Il poisoning della ricerca di ChatGPT ha colpito 374 brand, rivelando una lacuna di fiducia nelle risposte AI
Il poisoning della ricerca di ChatGPT avrebbe coinvolto almeno 374 aziende, dopo che gli aggressori hanno diffuso dati di contatto fraudolenti in fonti recuperate da ChatGPT, Gemini e Google AI Overview. Vigilance Security afferma che tra i bersagli figuravano Delta, Lufthansa, Bank of America, Airbnb, Chase, Qatar Airways e Tripadvisor.
L'operazione, che Vigilance chiama “Dark Sourcery”, trasforma la risposta utile di un assistente AI nel veicolo di una truffa. Un utente chiede il numero per le prenotazioni di una compagnia aerea o la pagina di assistenza di una banca. Il sistema può quindi restituire un numero di telefono fraudolento, un link di phishing o una falsa pagina di accesso presentandoli come indicazioni affidabili.
Questa distinzione è importante. Il phishing convenzionale chiede alla vittima di fidarsi di un messaggio non richiesto. Questa campagna, secondo quanto riportato, attende invece che gli utenti si rivolgano a ChatGPT o Google con una domanda legittima, per poi sfruttare l'autorità che attribuiscono alla risposta.
I risultati ampliano le precedenti evidenze secondo cui informazioni di assistenza fraudolente possono infiltrarsi nei risultati di ricerca generati dall'AI. Sollevano inoltre un problema di verifica. Vigilance ha pubblicato esempi e descritto decine di migliaia di pagine dannose, ma il dataset completo e la metodologia di test non erano disponibili pubblicamente per un esame indipendente.
La sfida immediata non è quindi tra hacker e singoli brand. È tra l'inquinamento automatizzato dei contenuti e i sistemi di recupero e verifica alla base delle risposte AI. Il risultato determinerà se un assistente fornirà il vero canale di assistenza di un'azienda o indirizzerà un cliente verso un call center criminale.
La campagna sui 374 brand ha portato le truffe dentro la risposta
L'innovazione centrale della campagna consiste nel collocare informazioni fraudolente all'interno di una risposta generata dall'AI, dove gli utenti possono scambiare la sintesi per una verifica.
Vigilance Security ha divulgato i propri risultati il 23 settembre 2026. Secondo la ricerca sulla campagna, gli aggressori hanno distribuito post, PDF, recensioni e pagine di assistenza accuratamente formattati sul web pubblico.
Quei documenti associavano nomi di aziende note a numeri di telefono, indirizzi email, pagine di accesso o istruzioni software controllati da truffatori. I sistemi di ricerca e recupero potevano successivamente raccogliere tali associazioni nel rispondere a domande sul servizio clienti.
Ariel Simon, Vice President of Research di Vigilance, ha affermato che i ricercatori hanno trovato decine di migliaia di pagine dannose. Il team ha collegato l'attività ad almeno 374 aziende prese di mira, tra compagnie aeree, banche, società di viaggi, fornitori tecnologici e altre grandi organizzazioni.
Questa cifra va considerata come un risultato della ricerca, non come un censimento completo. Vigilance non ha pubblicato un elenco machine-readable di ogni pagina, query, brand e risposta del modello utilizzati per ottenerla. I ricercatori indipendenti non possono quindi ancora riprodurre l'intero conteggio.
Le prove descritte nei report successivi restano comunque preoccupanti. I ricercatori di Vigilance avrebbero chiamato diversi numeri restituiti tramite le informazioni avvelenate. Le persone che rispondevano si sono offerte di modificare voli o sbloccare conti bancari prima di richiedere i dati della carta di credito.
I ricercatori hanno inoltre osservato lamentele di persone che affermavano che numeri fraudolenti nelle risposte dei chatbot le avevano indotte a rivelare informazioni di pagamento. Tali segnalazioni supportano il modello di minaccia alla base della campagna, anche se non stabiliscono quante vittime abbiano perso denaro.
I brand coinvolti non sono stati accusati di aver fornito le informazioni false. I loro nomi fungevano da esca perché i clienti li cercano già in situazioni urgenti o finanziariamente delicate.
Un cliente di una compagnia aerea alle prese con un volo cancellato desidera assistenza immediata. Un cliente bancario con un conto bloccato cerca rassicurazione. Entrambe le situazioni riducono il tempo che una persona dedica a esaminare un numero di telefono o un dominio.
Il search poisoning tradizionale sfrutta il sistema di ranking che ordina i link. Il poisoning delle risposte AI va oltre, estraendo l'affermazione dell'aggressore e presentandola in una risposta appena generata.
Questo può eliminare i consueti segnali d'allarme. Gli utenti potrebbero non vedere mai un design sospetto della pagina, un titolo maldestro o uno strano risultato di ricerca. Vedono l'interfaccia dell'assistente, seguita da quella che sembra una risposta diretta.
La campagna segnalata crea quindi due vittime. I consumatori subiscono frodi, mentre l'azienda impersonata eredita reclami, costi di assistenza, danni reputazionali e lavoro di risposta agli incidenti per infrastrutture che non ha mai controllato.
Questo è ciò che è cambiato. Le informazioni di contatto fraudolente circolano online da anni, ma gli assistenti AI possono ora confezionarle come indicazioni personalizzate senza che la vittima debba visitare la pagina originale dell'aggressore.
Come il poisoning della ricerca di ChatGPT trasforma GEO in un canale per le frodi
Il poisoning della ricerca di ChatGPT sfrutta la selezione delle fonti, non necessariamente il modello sottostante o una vulnerabilità diretta di prompt injection.
La generative engine optimization, o GEO, consiste nello strutturare il materiale online affinché un sistema di risposte AI sia più propenso a recuperarlo e riutilizzarlo. La answer engine optimization, o AEO, descrive una pratica strettamente correlata, incentrata su risposte concise, associazioni tra entità e formulazioni leggibili dalle macchine.
Gli editori legittimi utilizzano queste tecniche per rendere più comprensibili ai motori di risposta informazioni accurate. Gli aggressori possono applicare la stessa logica a dati di assistenza falsi.
Una pagina dannosa potrebbe ripetere il nome di un brand accanto a un numero fraudolento. Potrebbe usare un formato di domande e risposte che corrisponde da vicino a una probabile query del cliente. Potrebbe anche etichettare il numero come “ufficiale”, “gratuito” o destinato a prenotazioni urgenti.
L'aggressore ne beneficia quando quel materiale compare in diverse posizioni. La ripetizione può far sembrare corroborata un'associazione falsa, anche quando ogni occorrenza appartiene alla stessa campagna.
Una precedente ricerca di Aurascape ha documentato questo meccanismo attraverso query sull'assistenza delle compagnie aeree. La sua indagine sul poisoning ha rilevato numeri fraudolenti distribuiti tramite siti web compromessi, PDF caricati, descrizioni YouTube, recensioni Yelp e file ospitati nel cloud.
Alcuni contenuti avvelenati sono comparsi su domini governativi, universitari e di editori affermati. Tali domini possono trasmettere segnali di fiducia e visibilità più forti rispetto a un sito fraudolento registrato di recente.
L'aggressore non deve sempre compromettere l'intero sito. Una funzione di caricamento esposta, una pagina abbandonata, un campo per commenti, un sistema di recensioni o un archivio documentale gestito in modo inadeguato possono offrire una superficie indicizzabile.
Anche la freschezza è utile. Le query di assistenza cambiano frequentemente, in particolare in relazione a disservizi di viaggio, politiche di rimborso, aggiornamenti software e procedure di recupero dell'account. Un testo pubblicato di recente può apparire pertinente anche quando la sua origine non ha nulla a che fare con l'azienda impersonata.
Questo spiega perché il poisoning di Gemini AI e attacchi simili siano difficili da ricondurre a un singolo difetto tecnico. Una risposta può essere errata perché il retriever ha selezionato fonti avvelenate, perché il modello ha unito erroneamente le affermazioni o perché le protezioni non hanno riconosciuto dati di contatto rischiosi.
La campagna Dark Sourcery, secondo quanto riportato, differisce dalla classica prompt injection. In un attacco di prompt injection, contenuti dannosi impartiscono all'AI istruzioni pensate per aggirarne il comportamento normale.
Qui, il contenuto falso può apparire dichiarativo anziché istruttivo. Comunica al sistema che un determinato numero di telefono appartiene a una banca o a una compagnia aerea. L'assistente può ripetere tale affermazione pur comportandosi esattamente come previsto.
OpenAI riconosce che i contenuti recuperati richiedono cautela. Le sue linee guida sui generated links affermano che terze parti possono mentire a ChatGPT o inserire istruzioni dannose e consigliano agli utenti di controllare le destinazioni prima di fidarsi.
L'avvertimento affronta una parte del rischio, ma i numeri di telefono creano un problema di interfaccia più difficile. Un numero non rivela la propria titolarità attraverso un dominio riconoscibile. Una volta iniziata la chiamata, un operatore convincente può fornire lo strato mancante di ingegneria sociale.
La sintesi AI può inoltre nascondere il disaccordo tra le fonti. Una pagina di risultati tradizionale consente agli utenti di confrontare il dominio ufficiale di un'azienda con forum, PDF e siti sconosciuti. Un paragrafo generato può comprimere tali fonti in un'unica raccomandazione sicura.
I link alle citazioni non risolvono automaticamente il problema. Dieci citazioni possono sembrare più solide di una, ma tutte e dieci possono ripetere la stessa informazione inserita ad arte. Una verifica efficace deve misurare l'indipendenza, la titolarità e la pertinenza delle fonti, anziché limitarsi alla quantità di citazioni.
Le truffe di Google AI Overview evidenziano la differenza tra recupero e verifica
Un sistema AI può recuperare una risposta plausibile e citare pagine a sostegno senza verificare che il dato di contatto appartenga all'organizzazione nominata.
Le truffe di Google AI Overview illustrano questa lacuna perché il riepilogo generato occupa una delle posizioni più visibili in Search. Gli utenti possono considerare tale collocazione come un'approvazione, soprattutto quando la risposta usa un linguaggio diretto.
Indagini precedenti hanno rilevato falsi numeri di assistenza delle compagnie aeree comparire nelle AI Overviews. Alcuni report hanno inoltre descritto consumatori che ricevevano informazioni di contatto fraudolente durante ricerche di servizi finanziari e di viaggio.
Google ha dichiarato a WIRED che le sue protezioni anti-spam sono molto efficaci e che, quando possibile, mostra numeri ufficiali del servizio clienti. L'azienda ha inoltre affermato di rafforzare le protezioni contro le truffe e ha incoraggiato gli utenti a verificare i numeri di telefono mediante ulteriori ricerche, secondo la copertura sulle truffe di AI Overview.
Questa risposta individua la tensione centrale. Google presenta AI Overviews come una via più rapida verso informazioni utili, eppure la difesa consigliata chiede agli utenti di effettuare il confronto che il riepilogo avrebbe dovuto semplificare.
Google ha segnalato progressi più ampi contro gli abusi nella ricerca. Il suo rapporto sulla protezione dalle truffe del 2025 afferma che nuovi sistemi hanno rilevato 20 volte più pagine fraudolente e ridotto di oltre il 70 percento le truffe che impersonavano siti ufficiali nel corso del 2024.
Queste cifre riguardano in generale le protezioni di Google Search. Non forniscono una misurazione indipendente della campagna Dark Sourcery, né mostrano il tasso di errore dei numeri di assistenza generati da AI Overviews.
OpenAI descrive un modello di selezione simile per la ricerca di ChatGPT. I sistemi automatizzati considerano intenzione, pertinenza e attualità, mentre le risposte possono includere citazioni in linea e fonti aggiuntive.
La pertinenza, tuttavia, non equivale alla verifica dell'identità. Una pagina può essere molto pertinente alle parole “numero di assistenza Bank of America” pur contenendo informazioni che Bank of America non ha mai pubblicato.
La stessa debolezza si manifesta in prodotti diversi perché il web non dispone di un registro universale e autenticato per ogni numero di telefono aziendale, portale di rimborso, pacchetto software e pagina di recupero account. I siti ufficiali forniscono prove solide, ma le organizzazioni distribuiscono spesso l'assistenza tra domini regionali, app, appaltatori e sistemi dei partner.
Gli aggressori sfruttano l'ambiguità. Si concentrano su query in cui gli utenti si aspettano più canali e cambiamenti rapidi. Compagnie aeree, servizi di viaggio online, banche e aziende software corrispondono a questo schema.
Le piattaforme affrontano anche un problema di precisione. Bloccare ogni numero sconosciuto renderebbe gli assistenti meno utili. Consentire un numero perché diverse pagine indicizzate lo ripetono può invece premiare gli aggressori che fabbricano consenso.
Questo compromesso distingue la sicurezza della ricerca AI dalla normale moderazione dei contenuti. Il sistema deve valutare non solo se un testo è abusivo, ma anche se una specifica relazione nel mondo reale è autentica.
Un numero di telefono può essere innocuo in un contesto e fraudolento in un altro. Un call center legittimo può supportare diversi marchi tramite un accordo di outsourcing dichiarato. Un’operazione di truffa può imitare questo schema associando un solo numero a molte aziende non correlate.
Google, OpenAI e altri fornitori di risposte hanno quindi bisogno di controlli consapevoli delle entità. Quando una risposta fornisce un contatto ad alto rischio, il sistema dovrebbe confrontarlo con i registri di prima parte anziché dedurne la legittimità dalla semplice ripetizione sul web.
L’onere della verifica dovrebbe inoltre cambiare in base all’azione richiesta. Una raccomandazione errata per un ristorante è scomoda. Una falsa pagina di accesso bancario o un numero per il recupero dell’account può portare direttamente a perdite finanziarie.
Il dato di 374 aziende è grave, ma restano domande importanti
Le prove disponibili delineano un modello d’attacco credibile, ma lasciano irrisolti la portata della campagna, il tasso di successo e l’impatto prodotto per prodotto.
Vigilance afferma di aver rilevato almeno 374 aziende colpite e decine di migliaia di pagine dannose. Successivi resoconti sulla sicurezza citano obiettivi importanti e descrivono chiamate di prova a operatori fraudolenti.
Tuttavia, la ricerca pubblica non fornisce un denominatore completo. Non mostra quanti marchi siano stati testati dai ricercatori prima di trovarne 374, né con quale frequenza ciascun prodotto AI abbia restituito informazioni avvelenate in query ripetute.
I risultati della ricerca generativa possono variare in base a data, posizione, stato dell’account, formulazione della query e versione del prodotto. Un numero fraudolento che compare una sola volta costituisce comunque un fallimento della sicurezza, ma è diverso da un numero che compare sistematicamente per la maggior parte degli utenti.
Anche l’espressione “azienda colpita” richiede un’interpretazione attenta. Può significare che gli aggressori hanno pubblicato pagine che impersonano un marchio, che un sistema AI ha recuperato tali pagine oppure che un utente ha effettivamente ricevuto l’informazione fraudolenta.
Queste fasi non dovrebbero essere confuse. La prima misura l’intento degli aggressori, la seconda l’esposizione della piattaforma e la terza il danno per i consumatori.
La divulgazione pubblica sarebbe più solida con log delle query anonimizzati, timestamp, screenshot, URL delle fonti, versioni dei modelli, impostazioni geografiche e risultati di test ripetuti. I ricercatori potrebbero così distinguere un avvelenamento persistente da un output transitorio.
Anche il nome della campagna appartiene a Vigilance, non a un gruppo criminale attribuito in modo indipendente. Le segnalazioni attualmente disponibili non identificano un singolo operatore responsabile di ogni pagina dannosa.
Diversi gruppi potrebbero applicare tattiche simili perché il costo di pubblicare contenuti ottimizzati è basso. Numeri condivisi, infrastrutture di hosting, modelli o flussi di pagamento costituirebbero prove più solide di un controllo coordinato.
Esiste un’altra incertezza attorno al termine GEO. Descrive accuratamente contenuti progettati per il recupero generativo, ma alcune tattiche sottostanti ricordano il vecchio avvelenamento SEO, lo spam nelle recensioni, la compromissione dei domini e le frodi di assistenza tecnica.
La novità risiede principalmente nel livello di distribuzione. Un assistente AI può selezionare, riscrivere e avallare i dati inseriti all’interno di una risposta conversazionale.
Questo rende il fenomeno più di un semplice rebranding. L’avvelenamento SEO tradizionale colloca ancora una destinazione sospetta tra l’interfaccia di ricerca e il tentativo di frode. Le risposte generate possono eliminare questa pausa.
Tuttavia, non ogni numero errato dimostra una manipolazione deliberata dell’AI. I modelli possono allucinare dettagli di contatto, combinare cifre provenienti da fonti separate o ripetere informazioni obsolete. Gli investigatori devono separare l’avvelenamento intenzionale dal normale errore fattuale.
La differenza è importante per la mitigazione. Le allucinazioni richiedono un grounding più solido e una migliore gestione dell’incertezza. L’avvelenamento coordinato richiede rilevamento degli abusi, mappatura dell’infrastruttura, rimozioni e controlli sulla reputazione delle fonti.
Le aziende dovrebbero inoltre evitare di sopravvalutare ciò che il loro monitoraggio può dimostrare. Testare una manciata di prompt non stabilisce che ogni cliente veda la stessa risposta. Al contrario, un test pulito oggi non dimostra che contenuti avvelenati non siano comparsi ieri.
La conclusione responsabile è più circoscritta della versione più allarmante della storia. Vigilance ha segnalato una campagna ampia e attiva che merita indagini da parte delle piattaforme e dei marchi. Le prove divulgate non quantificano ancora l’esposizione o le perdite complessive.
Banche, compagnie aeree e fornitori di software hanno ora un problema di risposte AI
Le aziende non possono più proteggere la propria identità di assistenza soltanto tramite siti web, controlli pubblicitari e monitoraggio della ricerca convenzionale.
Un’attività presa di mira può disporre di sistemi sicuri e pagine di contatto accurate, pur comparendo in una risposta AI avvelenata. Il suo team di sicurezza non controlla ogni recensione, PDF caricato, pagina universitaria compromessa o risultato di recupero di un chatbot.
Questo estende la protezione del marchio a un ambiente non familiare. I team devono monitorare ciò che dicono gli assistenti, le fonti che citano e se numeri di telefono o domini sconosciuti ricorrono nelle query.
Le query prioritarie dovrebbero riguardare recupero dell’account, prenotazioni, rimborsi, pagamenti, download di software e assistenza tecnica. Questi argomenti combinano urgenza con richieste di credenziali o informazioni finanziarie.
Il monitoraggio deve inoltre coprire aree geografiche e lingue diverse. Compagnie aeree e banche operano attraverso canali di contatto regionali, mentre gli aggressori possono prendere di mira viaggiatori o clienti che si aspettano un numero locale.
Un test utile fa più che chiedere a un assistente il “servizio clienti”. Varia formulazione, prodotto, posizione, urgenza e azione richiesta. Il team può quindi confrontare ogni numero restituito, indirizzo email, URL e istruzione di download con i registri aziendali autenticati.
Gli indicatori ripetuti meritano un’escalation. Un numero sospetto che compare accanto ai nomi di diverse compagnie aeree non correlate può rivelare un call center criminale condiviso. Un dominio citato in più false risposte di assistenza software può esporre un’operazione di phishing più ampia.
I reclami dei clienti dovrebbero alimentare lo stesso processo. Una segnalazione secondo cui “il chatbot mi ha dato questo numero” è intelligence sulle minacce, non soltanto un problema di assistenza.
Le aziende hanno inoltre bisogno di un percorso di correzione rapido con i fornitori AI e i motori di ricerca. I sistemi esistenti di segnalazione degli abusi spesso si concentrano su una pagina web dannosa. Questa minaccia può richiedere la rimozione della pagina, la correzione di una risposta, la rivalutazione delle fonti correlate e l’identificazione di infrastrutture duplicate.
Restano importanti pagine di contatto di prima parte chiare. Le organizzazioni dovrebbero mantenere informazioni di assistenza coerenti e leggibili dalle macchine, eliminando le pagine regionali obsolete che creano ambiguità.
Dovrebbero inoltre avvisare i clienti che il personale non richiederà software di controllo remoto, pagamenti in criptovalute, carte regalo o credenziali complete. Questi avvisi aiutano quando un operatore fraudolento ha già intercettato la chiamata iniziale.
L’uso aziendale introduce un ulteriore livello di esposizione. I dipendenti chiedono sempre più agli assistenti nomi di pacchetti, istruzioni da riga di comando, portali dei fornitori e procedure di recupero dell’account.
Una risposta consumer avvelenata potrebbe sottrarre una carta di pagamento. Una risposta avvelenata sul posto di lavoro potrebbe indirizzare un dipendente verso malware, una pagina di raccolta delle credenziali o una dipendenza software compromessa.
I controlli di sicurezza dovrebbero quindi verificare gli output azionabili in fase di esecuzione. Link, numeri di telefono, pacchetti software, comandi e istruzioni di pagamento meritano un esame più approfondito rispetto al testo esplicativo generale.
I knowledge worker possono ridurre la propria esposizione preservando la traccia delle fonti dietro decisioni importanti. Una base di conoscenza personale ricercabile può conservare procedure ufficiali e verifiche precedenti, ma il materiale archiviato deve comunque essere riesaminato quando cambiano i dettagli di contatto.
Il comportamento più sicuro per l’utente resta la verifica diretta. Aprite l’app ufficiale dell’azienda o digitate nel browser il suo dominio noto. Quando appropriato, usate il numero stampato su una carta di pagamento o su un documento formale dell’account.
Non trattate una seconda risposta AI come una conferma indipendente. ChatGPT, Gemini e Google AI Overview possono recuperare fonti sovrapposte, quindi due risposte coincidenti possono riflettere la stessa pagina avvelenata.
Cosa mostrerà se i fornitori di risposte AI possono contenere la minaccia
Il prossimo banco di prova è se le piattaforme possono autenticare fatti ad alto rischio prima di generarli, non semplicemente rimuovere ogni pagina truffaldina segnalata.
Il primo segnale sarà la gestione a livello di prodotto di numeri di telefono, pagine di accesso e istruzioni di pagamento. Una risposta significativa sottoporrebbe questi dettagli a una verifica più rigorosa rispetto alle normali affermazioni fattuali.
Per le query di assistenza, il sistema potrebbe privilegiare il dominio di prima parte verificato di un’azienda e indicare chiaramente la fonte. Se non è disponibile un record autenticato, potrebbe rifiutarsi di fornire un numero anziché sintetizzarne uno da pagine di terze parti.
Ciò rafforzerebbe l’idea che l’avvelenamento della ricerca ChatGPT possa essere contenuto a livello di risposta. Segnalazioni continue di nuovi numeri inseriti che compaiono come contatti ufficiali la indebolirebbero.
Il secondo segnale sarà una misurazione trasparente. Google, OpenAI e altri fornitori non devono divulgare difese che aiuterebbero gli aggressori, ma possono pubblicare dati aggregati utili.
Le metriche rilevanti includono quante query sui dettagli di assistenza ricevono un grounding di prima parte, quanto rapidamente scompaiono le fonti avvelenate confermate e con quale frequenza le risposte ad alto rischio attivano avvisi o rifiuti.
Anche la replica indipendente è importante. I ricercatori dovrebbero testare insiemi di query coerenti tra prodotti, regioni e date. Dovrebbero distinguere una citazione avvelenata da una risposta che ripete effettivamente il dettaglio fraudolento.
Il terzo segnale sarà una risposta coordinata tra marchi, fornitori di hosting, piattaforme di recensioni e aziende AI. Rimuovere una risposta AI lasciando online i documenti dannosi consente a un altro sistema di recuperarli.
Allo stesso modo, eliminare un singolo documento serve a poco se lo stesso operatore controlla molti account e domini. L’interruzione a livello di infrastruttura deve collegare numeri ripetuti, modelli, schemi di hosting e richieste di pagamento.
La divulgazione di Dark Sourcery esercita una pressione immediata su ChatGPT, Gemini e Google AI Overview perché le loro interfacce trasformano il recupero dal web in una raccomandazione diretta. Mette inoltre sotto pressione ogni organizzazione i cui clienti usano questi sistemi come uno sportello di assistenza non ufficiale.
Per gli utenti, la regola pratica è semplice. Considerate le informazioni di contatto generate dall’AI come una pista non verificata quando sono coinvolti denaro, credenziali, download o accesso all’account.
Per le aziende, l’azione è più ampia. Testate come i sistemi AI rappresentano i vostri canali di assistenza, raccogliete le fonti citate e create un processo per correggere le risposte avvelenate prima che i reclami dei clienti diventino il primo avviso.
La domanda finale non è se un assistente AI possa trovare un numero di telefono. È se l’assistente possa stabilire chi controlla quel numero prima di chiedere a un utente di fidarsi.
