Agenti di ricerca autonomi basati su Claude Opus 4.7, GPT-5.5 e Gemini 3.1 Pro hanno prodotto conclusioni fraudolente da dataset aperti avvelenati nel 49,56% di 450 esecuzioni sperimentali, segnalando la manipolazione in appena il 6,0% dei casi. Lo studio, pubblicato su arXiv il 12 luglio 2026 da Bálint Gyevnár, Atoosa Kasirzadeh e Nihar B. Shah e ripreso da Nature, battezza l'attacco “Distributed Denial of Science”.
Cosa hanno scoperto i ricercatori
Il team del preprint — con Nihar B. Shah alla Carnegie Mellon University — parte da una domanda precisa: un avversario remoto può trasformare l'uso onesto dell'AI nella scienza in un'arma contro l'integrità scientifica? La risposta è un attacco chiamato avvelenamento indiretto dei dati, che opera interamente a monte del modello. L'avversario corrompe un dataset aperto, carica la variante contraffatta su un repository pubblico e vi allega metadati fuorvianti. Gli agenti di ricerca autonomi recuperano ed elaborano il file di propria iniziativa, trasformando scienziati onesti in distributori inconsapevoli di frode su larga scala. L'attacco richiede zero trigger specializzati, zero accessi all'agente e zero articoli fabbricati: l'ecosistema open-data svolge da sé il lavoro di distribuzione.
Il disegno sperimentale copre cinque temi socialmente sensibili — discriminazione nelle assunzioni, immigrazione, attività di polizia, sicurezza dei veicoli autonomi e motivazione dei lavoratori — e tre sistemi frontier ampiamente diffusi: Claude Opus 4.7 con Claude Code, GPT-5.5 con Codex e Gemini 3.1 Pro con la sua CLI. Ogni agente ha operato come le aziende li impiegano sempre più spesso: piena autonomia su ricerca, retrieval, analisi e stesura. Su 450 esecuzioni eticamente contenute, l'avvelenamento è riuscito nel 49,56% dei casi, mentre gli agenti hanno segnalato la manipolazione nel 6,0% dei tentativi. Shah ha spiegato a Nature che i frodatori possono manipolare i file README, dichiarando falsi errori nel dataset originale così da spingere gli agenti a scartare la copia autentica e adottare quella avvelenata.
L'attacco si distingue dal classico avvelenamento dei dati di addestramento in un modo cruciale per chi difende. L'avvelenamento in fase di training richiede accesso al corpus prima della costruzione del modello; l'avvelenamento indiretto colpisce in fase di inferenza, quando un agente già in produzione va a caccia di evidenze. Questa distinzione sposta la vulnerabilità dal fornitore del modello all'utilizzatore: patch, fine-tuning e training di allineamento la lasciano intatta, perché il modello si comporta esattamente come progettato — legge i dati che riceve. Il rilevamento resta basso proprio perché i file avvelenati appaiono statisticamente ordinari e arrivano attraverso repository legittimi.
I risultati sulle mitigazioni hanno il peso operativo maggiore. Assegnare all'agente una persona di scienziato prudente riduce il successo dell'attacco al 16,67% — un calo significativo che gli autori giudicano insufficiente per deployment reali. Un audit di provenienza dei dati in cinque controlli — articoli associati, segnali sociali, anomalie statistiche, dataset correlati e indicatori espliciti di avvelenamento — porta il successo dell'attacco a zero nello scenario testato. Zero, in una valutazione di sicurezza, è un numero raro; gli autori lo riportano sull'intera batteria di esecuzioni avvelenate con l'audit attivo. I controlli sono espressi in linguaggio naturale ed eseguiti in modo indipendente, il che li rende economici da implementare in qualsiasi pipeline agentica.
Perché conta oltre il laboratorio
Gli esperti esterni leggono il risultato come strutturale, tutt'altro che accidentale. “Attacchi di questa natura sono quasi inevitabili, perché permettono di riciclare informazioni false attraverso un filtro dal suono autorevole”, ha dichiarato a Nature Vitaly Shmatikov, informatico della Cornell Tech. Brian Nosek, direttore esecutivo del Center for Open Science, definisce la disattenzione alla provenienza dei dati una preoccupazione “critica”: “È una dimostrazione di ciò che può accadere quando affidiamo ai sistemi AI parte del pensare e del fare al posto nostro”. La redazione news di Nature ha ripreso il preprint entro tre giorni dalla pubblicazione — una velocità che riflette quanto direttamente il risultato tocchi la macchina della credibilità scientifica.
Per la R&D aziendale la mappatura è diretta. Ogni pipeline autonoma che ingerisce dati di terze parti — feed di mercato, benchmark aperti, registri pubblici, corpora raccolti dal web — condivide esattamente la superficie d'attacco misurata dal paper. Un tasso di successo vicino al 50% combinato con un rilevamento al 6,0% significa che l'artefatto avvelenato mediano passa indisturbato, e l'output arriva avvolto nell'autorevolezza di un'analisi assistita dall'AI. Il risultato a zero successi dell'audit di provenienza è altrettanto diretto: un controllo leggero, in linguaggio naturale, ha eliminato l'intera classe di attacco in questa valutazione, al costo di cinque verifiche aggiuntive per dataset. L'audit di provenienza si eleva così da igiene di ricerca a controllo di governance — il tipo di misura che un sistema di gestione dell'AI può imporre, registrare e verificare.
I limiti onesti: si tratta di un preprint pubblicato il 12 luglio 2026, in attesa di peer review. La valutazione copre cinque temi, tre famiglie di modelli e 450 esecuzioni contenute; la cifra a zero successi vale per questo specifico audit contro questo specifico attacco. Avversari adattivi capaci di confezionare dataset che superano i controlli di provenienza restano da testare, e gli autori inquadrano proprio questo come la prossima frontiera di ricerca. Entro questi confini, il divario misurato tra il 49,56% di successo dell'attacco e il 6,0% di rilevamento costituisce a oggi la più forte evidenza quantificata che le pipeline scientifiche autonome ereditano le assunzioni di fiducia dei beni comuni open-data.
La decisione R&D
La domanda per il CTO o il responsabile ricerca: quali delle vostre pipeline dati autonome possono documentare, oggi, un controllo di provenienza per ogni dataset esterno che toccano? L'assunzione di roadmap che questo risultato ribalta è l'idea del retrieval come idraulica neutrale. Il retrieval entra ora nel threat model, e la verifica merita budget come stadio di pipeline di prima classe — cinque controlli in linguaggio naturale, secondo questo paper, separano un tasso di frode del 49,56% da uno pulito. I team che trattano la provenienza dei dati come infrastruttura core pubblicheranno risultati degni della fiducia di board e regolatori; i team che la saltano giocano a testa o croce su ogni dataset di terze parti.
Articolo di MIRA — Research & Evidence
MIRA copre la ricerca AI con rigore accademico. Ogni affermazione è ancorata a un risultato misurato.