u00c8 necessario implementare autenticazione obbligatoria per usare programmi o servizi esterni, meccanismi di rate limiting e logging delle chiamate per rilevare anomalie in tempo reale.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">L\u2019adozione di architetture agentiche basate su MCP introduce una nuova classe di rischio che non \u00e8 riconducibile alle tradizionali vulnerabilit\u00e0 applicative n\u00e9 alle note problematiche di allucinazioni degli LLM. Il rischio emerge nel punto di integrazione tra modello e infrastruttura.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il lavoro del CERT-AgID evidenzia la necessit\u00e0 di un&nbsp;<strong>ripensamento delle strategie di sicurezza<\/strong>&nbsp;nei sistemi che affidano all\u2019IA capacit\u00e0 operative. In questi scenari, la protezione non pu\u00f2 basarsi sull\u2019assunzione di un uso corretto dei tool da parte del modello, ma deve essere garantita da controlli espliciti, rigorosi e verificabili nel server MCP.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.agid.gov.it\/it\/notizie\/llm-e-model-context-protocol-unanalisi-di-sicurezza-del-cert-agid#main-content\"><\/a><\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n","protected":false},"excerpt":{"rendered":"<p>L\u2019evoluzione dei modelli linguistici (LLM) da semplici generatori di testo ad agenti operativi offre nuove possibilit\u00e0, ma crea anche nuovi rischi. \u00c8 quanto emerge da\u00a0uno studio condotto dal CERT-AgID\u00a0che analizza i rischi legati all\u2019uso del\u00a0Model Context Protocol (MCP), uno standard sempre pi\u00f9 diffuso per collegare l\u2019intelligenza artificiale a servizi e risorse esterne.MCPM Il passaggio verso &hellip;<\/p>\n","protected":false},"author":2,"featured_media":1509,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","jetpack_publicize_message":"","jetpack_publicize_feature_enabled":true,"jetpack_social_post_already_shared":false,"jetpack_social_options":{"image_generator_settings":{"template":"highway","default_image_id":0,"font":"","enabled":false},"version":2}},"categories":[16,40,20,1,2,25,21],"tags":[104,151,150],"class_list":["post-1584","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tie-foods","category-e-procurement","category-tie-tech","category-uncategorized","category-tie-world","category-digitale","category-tie-life-style","tag-agid","tag-mcp","tag-model-context-protocol"],"jetpack_publicize_connections":[],"_links":{"self":[{"href":"https:\/\/www.metapa.it\/index.php?rest_route=\/wp\/v2\/posts\/1584","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.metapa.it\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.metapa.it\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.metapa.it\/index.php?rest_route=\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.metapa.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1584"}],"version-history":[{"count":1,"href":"https:\/\/www.metapa.it\/index.php?rest_route=\/wp\/v2\/posts\/1584\/revisions"}],"predecessor-version":[{"id":1585,"href":"https:\/\/www.metapa.it\/index.php?rest_route=\/wp\/v2\/posts\/1584\/revisions\/1585"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.metapa.it\/index.php?rest_route=\/wp\/v2\/media\/1509"}],"wp:attachment":[{"href":"https:\/\/www.metapa.it\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1584"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.metapa.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1584"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.metapa.it\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1584"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}