«Il modello verrà ingannato»: cosa insegna l'OWASP GenAI LLM Top 10 2026

Il 4 agosto l'OWASP GenAI Security Project ha pubblicato la Top 10 2026 per le applicazioni LLM. La novità non è l'ordine delle voci: è il metodo. Per la prima volta il giudizio degli esperti è stato messo alla prova contro migliaia di incidenti reali — e nei punti in cui i due non coincidono si nasconde la lezione più utile per chi queste applicazioni le usa in azienda.

Un voto testato contro l'evidenza

Tutte le edizioni precedenti erano costruite sul consenso: centinaia di practitioner votano ciò che considerano più pericoloso. Quest'anno il progetto ha raccolto un corpus di 7.714 incidenti reali da database pubblici di vulnerabilità e da un database di AI-harm, ne ha classificati 6.639 con dettaglio sufficiente, e ha posto una domanda diretta: ciò che i practitioner temono coincide con ciò che il registro degli incidenti mostra? La risposta — dichiarata con una franchezza rara nei documenti di settore — è stata: non sempre. Nel punteggio finale il voto della community pesa il 75% e i dati il 25%: abbastanza per spostare una voce quando il divario fra percezione ed evidenza è ampio, non abbastanza perché un solo anno di dati rumorosi riscriva la lista.

La lista 2026

#	Rischio	vs 2025
LLM01	Prompt Injection	=
LLM02	Sensitive Information Disclosure	=
LLM03	Excessive Agency	↑ 6º → 3º
LLM04	Supply Chain	↓ 3º → 4º
LLM05	Data and Model Poisoning	↓ 4º → 5º
LLM06	Unbounded Consumption	↑ 10º → 6º
LLM07	Misinformation	↑ 9º → 7º
LLM08	Hidden Context Exposure	↓ 7º → 8º (ex System Prompt Leakage)
LLM09	Vector and Embedding Weaknesses	↓ 8º → 9º
LLM10	Improper Output Handling	↓ 5º → 10º

Le teste di serie non si muovono: Prompt Injection e Sensitive Information Disclosure restano ai primi due posti. Sotto, l'ordine è cambiato più che in ogni edizione precedente — e ogni movimento racconta qualcosa.

Il paradosso del prompt injection

Il dato più istruttivo del documento è un'ammissione: se la classifica fosse costruita sui soli incidenti registrati, il prompt injection uscirebbe del tutto dalla Top 10. Eppure resta primo. La spiegazione di OWASP è quello che chiama effetto difesa: i team lo combattono duramente, quindi pochi exploit puliti arrivano ai database pubblici — ma la superficie d'attacco resta ovunque un modello legga input non fidato, cioè ovunque. È una lezione di risk management che vale ben oltre l'AI: l'assenza di incidenti registrati non è assenza di rischio; i dati storici sottostimano sistematicamente i rischi che state già pagando per contenere.

Da qui la frase che è il cuore della prefazione, e che merita di essere citata per intero: "Stop trying to build a model that cannot be fooled. Build the system around it, so that when the model is fooled, and it will be, nothing important breaks" — smettete di cercare un modello che non possa essere ingannato; costruite il sistema attorno ad esso, così che quando il modello verrà ingannato — e verrà ingannato — non si rompa nulla di importante.

Il gap più pericoloso: Misinformation

Il disaccordo più interessante corre nella direzione opposta. I practitioner votano la Misinformation in fondo alla lista; il registro degli incidenti la piazza vicino alla cima. È, nelle parole del documento, il divario più ampio nella direzione che fa male davvero: quella in cui la percezione è bassa e l'evidenza è alta. Il meccanismo è banale e per questo sottovalutato: quando l'output fluente e sicuro di sé di un modello guida una decisione o una chiamata a un tool, una risposta sbagliata diventa un'azione sbagliata. Non serve un attaccante: basta un'allucinazione in un processo senza verifica. Per le organizzazioni che usano LLM nel lavoro d'ufficio — bozze, sintesi, risposte ai clienti, pre-istruttorie — questo è il rischio più vicino ai processi reali, ed è esattamente quello che i tecnici tendono a considerare "non un problema di sicurezza".

Excessive Agency sul podio: dove voto e dati concordano

La scalata di Excessive Agency dal sesto al terzo posto è il movimento più consequenziale, perché lì voto ed evidenza puntano nella stessa direzione: gli incidenti di produzione si concentrano sui sistemi in cui l'output del modello esegue autonomamente comandi, invoca API, gestisce transazioni. Il documento traccia anche un confine esplicito: questa lista copre il modello come componente dentro un'applicazione; nel momento in cui il modello diventa un attore — con tool da chiamare, memoria che porta tra le sessioni, conseguenze che innesca a valle — il rischio passa alla OWASP Agentic Top 10, e "neither one covers that ground alone". È il territorio di cui abbiamo scritto a proposito di lethal trifecta e di autorizzazione sul dato: chi mette in produzione agenti oggi deve leggere entrambe le liste.

Da segnalare anche gli accorpamenti: invece di creare categorie nuove e sottili, il 2026 allarga quelle esistenti. Il prompt injection ora copre gli attacchi cross-modali(istruzioni nascoste in immagini o audio), la Supply Chain include gli artefatti-modello che non sono ciò che dichiarano, il Poisoning assorbe la subversion via fine-tuning, e l'Output Handling copre il codice insicuro generato su scala dagli assistenti.

Come usarla in azienda

L'Appendix A mappa ogni voce su nove framework esterni — le due liste sorelle OWASP (Agentic e GenAI Data Security), MITRE ATLAS e ATT&CK, CWE, il profilo GenAI NIST AI 600-1, il NIST AI RMF, la AI Controls Matrix della CSA e AIVSS — con versioni machine-readable incluse. Una precisazione doverosa, visto che circola l'equivoco: ISO/IEC 42001 non è tra i mapping ufficiali. Il collegamento però si fa, ed è nostro mestiere farlo: la Top 10 è un catalogo di minacce pronto da usare come input del risk assessment di un sistema di gestione AI. In concreto, tre usi immediati anche per una PMI:

Due diligence sui fornitori — se comprate software con un LLM dentro, le dieci voci sono le domande da fare al fornitore: come gestite il prompt injection? Cosa può fare il modello da solo (Excessive Agency)? Cosa succede ai nostri dati (Sensitive Information Disclosure)?
Input al risk assessment — per chi costruisce un AIMS ISO/IEC 42001 o si prepara agli obblighi dell'AI Act, la lista è un catalogo di minacce autorevole e aggiornato da cui derivare scenari di rischio, con i mapping NIST/MITRE già pronti per chi ha framework esistenti.
Linguaggio comune — i codici LLM01–LLM10 danno a management, sviluppatori e fornitori di sicurezza un vocabolario condiviso, come l'OWASP Top 10 web fa da vent'anni.

La domanda giusta

La vera novità del 2026 non è la classifica: è il metodo, e la trasparenza sul disaccordo fra percezione ed evidenza. La postura che ne discende vale per qualsiasi organizzazione che usi LLM: la domanda non è "il modello è sicuro?" — a quella la risposta è già scritta, ed è no. La domanda è: cosa succede da voi il giorno in cui il modello verrà ingannato?Se la risposta è "niente di importante si rompe", avete fatto governance. Tutto il resto è speranza.