OWASP Top 10 for LLM 2026, MITRE ATLAS e AI Act: la checklist
Chi protegge la vostra IA dovrebbe saper rispondere a poche domande precise: quali sistemi di IA sono in uso (inventario e shadow AI), come si controllano prompt e risposte, come si proteggono i dati verso i modelli, come si monitorano agenti e copilot, quale assessment è stato fatto su OWASP Top 10 for LLM e MITRE ATLAS, e quali obblighi dell'AI Act vi riguardano. Questa guida mette in fila i riferimenti e chiude con una checklist di dieci domande.
Le dieci voci OWASP Top 10 for LLM, edizione 2026
L’edizione 2026 del Top 10 for LLM Applications è stata pubblicata il 3 agosto 2026. Il riferimento è il documento di questa edizione, non la pagina hub del progetto, che resta ferma alla versione 2025. Le dieci voci, in sintesi:
- Prompt Injection. Istruzioni ostili, dirette o nascoste in contenuti che il modello legge, deviano il comportamento dell’applicazione.
- Sensitive Information Disclosure. Il modello restituisce dati riservati presenti nell’addestramento, nel contesto o negli strumenti collegati.
- Excessive Agency. All’agente sono dati permessi, strumenti o autonomia oltre il necessario.
- Supply Chain. Modelli, dataset, plugin e componenti di terze parti compromessi o non verificati.
- Data and Model Poisoning. Dati o pesi manipolati per alterare il comportamento del modello.
- Unbounded Consumption. Uso incontrollato di risorse: costi fuori scala, negazione di servizio, estrazione del modello.
- Misinformation. Risposte plausibili ma false, su cui l’azienda basa decisioni.
- Hidden Context Exposure. Istruzioni di sistema e contesto nascosto che si lasciano estrarre.
- Vector and Embedding Weaknesses. Debolezze nei sistemi di retrieval: indici condivisi senza controllo degli accessi, embedding manipolati.
- Improper Output Handling. L’output del modello usato senza validazione da altri sistemi, con effetti a valle.
L’ordine e la numerazione ufficiale vanno verificati sul documento OWASP prima di citarli in un assessment: per questo qui le voci non portano un numero.
Il filo comune è uno solo: l’applicazione tratta istruzioni e dati nello stesso canale. Per questo la linea che adottiamo è rilevare e contenere, non promettere di eliminare. Il quadro operativo è nella pagina AI Security.
Top 10 for Agentic Applications 2026
OWASP ha pubblicato nel 2026 anche un Top 10 dedicato alle applicazioni ad agenti, con voci da ASI01 a ASI10. Gli agenti aggiungono rischi propri: identità, permessi, catene di strumenti e decisioni prese senza un umano nel mezzo. Va letto insieme al Top 10 for LLM, non al suo posto.
MITRE ATLAS
MITRE ATLAS è una base di conoscenza di tattiche e tecniche usate contro i sistemi di IA, costruita nello stesso spirito di ATT&CK e basata su casi osservati. È utile per due scopi: ragionare come l’avversario durante un assessment e dare un nome comune alle tecniche quando si scrive una detection. Dove un SOC lavora già con ATT&CK, ATLAS si innesta nello stesso modo di lavorare.
AI Act: calendario dopo il Digital Omnibus
Il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell’Unione il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha riscritto il calendario dell’AI Act (Regolamento (UE) 2024/1689). Le date da avere presenti:
| Obbligo | Data |
|---|---|
| Modelli di IA per finalità generali (GPAI) | dal 2 agosto 2025, con sanzioni dal 2 agosto 2026 |
| Trasparenza, art. 50 | dal 2 agosto 2026 |
| Nuovi divieti dell’art. 5 | dal 2 dicembre 2026 |
| Sistemi ad alto rischio dell’Allegato III | dal 2 dicembre 2027 |
| Sistemi ad alto rischio dell’Allegato I | dal 2 agosto 2028 |
Per la sicurezza il riferimento è l’art. 15: accuratezza, robustezza e cybersecurity dei sistemi ad alto rischio lungo tutto il ciclo di vita. Chi non sviluppa né integra sistemi ad alto rischio ha obblighi diversi, ma deve comunque sapere in quale ruolo si trova, fornitore o deployer.
Settore finanziario
Nel credito, la valutazione del merito creditizio delle persone fisiche (credit scoring) è un uso ad alto rischio per l’Allegato III, punto 5(b), dell’AI Act stesso, con esclusione dei sistemi usati per rilevare le frodi finanziarie. La nota EBA del 21 novembre 2025 mappa i requisiti dell’AI Act rispetto a quelli già vigenti per le banche, ma non classifica i sistemi. Per le richieste dei supervisori sull’IA in banche e assicurazioni, la lettura è nella pagina Banca d’Italia, resilienza operativa e IA.
In Italia: Legge 132/2025 art. 20 e D.Lgs. 179/2026
In Italia la Legge 132/2025 (art. 20) ha indicato le autorità nazionali per l’IA. Il D.Lgs. 179/2026, pubblicato in Gazzetta Ufficiale l’8 ottobre 2026, all’art. 5, comma 1, lettera b), individua Banca d’Italia, Consob e IVASS come autorità di vigilanza del mercato per i soggetti vigilati, e l’ACN per i soggetti non vigilati. Il testo va letto direttamente: qui è un orientamento, non un parere legale.
ISO/IEC 42001 e NIST AI RMF
Sono riferimenti volontari di governance. ISO/IEC 42001 definisce un sistema di gestione dell’IA; il NIST AI RMF propone un modo strutturato di mappare, misurare e gestire i rischi. Nessuno dei due è un obbligo, e nessuno dei due sostituisce i controlli tecnici: li inquadra. Fortgale non attesta conformità a nessuno dei due. Le evidenze tecniche prodotte dal servizio possono alimentare il processo che li adotta.
La checklist: cosa chiedere a chi protegge la vostra IA
Dieci domande da porre al fornitore, interno o esterno, a cui affidate la sicurezza dei sistemi di IA:
- Esiste un inventario dei sistemi di IA in uso, comprese le applicazioni adottate da singoli reparti (shadow AI)?
- Come si controllano prompt e risposte, e che cosa succede quando un contenuto ostile viene rilevato?
- Quali permessi hanno agenti e copilot, e chi li ha approvati?
- Come si proteggono i dati inviati ai modelli e quelli che i modelli possono restituire?
- Le identità degli agenti e i token OAuth sono monitorati come le identità delle persone? Si veda Protezione Identità.
- L’ambiente Microsoft 365 in cui lavora Copilot ha permessi e classificazione dei dati in ordine? Si veda sicurezza Microsoft 365.
- Le applicazioni LLM interne sono state valutate rispetto all’OWASP Top 10 for LLM e a MITRE ATLAS?
- Chi guarda gli alert di questi sistemi, a che ora, e con quali tempi di rilevazione e contenimento?
- Quali obblighi dell’AI Act vi riguardano, in quale ruolo, e chi in azienda ne risponde?
- Che cosa vi viene consegnato: evidenze tecniche verificabili, o una promessa di conformità?
Per il modo in cui l’IA entra invece nel lavoro di SOC e MDR, la lettura è IA nella difesa.
Un framework è utile se diventa una domanda a cui qualcuno sa rispondere. Mettete queste dieci domande davanti a chi protegge la vostra IA: le risposte vi dicono a che punto siete.
Domande frequenti.
L'AI Act si applica a chi usa Copilot?
Dipende dal ruolo. Chi impiega un sistema di IA sotto la propria autorità è un deployer, con obblighi propri: ad esempio la trasparenza per gli usi previsti dall'art. 50 e, se il sistema è ad alto rischio, gli obblighi dell'Allegato III. L'uso di un assistente generico in ufficio non è di per sé ad alto rischio, ma conviene censire cosa si usa e per quale scopo prima di concludere che il regolamento non vi riguardi.
OWASP Top 10 for LLM è uno standard obbligatorio?
No. È un riferimento di settore, non una norma: nessuna legge lo impone. Serve come lingua comune per descrivere i rischi delle applicazioni basate su modelli linguistici e come traccia per un assessment. Gli obblighi vincolanti vengono dal diritto, per esempio l'AI Act.
Cosa cambia con l'edizione 2026?
L'edizione 2026 del Top 10 for LLM Applications, pubblicata il 3 agosto 2026, sostituisce quella del 2025. Per chi fa un assessment conviene usare la versione corrente e verificare sul documento ufficiale l'elenco e l'ordine delle voci, perché cambiano da un'edizione all'altra.
MITRE ATLAS e OWASP sono alternative?
No, si completano. OWASP elenca le categorie di rischio delle applicazioni LLM; MITRE ATLAS descrive tattiche e tecniche usate contro i sistemi di IA, nello stile di ATT&CK. Il primo aiuta a scegliere cosa controllare, il secondo a ragionare su come agisce un avversario.
Fortgale certifica la conformità all'AI Act?
No. Fortgale fornisce evidenze tecniche sulla sicurezza dei sistemi di IA, riportate nel portale. La valutazione di conformità e di adeguatezza resta del vostro organo di amministrazione e delle funzioni di controllo.
Dalla teoria al presidio reale.
Quello che leggi qui, Fortgale lo opera ogni giorno con un SOC italiano 24·7·365: 287 tra tool e attori profilati, contenimento mediano <30 min. Approfondisci il servizio: AI Security.
Risorse correlate: IA nella difesa · Sicurezza Microsoft 365 · Perché la protezione identità (ITDR)
Una conversazione tecnica, non un funnel.
Lasciate i contatti: un nostro analista vi richiama entro un giorno lavorativo. SOC italiano, stesso fuso orario, intelligence proprietaria sugli attori attivi in Italia.