L’attacco sfrutta i sistemi RAG modificando i testi a cui i modelli attingono per alterare l’ordine delle risposte
Più un modello linguistico è bravo a seguire le istruzioni, più è vulnerabile. Non è un paradosso, ma il risultato concreto di SIREN, il nuovo sistema che infetta i ranking dell’AI con una precisione chirurgica. Il paper, sottomesso su arXiv il 24 luglio 2026, dimostra come sia possibile portare qualsiasi contenuto in cima ai risultati generati da due modelli Claude in produzione, semplicemente modificando di nascosto i testi a cui il modello attinge. In 62 delle 124 prove condotte in otto contesti diversi (combinazioni di query e modelli), SIREN ha raggiunto il primo posto nel ranking. E quando è arrivato in vetta, è riuscito a restarci in media otto volte su dieci anche in sessioni fresche, con un tasso di successo di riproduzione dello 0,805.
Ma c’è un dato ancora più sorprendente: i modelli capaci, quelli che seguono le istruzioni con maggiore precisione, sono anche i più facili da attaccare. Lo ha evidenziato uno studio indipendente secondo cui migliori capacità di instruction following rendono i modelli linguistici più vulnerabili ad attacchi mirati. Un paradosso che SIREN trasforma in un’arma concreta.
Più capace, più fragile: il tallone d’Achille dell’AI
Lo studio indipendente pubblicato su arXiv ha rilevato che i modelli linguistici con migliori capacità di seguire le istruzioni sono, in alcuni casi, più facili da attaccare. Non è una contraddizione: un modello che esegue fedelmente le istruzioni è più sensibile a qualsiasi input, compresi quelli ostili. SIREN sfrutta proprio questa obbedienza: modifica in modo chirurgico le fonti che il modello legge per spingerlo a posizionare in cima il contenuto desiderato.
Già a novembre 2025, Anthropic aveva riconosciuto l’iniezione di prompt da pagine web come la principale sfida di sicurezza per gli agenti browser. SIREN dimostra che quel rischio si estende oltre la pura sicurezza informatica, arrivando a influenzare le classifiche e, di conseguenza, i guadagni di chi pubblica online.
SIREN: 23 modi per avvelenare una risposta (e uno funziona sempre)
SIREN opera con una tassonomia interpretabile di 23 tecniche di avvelenamento dei contenuti. Per ogni query, parte da un testo già presente nel database a cui il modello attinge (un meccanismo noto come RAG, retrieval-augmented generation) e lo modifica iterativamente usando queste tecniche. L’obiettivo non è far dire al modello una frase qualsiasi, ma fargli mettere il testo target in cima alla lista di risultati.
Nelle prove di laboratorio, il sistema ha raggiunto il primo posto in 62 tentativi su 124, ovvero nel 50% dei casi. Quando un payload ha funzionato, è stato riprodotto in nuove sessioni con un tasso medio di successo dello 0,805: significa che su dieci tentativi di conferma, in otto casi il posizionamento è rimasto il primo. Un’efficacia che non dipende dalla fortuna, ma dalla capacità di individuare le tecniche più adatte a ciascun modello.
Questa metodologia non nasce dal nulla. Già nel 2023, l’algoritmo PAIR aveva mostrato come generare automaticamente jailbreak semantici con meno di venti query, sfruttando un LLM attaccante per ingannare un LLM bersaglio, senza intervento umano. L’anno successivo, PoisonedRAG, presentato a USENIX Security 2025, ha introdotto il primo attacco di corruzione della conoscenza ai sistemi RAG, iniettando testi malevoli per indurre risposte target. SIREN porta queste intuizioni nel dominio del posizionamento: non basta controllare la risposta, bisogna controllarne l’ordine.
Dall’algoritmo alla hall dell’hotel: come il ranking AI ti cambia il fatturato
La ricerca non lascia spazio a dubbi: la manipolazione del ranking può reindirizzare prenotazioni e ricavi tra attività concorrenti nel settore turistico. Se un tour operator riesce a far sì che un assistente AI consigli il suo pacchetto invece di quello del rivale, la differenza si misura subito in prenotazioni, ossia in fatturato. Con una probabilità di successo riprodotto dello 0,805, l’impatto economico non è sporadico ma sistematico.
Il punto non è solo turistico. Qualsiasi informazione consultabile online — recensioni, descrizioni di prodotto, articoli — può diventare una leva per scalare la classifica generata da un LLM. Chi non protegge i propri contenuti non rischia solo un danno reputazionale, ma un danno diretto al business.
Per chi pubblica contenuti online, il ranking AI non è più solo una questione di visibilità: è una partita a scacchi dove ogni parola può spostare migliaia di prenotazioni. La sicurezza non è un optional, ma una strategia di posizionamento.
