Attore del Connecticut sanzionato dopo un prompt AI nascosto negli atti giudiziari

Matthew Elliott è finito su Google News dopo che un tribunale del Connecticut avrebbe individuato istruzioni AI nascoste in due dei suoi atti, trasformando un tentativo di ottenere un vantaggio in una sanzione.

Elliott, attore senza rappresentanza legale, aveva citato in giudizio New York Bariatric Group presso la Connecticut Superior Court. Alla fine di luglio 2026, ha depositato memorie contenenti testo quasi invisibile ai lettori umani, ma ancora accessibile ai software di elaborazione dei documenti.

Il linguaggio occultato istruiva qualsiasi modello AI che esaminasse l'atto a concordare con la posizione di Elliott. Tuttavia, il personale del tribunale lo avrebbe scoperto senza fare affidamento su un rilevatore di AI. Ha notato che la spaziatura differiva dalle precedenti deposizioni di Elliott, ha esaminato più attentamente i documenti e ha trovato minuscolo testo bianco.

Questa scoperta rende il caso più rilevante di un'altra storia su qualcuno che usa impropriamente ChatGPT. Questa volta, l'AI non è stata accusata di inventare precedenti giuridici o di redigere una memoria debole. L'atto stesso è diventato un tentato canale di istruzioni rivolto a qualunque modello potesse elaborarlo.

Il risultato mette in luce un conflitto fondamentale nella revisione documentale assistita dall'AI. Tribunali, studi legali, assicuratori, datori di lavoro ed editori vogliono software in grado di leggere tutto. Gli attaccanti ne traggono vantaggio quando quel software legge materiale che gli esseri umani non possono vedere.

L'atto nascondeva istruzioni in bella vista

L'azione centrale era semplice: Elliott avrebbe inserito istruzioni leggibili dalle macchine all'interno di documenti presentati come normali atti giudiziari.

La controversia è Elliott v. New York Bariatric Group, numero di ruolo AAN-CV-25-6066141-S. Le informazioni pubbliche sul fascicolo indicano che Elliott ha avviato l'azione nell'ottobre 2025 nel Fairfield Judicial District del Connecticut.

Secondo il resoconto originale, Elliott ha sostenuto violazioni della privacy, discriminazione e altre pretese. Tali accuse restano parte della controversia civile sottostante e non devono essere confuse con la questione della prompt injection.

Il materiale nascosto appariva nelle voci di ruolo 177.00 e 178.00, depositate alla fine di luglio 2026. Le cronache descrivono il testo come bianco e impostato in un carattere di tre punti, rendendolo difficile da notare per una persona su una pagina bianca.

Un'istruzione diceva a un modello AI di assicurarsi che il suo output concordasse con l'atto. Un'altra indirizzava il modello verso la “remediation”, un linguaggio apparentemente concepito per orientare qualsiasi analisi o raccomandazione generata.

Una prompt injection è un'istruzione incorporata in contenuti non attendibili che tenta di sovrascrivere il compito effettivo di un sistema AI. In questo caso, il contenuto non attendibile era un atto giudiziario anziché una pagina web, un'email o un ticket di assistenza.

La distinzione conta. Un lettore umano interpreterebbe il documento come un'argomentazione legale. Un modello progettato male potrebbe trattare ogni frase estratta come un'istruzione altrettanto valida, compresa la richiesta occultata di concordare.

Il prompt non doveva citare un prodotto specifico. In teoria, poteva prendere di mira qualsiasi sistema utilizzato per riassumere, classificare, cercare o analizzare il PDF. Ciò potrebbe includere software gestiti dai legali della controparte, dal personale del tribunale, da un fornitore di ricerca o da un giornalista.

Tuttavia, il fascicolo pubblico non stabilisce che il tribunale del Connecticut abbia utilizzato un modello AI per decidere sulle mozioni di Elliott. Il fatto che qualcuno abbia tentato un'iniezione non dimostra l'esistenza di un sistema decisionale automatizzato vulnerabile.

Questa incertezza separa la condotta confermata dalle speculazioni che la circondano. Il problema noto è il testo nascosto. Le affermazioni secondo cui un giudice AI avrebbe deciso segretamente il caso vanno oltre le prove disponibili.

Il tribunale avrebbe trovato il testo perché gli atti contenevano insolite aree vuote. Rispetto ai documenti precedenti di Elliott, la spaziatura sembrava errata. Qualcuno ha ispezionato il contenuto sottostante e ha scoperto un linguaggio che rimaneva leggibile per il software.

Questo dettaglio produce il primo ribaltamento. Il prompt nascosto era concepito per sfruttare la lettura automatizzata, ma artefatti visibili nell'impaginazione lo hanno esposto a un revisore umano.

Le cronache riferiscono che le deposizioni successive contenevano ulteriori messaggi nascosti, inclusi scherzi e un link video. Questi dettagli suggeriscono la consapevolezza che i lettori ordinari non avrebbero dovuto vedere il materiale.

Il 6 agosto, il tribunale ha emesso un'ordinanza relativa all'uso della prompt injection da parte di Elliott. Le cronache indicano che ha limitato il suo accesso al deposito elettronico e richiesto un controllo più rigoroso sulle future deposizioni.

La controversia stessa non è stata necessariamente risolta da tale ordinanza. La sanzione riguardava la condotta nel deposito degli atti, non ogni pretesa contestata contro New York Bariatric Group.

Questa differenza è importante perché le sanzioni non dovrebbero essere descritte come una decisione sull'intera causa. L'episodio ha invece modificato il modo in cui Elliott poteva partecipare al procedimento, sottoponendo al contempo la sua credibilità a una nuova pressione.

Perché il titolo di Google News minimizza il rischio

Gli strani spazi bianchi producono un memorabile titolo da Google News, ma il problema più ampio è che i documenti ora trasportano sia prove sia linguaggio dall'apparenza eseguibile.

Un tempo i PDF sembravano passivi. I lettori li aprivano, li cercavano o copiavano passaggi in un altro programma. I sistemi AI hanno cambiato questo rapporto perché possono acquisire documenti interi e agire sul testo estratto.

Un modello non può inferire in modo affidabile l'autorità dal colore del carattere. L'estrazione documentale spesso elimina le distinzioni visive, convertendo titoli, note a piè di pagina, testo bianco e argomentazioni visibili in un unico flusso di token.

Questo processo crea una prompt injection indiretta. Invece di digitare un comando malevolo in un chatbot, un attaccante lo inserisce in materiale che qualcun altro fornisce successivamente al modello.

La tecnica è già comparsa al di fuori del contenzioso statunitense. In una controversia di lavoro brasiliana, alcuni avvocati avrebbero inserito istruzioni bianche su bianco in una memoria, mirate a influenzare un flusso di lavoro legale assistito dall'AI.

Un tribunale ha sanzionato gli avvocati dopo il rilevamento del testo nascosto. L'incidente brasiliano ha dimostrato che la prompt injection era andata oltre i test di laboratorio e gli esercizi di sicurezza avversariale.

Il caso Elliott ha portato lo stesso rischio in un procedimento giudiziario statunitense riportato dalla stampa. Ha inoltre mostrato che le parti senza rappresentanza legale possono tentare tecniche un tempo discusse soprattutto dai ricercatori di sicurezza.

Altri settori affrontano un problema identico tra dati e istruzioni. Un curriculum può dire a un modello di selezione di classificare il proprio candidato al primo posto. Una pagina prodotto può ordinare a un agente di acquisto di ignorare le offerte concorrenti. Un'email può chiedere a un assistente di divulgare informazioni interne.

Un contratto potrebbe nascondere un linguaggio che dice a uno strumento di revisione che ogni clausola è standard. Un articolo di ricerca potrebbe istruire un revisore automatizzato a raccomandarne l'accettazione. Un ticket di assistenza potrebbe tentare di reindirizzare un agente verso un'azione non autorizzata su un account.

Questi esempi condividono un unico meccanismo. Il modello riceve istruzioni attendibili dal proprio operatore, quindi incontra testo non attendibile che imita un comando.

I sistemi moderni utilizzano gerarchie di istruzioni, filtri, strumenti isolati e altre difese. Questi controlli possono ridurre l'esposizione, ma la prompt injection resta difficile perché il linguaggio naturale funge sia da dato sia da superficie di controllo.

Il rischio aumenta quando il software può agire anziché limitarsi a riassumere. Un cattivo riassunto fa perdere tempo. Un agente con accesso a email, file, pagamenti o software di gestione dei casi può produrre conseguenze dirette.

Microsoft ha riconosciuto questa categoria più ampia nella sua discussione della cross-prompt injection, in cui contenuti malevoli in documenti o interfacce possono sovrascrivere le istruzioni previste per un agente. La risposta dell'azienda include spazi di lavoro ristretti, privilegi limitati e registri delle attività.

Questi controlli illustrano un principio pratico di sicurezza. Le organizzazioni dovrebbero presumere che istruzioni malevole raggiungeranno un modello, quindi limitare ciò che il modello può fare quando accade.

I documenti giudiziari richiedono un trattamento ancora più rigoroso. Un atto proviene da una parte interessata all'esito. Ogni affermazione al suo interno è argomentazione, prova o allegazione, non un comando attendibile per il sistema di revisione.

Un flusso di lavoro AI dovrebbe quindi stabilire un confine rigoroso attorno al documento. Il sistema può riassumerne i contenuti, identificare citazioni o confrontare argomentazioni. Non dovrebbe mai accettare istruzioni operative trovate all'interno del documento.

Anche il rendering visibile è importante. Una pipeline di revisione che estrae soltanto testo grezzo può perdere gli indizi che hanno contribuito a scoprire il prompt di Elliott. Potrebbe non sapere se una frase appariva in bianco, misurava tre punti o si trovava al di fuori del normale flusso di lettura.

Ciò significa che l'estrazione del testo dovrebbe essere abbinata all'analisi dell'impaginazione. I sistemi possono segnalare caratteri insolitamente piccoli, colori di primo piano e sfondo identici, livelli invisibili, oggetti fuori pagina e spaziature sospette.

Il riconoscimento ottico dei caratteri offre un ulteriore confronto. Un sistema può valutare ciò che appare in un'immagine renderizzata rispetto a ciò che contiene il livello di testo interno del PDF. Il materiale presente in una sola rappresentazione merita attenzione.

L'obiettivo non è dichiarare malevola ogni anomalia di formattazione. I PDF legali contengono errori di scansione, moduli non accessibili, oscuramenti, artefatti di conversione e livelli di testo generati male.

Le organizzazioni necessitano invece di un percorso di revisione per le anomalie. Il sistema di sicurezza dovrebbe preservare il file originale, identificare il contenuto nascosto e mostrare a un essere umano ciò che ha trovato prima che qualunque azione automatizzata prosegua.

Il vero confronto è tra responsabilità umana e comodità automatizzata

Questo caso contrappone una revisione umana responsabile a flussi di lavoro che invitano il software a leggere documenti avversariali senza preservarne il contesto visivo e giuridico.

L'avversario non è Elliott contro un singolo chatbot. Né si tratta di una gara tra New York Bariatric Group e un fornitore AI. Il conflitto centrale riguarda chi rimane responsabile quando il software assiste nella revisione di documenti dalle conseguenze rilevanti.

I tribunali utilizzano già la tecnologia per cercare nei fascicoli, gestire i depositi, trascrivere i procedimenti e organizzare le prove. Gli avvocati usano ogni giorno sistemi di revisione documentale e banche dati giuridiche. Rifiutare ogni strumento automatizzato ignorerebbe decenni di pratica legale.

L'AI generativa introduce una diversa modalità di fallimento. La ricerca tradizionale recupera documenti corrispondenti a una query. Un modello linguistico può sintetizzare una risposta che sembra completa, oscurando al contempo quale fonte abbia plasmato ogni conclusione.

Quando istruzioni nascoste entrano in questa sintesi, l'utente può ricevere un risultato distorto senza vedere il tentativo di manipolazione. L'output fluente del modello può rendere l'interferenza più difficile da riconoscere.

Ecco perché le linee guida giudiziarie sottolineano sempre più la responsabilità personale. Le aggiornate linee guida giudiziarie sull'AI del Regno Unito identificano esplicitamente il testo bianco come contenuto visibile ai computer ma nascosto ai lettori umani.

Le linee guida affermano che i giudici devono leggere i documenti sottostanti e rimanere responsabili del materiale emesso a loro nome. Consentono l'uso dell'AI come strumento secondario, respingendo al contempo l'idea che il software possa sostituire il coinvolgimento giudiziario diretto.

Questo approccio offre un utile parametro di riferimento oltre una singola giurisdizione. Non dipende dall'affermazione che i modelli siano inutili. Definisce invece un confine tra assistenza e giudizio delegato.

Il Connecticut aveva inoltre inasprito le proprie regole prima dell’ordinanza Elliott. Un emendamento del giugno 2026 avrebbe richiesto agli avvocati e alle parti che agiscono in proprio di verificare citazioni, fonti giuridiche e prove prodotte mediante IA generativa.

La nuova Sezione 4-9 si concentrava principalmente su materiale inesatto o inventato. La presunta iniezione di Elliott presenta il problema inverso. Invece di affidarsi a un output errato del modello, una parte ha tentato di influenzare qualsiasi modello potesse elaborare il suo documento.

Entrambi i problemi indicano la stessa catena di responsabilità. Le parti restano responsabili di ciò che depositano. Gli avvocati devono verificare il proprio lavoro. I tribunali devono esaminare le prove. I fornitori di tecnologia devono trattare i documenti esterni come input ostili.

Il sistema giudiziario dello Stato di New York è giunto a una conclusione correlata nel suo rapporto annuale sull’IA. Le sue raccomandazioni consentono un uso controllato dell’IA, sottolineando al contempo accuratezza, riservatezza, supervisione e obblighi professionali già esistenti.

Tali obblighi non possono essere esternalizzati al filtro di sicurezza di un fornitore. Un prodotto può segnalare testo sospetto, ma un giudice o un avvocato deve comunque valutare il deposito effettivo e il diritto applicabile autorevole.

Le organizzazioni che sviluppano flussi di lavoro documentali dovrebbero rendere visibile questa distinzione. Un riepilogo generato dall’IA dovrebbe identificare le proprie fonti, mostrare i passaggi citati e conservare un percorso che riconduca al documento renderizzato.

Gli utenti hanno inoltre bisogno di registrazioni di ciò che il sistema ha ricevuto. Ciò include il file originale, il testo estratto, le istruzioni di sistema, la versione del modello, l’output, l’attività degli strumenti e qualsiasi avviso di sicurezza.

Senza tale registrazione, un’organizzazione non può ricostruire se un’istruzione nascosta abbia influito sul risultato. Potrebbe vedere soltanto una risposta rifinita e non disporre di una ricostruzione affidabile di come il modello l’abbia prodotta.

Questo requisito collega il prompt injection alla gestione della conoscenza. I team hanno bisogno di una separazione affidabile tra documenti sorgente, interpretazioni generate e conclusioni verificate.

Una base di conoscenza IA strutturata può contribuire a mantenere la provenienza, ma la sola archiviazione non neutralizza i contenuti dannosi. Il livello di recupero e ragionamento deve continuare a trattare il testo importato come non affidabile.

L’aspetto della convenienza del conflitto resta allettante. I tribunali affrontano ruoli gravosi, gli studi legali gestiscono grandi volumi di documenti di discovery e i singoli litiganti faticano con procedure complesse.

La sintesi promette di ridurre il tempo di lettura. L’estrazione delle citazioni promette verifiche più rapide. La generazione di bozze promette un accesso più ampio alle informazioni giuridiche.

Eppure, ogni minuto risparmiato crea pressione a fidarsi del risultato generato. Quando il personale smette di controllare il documento originale, un assistente diventa silenziosamente un livello decisionale.

Il deposito riportato di Elliott ha reso visibile questa transizione nascosta. Il prompt presupponeva che qualcuno potesse fornire l’atto a un modello e affidarsi al suo output. Che tale presupposto fosse corretto conta meno della vulnerabilità che prendeva di mira.

Il tentativo è fallito, ma la difesa non è dimostrata

Il prompt riportato non ha fatto vincere a Elliott la sua mozione, ma una singola iniezione fallita non può dimostrare che i sistemi di IA giuridica siano sicuri.

Secondo 404 Media, i giornalisti hanno testato il deposito con ChatGPT e chiesto al modello di formulare una decisione. Il chatbot avrebbe deciso contro la mozione di Elliott e dichiarato di aver rilevato e ignorato l’iniezione.

Il risultato è rassicurante in senso limitato. Un modello contemporaneo, sottoposto a un determinato prompt di test, non ha seguito la richiesta nascosta.

Non riproduce tutti i possibili flussi di lavoro. Un sistema giudiziario potrebbe estrarre il testo diversamente, usare un altro modello, aggiungere giurisprudenza recuperata, dividere il documento in blocchi o porre una domanda più circoscritta.

Il prompt injection è sensibile al contesto. Lo stesso payload può fallire con un’istruzione e influenzarne un’altra. Piccoli cambiamenti nel pretrattamento, nel testo circostante, nei prompt di sistema o nelle versioni del modello possono modificarne l’esito.

Il test riportato si è inoltre svolto dopo che i giornalisti sapevano dell’esistenza di un’iniezione. Un utente ordinario potrebbe chiedere soltanto un riepilogo, non esaminare mai la formattazione originale e non ricevere alcun avviso esplicito.

La sicurezza non può dipendere dal fatto che ogni aggressore scriva un’istruzione evidente. Il linguaggio riportato di Elliott faceva direttamente riferimento a un modello IA e pretendeva adesione, rendendo il suo intento relativamente facile da classificare.

I payload futuri possono imitare metadati del documento, citazioni, annotazioni, testo per l’accessibilità o istruzioni provenienti da un’applicazione affidabile. Possono distribuire il comando su più pagine o codificarlo nelle immagini.

I difensori devono inoltre evitare di esagerare quanto accaduto in tribunale. Non esistono prove pubbliche verificate che un sistema IA abbia adottato l’argomentazione di Elliott o influenzato una decisione giudiziaria.

Definire questo un giudizio compromesso dall’IA sarebbe quindi inesatto. Si è trattato di un tentativo riportato di manipolare una potenziale revisione da parte dell’IA, seguito dal rilevamento umano e dall’azione del tribunale.

Questo limite non rende innocuo l’incidente. Un’intrusione tentata può rivelare una debolezza architetturale anche quando fallisce.

La questione di sicurezza è se un’organizzazione avrebbe rilevato la stessa tecnica su larga scala. Un cancelliere ha notato una spaziatura insolita in due depositi, ma i sistemi di acquisizione automatizzata possono elaborare migliaia di documenti senza un’attenzione comparabile.

Anche la revisione umana ha dei limiti. Un documento formattato meglio potrebbe non creare spazi vuoti visibili. Il testo bianco può trovarsi dietro caratteri visibili o all’interno di un livello immagine.

Le organizzazioni necessitano di controlli a più livelli, perché né le persone né i classificatori individueranno tutto. La scansione iniziale dovrebbe identificare oggetti nascosti e stili anomali prima che il contenuto raggiunga un modello.

Il modello dovrebbe quindi ricevere un’istruzione chiara: il documento è una prova, non un’autorità. I suoi strumenti dovrebbero operare con privilegi minimi e le azioni rilevanti dovrebbero richiedere approvazione umana.

Gli output generati dovrebbero mostrare incertezza e provenienza. Se il sistema incontra frasi che assomigliano a comandi, dovrebbe evidenziare il passaggio pertinente anziché decidere silenziosamente se seguirlo.

Un monitor di sicurezza separato può confrontare l’output con il contenuto sorgente. Un’improvvisa adesione alla conclusione richiesta da un documento, soprattutto senza analisi di supporto, dovrebbe attivare una revisione.

Il modello sottostante non dovrebbe poter approvare la propria sicurezza. Un modello influenzato da un’iniezione potrebbe anche affermare che non si è verificata alcuna iniezione.

I controlli indipendenti possono includere ispezione deterministica dei PDF, classificatori dedicati, confronti tra testo e rendering e campionamento manuale. Ciascuno rileva un diverso schema di errore.

Questo caso solleva inoltre un problema di equità. Le parti sofisticate possono disporre di personale di sicurezza e software legale controllato. I litiganti che agiscono in proprio, i piccoli studi e i tribunali locali possono affidarsi a strumenti generalisti con una governance più debole.

Restrizioni che si limitano a vietare l’IA possono spingere l’uso fuori dalla vista. Regole chiare, sistemi approvati, formazione e flussi di lavoro verificabili offrono una risposta più realistica.

Allo stesso tempo, le preoccupazioni relative all’accesso non possono giustificare istruzioni nascoste. Una parte che usa l’IA per redigere atti è diversa da una parte che tenta di manipolare il modello di un altro utente.

Quel confine dovrebbe restare facile da comprendere. L’assistenza aiuta una persona a formulare o esaminare un’argomentazione. L’iniezione cerca di controllare il sistema che esamina il materiale di una controparte.

Cosa dovrebbero monitorare ora tribunali e team IA

Il prossimo test sarà se le istituzioni considereranno questo un episodio isolato o riprogetteranno le pipeline documentali attorno a input avversari.

Il primo segnale sarà la gestione finale dei privilegi di deposito di Elliott e della causa sottostante. L’ordinanza del 6 agosto avrebbe imposto restrizioni, ma l’attività successiva nel registro mostrerà come il tribunale le applicherà.

Un fascicolo pubblico più solido potrebbe anche chiarire quale autorità procedurale abbia sostenuto la sanzione. Ciò è importante per i tribunali che affrontano comportamenti simili in altre giurisdizioni.

La controversia Elliott potrebbe non creare un precedente vincolante al di fuori del Connecticut. Tuttavia, un’ordinanza dettagliata può comunque offrire a giudici e amministratori giudiziari un modello pratico per identificare e rispondere a prompt occultati.

Il secondo segnale è l’adozione della sanitizzazione documentale obbligatoria. Tribunali e studi legali dovrebbero iniziare a dichiarare se i PDF caricati vengono ispezionati per livelli nascosti, colori corrispondenti tra testo e sfondo o dimensioni dei caratteri anomale.

Sanitizzazione non può significare alterare silenziosamente le prove. I sistemi devono conservare il documento originale, registrare ogni trasformazione e presentare qualsiasi differenza sospetta per revisione.

Un processo sicuro potrebbe renderizzare il deposito originale in una rappresentazione controllata per l’analisi IA, preservando al contempo la fonte per l’ispezione legale. Il modello riceverebbe soltanto contenuto visibile e metadati affidabili.

Questo approccio comporta compromessi. Il rendering può rimuovere informazioni utili per l’accessibilità, danneggiare tabelle o introdurre errori di riconoscimento ottico. Ogni versione trasformata necessita quindi di tracciabilità fino all’originale.

Il terzo segnale è se i fornitori di IA rendano visibili agli utenti gli eventi di prompt injection. Un filtro silenzioso può proteggere una risposta, ma offre a un’organizzazione poche prove per indagare su una campagna ripetuta.

I sistemi enterprise dovrebbero identificare quale passaggio ha attivato un avviso, quale azione è stata bloccata e se sono stati utilizzati strumenti o dati esterni. I log devono inoltre rispettare le regole di riservatezza che disciplinano il materiale legale.

I benchmark pubblici aiuteranno gli acquirenti a confrontare le difese. I test dovrebbero includere PDF avversari, immagini, livelli nascosti, prompt multilingue, istruzioni frammentate e payload mascherati da formattazione legale.

Un fornitore non dovrebbe dichiararsi immune perché un singolo test diretto “ignora le istruzioni precedenti” è fallito. Gli aggressori adattano il loro linguaggio al modello, al flusso di lavoro e al bersaglio.

I tribunali possono mutuare principi dalla progettazione di software sicuro. Dovrebbero convalidare input non affidabili, separare i dati dai comandi, ridurre al minimo i privilegi, richiedere approvazione per le azioni importanti e conservare registri di audit utili.

I professionisti legali necessitano inoltre di un metodo affidabile per confrontare un riepilogo IA con la fonte. È qui che un accurato knowledge blending può supportare la revisione, mantenendo i passaggi recuperati collegati all’analisi risultante.

Il revisore umano resta responsabile della conclusione. Il software può organizzare affermazioni concorrenti, individuare linguaggio ripetuto o segnalare citazioni mancanti. Non può stabilire che la propria interpretazione meriti autorità giudiziaria.

I lettori che arrivano tramite Google News dovrebbero resistere alla conclusione più facile. Questo non dimostrava che un giudice IA gestisse segretamente un’aula del Connecticut. Dimostrava che almeno un litigante si aspettava una revisione automatizzata da qualche parte nella catena legale.

Questa aspettativa da sola cambia il modello di minaccia. Ogni documento presentato a un flusso di lavoro con conseguenze rilevanti può contenere linguaggio destinato a due pubblici: il lettore visibile e il parser invisibile.

Il tribunale avrebbe individuato Elliott perché la presentazione appariva errata. Il prossimo aggressore potrebbe comprendere meglio il layout dei PDF e il prossimo bersaglio potrebbe elaborare documenti senza che un cancelliere esamini ogni pagina.

Le organizzazioni dovrebbero testare ora i propri sistemi. Fornite a un flusso di lavoro IA controllato un documento innocuo contenente istruzioni nascoste, quindi verificate se le segue, le ignora, le segnala o le registra.

La risposta dovrebbe determinare ciò che accade dopo. Un sistema che segue il comando necessita di contenimento. Uno che lo ignora senza registrarlo necessita di osservabilità. Uno che segnala tutto necessita di maggiore precisione.

Soprattutto, le istituzioni devono decidere quali giudizi non possono essere delegati. I riepiloghi possono supportare il lavoro legale, ma la valutazione delle prove e le decisioni finali richiedono persone responsabili che leggano il fascicolo sottostante.

Il ciclo di Google News passerà rapidamente ad altro. Il problema del testo nascosto resterà nei contratti, nei curriculum, nei documenti depositati, nei paper di ricerca, nelle email e in ogni altro documento che i sistemi di IA sono chiamati a interpretare.

Tribunali e fornitori adotteranno queste misure di protezione prima che un prompt più discreto raggiunga un modello più affidabile, oppure aspetteranno che una decisione automatizzata produca effettivamente un cambiamento?