Red Team per IA e LLM
Il Red Team per IA è la simulazione di attacchi avversariali reali contro sistemi di IA generativa, LLM e agenti: operatori umani concatenano prompt injection, abuso di tool, persistenza ed esfiltrazione per misurare se rilevamento e risposta reggono prima che lo faccia un attaccante vero.
Che cos'è il Red Team per IA
Il Red Team per IA è un esercizio offensivo con un obiettivo definito — per esempio estrarre dati dei clienti tramite l'assistente, eseguire una transazione non autorizzata via agente o avvelenare la memoria a lungo termine di un copilot — condotto contro il sistema reale, in produzione o in un ambiente equivalente, con regole d'ingaggio concordate per iscritto.
A differenza di uno scanner o di una batteria di prompt automatizzati, la campagna è operata da persone che adattano ogni passo a come il sistema risponde. L'operatore combina prompt injection diretta e indiretta, abuso di tool e plugin, estrazione del system prompt, persistenza nei vector store e canali di comando e controllo nascosti in documenti recuperati via RAG.
Il risultato non è un elenco di vulnerabilità: è la dimostrazione di quali catene di attacco funzionano end-to-end contro la tua IA generativa, quanto tempo ha richiesto ciascuna, cosa ha visto (o non visto) il tuo SOC e quali controlli avrebbero interrotto la catena prima.
Red Team di IA vs pentest di IA
I due servizi sono complementari. Il pentest di IA misura l'esposizione — quante falle esistono e quanto sono gravi. Il Red Team misura la resilienza — se un avversario con un obiettivo riesce ad arrivare in fondo e se te ne accorgi in tempo.
| Criterio | Pentest di IA | Red Team di IA |
|---|---|---|
| Domanda a cui risponde | Quali vulnerabilità esistono nel mio LLM, RAG, plugin e infrastruttura? | Un avversario motivato riesce a raggiungere un obiettivo di business senza essere rilevato? |
| Metrica principale | Esposizione: numero, severità (CVSS) e categoria OWASP LLM Top 10 di ogni finding | Resilienza: catene complete fino all'obiettivo, tempo al rilevamento ed efficacia della risposta |
| Scope | Definito e ampio: le dieci categorie dell'OWASP LLM Top 10 su un sistema delimitato | Definito per obiettivo: qualsiasi percorso che porti al bersaglio, incluse persone, processi e integrazioni |
| Approccio | Sistematico e di copertura — cerca il massimo numero di falle nel tempo contrattato | Orientato all'obiettivo — concatena le falle come un attaccante reale, con furtività e persistenza |
| Durata tipica | Circa 4 settimane, dal kickoff al report | 4–8 settimane, con fase di sfruttamento continua |
| Coinvolgimento del SOC | Di norma avvisato; il focus è il sistema, non il rilevamento | Messo alla prova — opzionalmente in modalità purple team, validando rilevamento e risposta dal vivo |
| Deliverable centrale | Report di vulnerabilità con PoC e piano di remediation prioritizzato | Report executive e tecnico per catena di attacco, replay della campagna e piano a 90 giorni |
| Quando sceglierlo | Prima del lancio, dopo cambiamenti rilevanti o come controllo periodico | Quando il sistema ha già superato un pentest e devi validare difesa, rilevamento e risposta |
Non hai ancora fatto un pentest? Parti dal pentest di IA e LLM e passa alla campagna di Red Team quando i controlli di base sono in produzione.
Il Red Team per l'IA fa parte di Berghem, l'azienda di sicurezza IA per sistemi IA e LLM in Brasile e America Latina.
Come funziona una campagna di Red Team per l'IA?
Una campagna di Red Team per l'IA attraversa quattro fasi collegate: ricognizione, scenari di attacco, concatenamento e reportistica. Operatori umani conducono ogni fase — l'automazione li supporta soltanto — così la campagna si adatta a ciò che i vostri sistemi fanno davvero, invece di seguire una checklist fissa.
Fare Red Team di un'applicazione con LLM non è come fare Red Team di una rete. La superficie di attacco è il linguaggio: prompt di sistema, documenti recuperati, descrizioni di strumenti, memoria dell'agente e le conversazioni che i vostri utenti hanno ogni giorno. I nostri operatori trattano ognuno di questi input come un possibile punto d'ingresso e ogni output del modello come una possibile via d'uscita per dati o azioni non autorizzate. L'obiettivo non è un elenco di prompt che fanno comportare male il modello, ma la dimostrazione di ciò che un avversario motivato potrebbe ottenere contro la vostra attività — e se qualcuno se ne accorgerebbe mentre accade.
Ogni campagna inizia con un workshop di threat modeling di due giorni con il vostro team. Insieme inventariamo i sistemi di IA in ambito, identifichiamo i gioielli della corona che un attaccante prenderebbe di mira — dati dei clienti, flussi di transazione, strumenti interni, integrazioni privilegiate — e concordiamo obiettivi dell'avversario, regole d'ingaggio e criteri di successo. Da quel momento il Red Team opera come farebbe un attaccante esterno, con un canale diretto aperto con il vostro team di sicurezza per tutta la campagna.
Ricognizione
Mappiamo la superficie di attacco dell'IA dall'esterno verso l'interno: quali modelli sono in uso, cosa rivela il prompt di sistema, quali strumenti e funzioni l'agente può richiamare, quali fonti dati alimentano la pipeline di RAG e quali integrazioni di terze parti vi stanno dietro. OSINT passivo e sondaggio attivo stabiliscono la posizione iniziale di un avversario realistico.
Scenari di attacco
Usando l'OWASP LLM Top 10 e il MITRE ATLAS come mappe di copertura, progettiamo scenari legati agli obiettivi concordati nel threat modeling: prompt injection diretta e indiretta, jailbreak e bypass dei guardrail, esfiltrazione di system prompt e di dati, abuso di strumenti e funzioni, avvelenamento della memoria e attacchi alla supply chain contro modelli e pacchetti.
Concatenamento
I singoli reperti diventano un'operazione. Seguendo la Promptware Kill Chain, concateniamo l'accesso iniziale in escalation, ricognizione, persistenza, comando e controllo, movimento laterale e completamento dell'obiettivo — dimostrando l'impatto con dati canary, non con record reali. È qui che il Red Team si distingue da un pentest: misuriamo fin dove arriva un attaccante e se la vostra rilevazione e risposta reagiscono.
Reportistica
Ogni catena è documentata fase per fase con payload, screenshot, log e PoC riproducibile. Ricevete un report esecutivo, un report tecnico, un replay interattivo della campagna e un piano di remediation di 90 giorni, seguiti da un debrief con i vostri team di ingegneria, sicurezza e prodotto.
Quali framework guidano il nostro Red Team per IA e LLM?
Ancoriamo ogni campagna a tre riferimenti pubblici, così i reperti arrivano in un linguaggio che i vostri team di sicurezza, compliance e ingegneria già condividono.
Promptware Kill Chain
Il modello a sette fasi che usiamo per strutturare un attacco all'IA dalla prima prompt injection fino al completamento dell'obiettivo: accesso iniziale, escalation, ricognizione, persistenza, comando e controllo, movimento laterale e obiettivo. Trasforma trucchi isolati di prompt in un'operazione end-to-end che può essere misurata, rilevata e riprodotta.
OWASP LLM Top 10
L'elenco di riferimento dei rischi più critici nelle applicazioni con LLM — prompt injection, divulgazione di informazioni sensibili, supply chain, avvelenamento di dati e di modello, gestione impropria degli output, agency eccessiva ed esfiltrazione del system prompt, tra gli altri. Lo usiamo come mappa di copertura per gli scenari di attacco e come classificazione di ogni reperto che riportiamo.
MITRE ATLAS
La knowledge base di MITRE su tattiche e tecniche degli avversari contro sistemi abilitati dall'IA, strutturata come il MITRE ATT&CK. Mappiamo ogni tecnica eseguita su ATLAS, così il vostro SOC può costruire rilevazioni e il vostro blue team può confrontare gli incidenti di IA con il resto del panorama delle minacce.
I framework danno struttura; gli operatori danno giudizio. Le tecniche catalogate in OWASP e ATLAS sono punti di partenza — il valore di un Red Team sta nel combinarle contro il vostro stack specifico, i vostri guardrail specifici e i vostri flussi di business specifici.
Cinque fasi
Un'operazione coordinata
Lavoriamo come un avversario motivato — non come uno scanner. Ogni fase ha deliverable chiari e segui l'operazione in tempo reale tramite la nostra dashboard.
Threat modeling
Mappiamo il tuo stack IA, identifichiamo i gioielli della corona e definiamo gli obiettivi dell'avversario insieme al tuo team.
Ricognizione
OSINT, enumerazione della superficie, identificazione di modelli, plugin, dati esposti e integrazioni di terze parti.
Sfruttamento
Promptware Kill Chain attivata — prompt injection, escalation, raccolta di credenziali, persistenza via memoria dell'agente.
Obiettivi e impatto
Movimento laterale, esfiltrazione simulata, compromissione dei flussi di business. Documentiamo ogni percorso con evidenze.
Report e debrief
Report executive, walkthrough tecnico, replay della campagna e piano di remediation prioritizzato per impatto.
Metodologia: OWASP LLM Top 10 e MITRE ATLAS
Ogni campagna è pianificata su due riferimenti pubblici: l'OWASP Top 10 for LLM Applications, che classifica le vulnerabilità che sfruttiamo, e MITRE ATLAS, che organizza tattiche e tecniche di un avversario contro sistemi di IA. La Promptware Kill Chain è il filo conduttore che lega i due in un'unica narrativa di attacco.
In pratica, ogni fase della Promptware Kill Chain è mappata su tattiche ATLAS e categorie OWASP: l'accesso iniziale usa prompt injection diretta e multimodale (LLM01) e corrisponde alle tattiche Initial Access e AI Model Access; l'escalation sfrutta agency eccessiva e abuso di tool call (LLM06), coprendo Execution e Privilege Escalation; la ricognizione estrae system prompt e contesto privilegiato (LLM07) sotto la tattica Discovery; la persistenza avvelena memoria, vector store ed embedding (LLM04, LLM08) sotto Persistence; il comando e controllo usa canali indiretti in documenti e contenuti recuperati via RAG, sotto Command and Control; il movimento laterale propaga l'istruzione tra agenti e code di orchestrazione, documentato con Execution e Collection e con riferimento incrociato a Lateral Movement di MITRE ATT&CK; e le azioni sull'obiettivo dimostrano l'esfiltrazione tramite canale lecito (LLM02), sotto Exfiltration e Impact.
Due famiglie di tecniche attraversano tutte le fasi: l'evasione di guardrail e classificatori di safety, registrata come Defense Evasion, e gli attacchi alla supply chain di pacchetti, modelli e dataset (LLM03), registrati come Resource Development. Ogni tecnica eseguita riceve nel report tecnico l'identificativo ATLAS e la categoria OWASP corrispondenti, così che il tuo team mappi i controlli direttamente sul framework che già usa.
L'arsenale che l'attaccante usa — replicato in scala controllata
Ogni tecnica sottostante è stata osservata in incidenti reali 2025–26 o nella ricerca accademica. Tutte sono eseguite con autorizzazione esplicita e contenimento del blast radius.
Prompt injection multimodal
Istruzioni nascoste in immagini, PDF, audio e metadati. Rompe il trust boundary tra dati e istruzioni.
Tool / function abuse
Concatenazione di tool call legittimi per raggiungere capacità non autorizzate — file system, email, transazioni.
Modello & system prompt leak
Estrazione di istruzioni di sistema, contesto privilegiato e dettagli del modello tramite prompt avversariali.
Memory poisoning
Iniezione di istruzioni persistenti nella memoria a lungo termine, nei vector store e nel contesto condiviso tra sessioni.
Indirect prompt channel
Canale di comando-e-controllo via documenti condivisi, commenti o contenuti recuperati da RAG.
Agent-to-agent contagion
Propagazione tra agenti via chiamate inter-agente, code di messaggi e contesti di orchestrazione condivisi.
Esfiltrazione di dati via canale lecito
Uscita di dati sensibili tramite risposte, riepiloghi o azioni che appaiono legittime alla rilevazione.
Guardrail bypass
Encoding, role-play, contesto lungo, attacchi a puzzle logici ed evasione di classifier di safety.
Supply chain
Pacchetti malevoli, modelli backdoored, dataset avvelenati — attaccando prima del deploy.
Red Team per l'IA in Brasile e LATAM
Berghem ha sede a São Paulo ed eroga Red Team per l'IA in tutto il Brasile e in America Latina, con presenza europea tramite Berilo. I nostri operatori lavorano in portoghese, spagnolo, inglese e italiano — e questo conta più di quanto sembri. Prompt injection, jailbreak e ingegneria sociale di un LLM sono attacchi linguistici: un modello che resiste ai payload in inglese è spesso esposto alle stesse tecniche scritte in portoghese o spagnolo. Testiamo gli assistenti con cui i vostri clienti parlano davvero, nelle lingue che usano davvero.
Il contesto regionale plasma gli scenari. Le istituzioni finanziarie brasiliane operano sotto i requisiti di cybersicurezza del Banco Central e la LGPD, e fintech, retailer, operatori sanitari e telco in tutta la LATAM stanno mettendo in produzione assistenti con LLM rivolti ai clienti più rapidamente di quanto i loro programmi di sicurezza riescano a seguire. Progettiamo obiettivi dell'avversario attorno ai dati e ai flussi che comportano rischio normativo e di business nella vostra giurisdizione, e scriviamo report che i vostri auditor e regolatori possono leggere.
Lavorare nello stesso fuso orario del vostro team significa coordinamento in tempo reale durante la campagna, sessioni di purple team con il vostro SOC in orario lavorativo e un debrief di persona invece di un PDF inviato via e-mail. Per i gruppi multinazionali eseguiamo la stessa metodologia da São Paulo e dall'Europa, così una filiale brasiliana e una sede europea ricevono risultati comparabili.
Servizi correlati: Pentest di IA e LLM · Servizi di sicurezza dell'IA · Red Team e simulazione di attacco
Deliverable ed evidenze
Ogni campagna termina con quattro deliverable, ciascuno scritto per un pubblico diverso: la leadership, l'ingegneria, il SOC e il responsabile della remediation.
Report executive (15–25 pp)
Riepilogo d'impatto in linguaggio di business, mappa del rischio, top 5 percorsi di attacco, raccomandazioni prioritizzate ed esposizione finanziaria stimata.
Report tecnico (60–120 pp)
Ogni catena di attacco documentata fase per fase, con payload, screenshot, log e PoC riproducibile per il team di engineering.
Replay della campagna
Timeline visiva interattiva di ogni fase eseguita, decisioni dell'operatore e finestre in cui la difesa avrebbe rilevato se l'osservabilità fosse stata attiva.
Piano di remediation a 90 giorni
Azioni prioritizzate (alta/media/bassa), owner suggeriti, sforzo stimato e dipendenze tra i controlli. Rivediamo a 90 giorni per validare.
Operazioni controllate
Nessuna sorpresa
Ogni campagna inizia con regole d'ingaggio documentate, contenimento del blast radius e un canale diretto con il tuo team di risposta se qualcosa esce dallo scope.
Scope chirurgico
Sistemi, account di test, finestre temporali e tipi di azione approvati per iscritto prima di qualsiasi esecuzione.
Linea rossa 24/7
Canale diretto tra il campaign lead e il tuo team di sicurezza — mettiamo in pausa l'operazione in qualsiasi momento.
Nessun dato reale esfiltrato
Dimostriamo la capacità di esfiltrazione con canary e dati sintetici. Nessun dato sensibile lascia il tuo perimetro.
Reversibilità
Ogni modifica in memoria, configurazione o stato è documentata e annullata al termine dell'operazione.
Coordinamento con SOC
Modalità "purple team" disponibile — operiamo in coordinamento con il tuo SOC per validare rilevamento e risposta in tempo reale.
Compliance & legal
Contratto con NDA, autorizzazione legale, segregazione dei dati e report verificabile per regolatori e auditor.
Red Team di IA: domande frequenti
Che cos'è il red team di IA?
Come funziona il Red Team per l'IA generativa?
Qual è la differenza tra Red Team di IA e pentest di IA?
Cosa ricevi al termine della campagna di Red Team?
Pronto a scoprire cosa può davvero fare un avversario motivato?
Workshop di threat modeling di 2 giorni per iniziare — esci con la mappa della superficie, i top 5 percorsi di attacco ipotetici e una proposta di campagna completa.
Pianifica workshop