API AI espongono il ragionamento, Adobe corregge tre falle CVSS 10.0

🛡️ Executive Summary

• Ricercatori mostrano che blocchi di reasoning cifrati di OpenAI, Anthropic e Google potevano essere trasferiti tra sessioni e decodificati da modelli più deboli.
• L’analisi di 315.320 blocchi pubblici ha recuperato PII e credenziali, mentre gli stessi oggetti opachi potevano trasportare prompt injection invisibili.
• Adobe corregge una RCE ColdFusion CVSS 10.0 e due falle Campaign Classic di massima gravità sfruttabili senza autenticazione.

Due disclosure pubblicate nello stesso ciclo mostrano problemi molto diversi ma accomunati dalla fiducia riposta nei componenti intermedi delle applicazioni. Una ricerca accademica dimostra che i blocchi cifrati utilizzati dalle API di OpenAI, Anthropic e Google per trasportare il reasoning nascosto potevano essere spostati tra sessioni, utenti e modelli compatibili, permettendo in determinate condizioni di ricostruire ragionamenti, informazioni personali e credenziali che gli sviluppatori ritenevano protetti. Adobe interviene invece su una superficie enterprise più tradizionale: ColdFusion, Commerce e Campaign Classic ricevono aggiornamenti di sicurezza, con tre vulnerabilità che raggiungono il punteggio massimo CVSS 10.0 e possono portare all’esecuzione arbitraria di codice.

I blocchi cifrati del reasoning potevano essere riutilizzati

Il problema AI è descritto nel paper Stealing Reasoning Traces from Proprietary LLM APIs, realizzato da ricercatori dell’Università di Tübingen, Max Planck Institute, MATS Research e Snyk. Le API dei modelli reasoning non restituiscono necessariamente al client il chain-of-thought in chiaro: una parte dello stato viene fornita sotto forma di blocchi cifrati o firme opache, che l’applicazione conserva e reinvia nelle richieste successive per mantenere la continuità del ragionamento. Il team ha scoperto che questi oggetti potevano essere compatibili e intercambiabili oltre il confine della sessione originale, arrivando in alcuni casi a essere accettati da modelli differenti dello stesso provider.

Un modello più debole poteva funzionare come decoder

L’attacco non rompeva la crittografia e non richiedeva di recuperare una chiave segreta. I ricercatori prendevano invece il reasoning block cifrato generato da un modello più potente e lo fornivano a un modello compatibile meno protetto, chiedendogli di trascriverne il contenuto. Nel paper questa tecnica viene descritta come una forma di decryption jailbreak: il modello stesso diventava un decoder approssimativo del proprio formato interno. I test hanno interessato ecosistemi OpenAI, Anthropic e Google, mostrando che il problema era architetturale e non limitato a una singola implementazione. Secondo gli autori, l’attacco ha permesso anche di aggirare meccanismi pensati per ostacolare la distillazione dei modelli proprietari, recuperando porzioni del reasoning di sistemi più avanzati senza dover compromettere direttamente il modello sorgente.

Le tracce pubbliche contenevano password e API key

Il rischio più concreto emerge dai log degli agenti pubblicati dagli sviluppatori. I ricercatori hanno raccolto 6.708 traiettorie pubbliche e decodificato complessivamente 315.320 blocchi di reasoning. Dopo aver escluso dati provenienti da benchmark, hanno identificato centinaia di artefatti legati alla privacy e alle credenziali, comprese API key, password, access token e chiavi private. Una parte delle informazioni compariva esclusivamente nel reasoning nascosto e non nel testo visibile della sessione: uno sviluppatore poteva quindi rimuovere il segreto dall’output leggibile e pubblicare comunque inconsapevolmente l’oggetto cifrato che lo conteneva. Il problema amplia il rischio già osservato negli ambienti agentici, dove workflow e strumenti AI possono trasformare contesto, log e credenziali in superfici di attacco.

Non era possibile leggere arbitrariamente le conversazioni private

La portata dell’attacco deve essere delimitata con precisione. La ricerca non dimostra accesso arbitrario alle chat private di altri utenti. L’attaccante doveva prima ottenere il reasoning block cifrato, per esempio da un log pubblico, da un repository o da un’altra traiettoria esposta, e disporre dell’accesso API a un modello compatibile dello stesso provider. Il rischio riguarda quindi soprattutto applicazioni che salvano o pubblicano transcript completi delle richieste API, ritenendo che gli elementi opachi siano innocui proprio perché non leggibili direttamente. Gli autori dichiarano inoltre che, dopo la responsible disclosure, gli attacchi principali non risultavano più riproducibili nell’agosto 2026, anche se la documentazione pubblica dei provider non attribuisce ancora esplicitamente le modifiche a questa ricerca.

Il reasoning cifrato può trasportare prompt injection invisibili

Il paper individua anche una seconda conseguenza. Un blocco opaco poteva contenere una istruzione malevola non visibile nel normale transcript e venire successivamente reinserito in un nuovo workflow agentico. In un proof-of-concept, i ricercatori hanno mostrato che il reasoning manipolato poteva indurre il modello ricevente ad aggiungere un’azione di upload verso una destinazione scelta dall’attaccante senza mostrare nel testo visibile l’istruzione che aveva prodotto il comportamento. È una variante particolarmente insidiosa della prompt injection perché il payload non viene nascosto in una pagina web, un documento o una tool description, ma dentro stato interno cifrato che l’applicazione considera attendibile. Il problema si inserisce nella stessa classe di rischi affrontata quando Microsoft ha evidenziato il tool poisoning negli ambienti MCP.

Adobe ColdFusion corregge una command injection CVSS 10.0

Sul fronte enterprise, Adobe ha pubblicato l’11 agosto APSB26-90, aggiornamento Priority 1 per ColdFusion 2025 e 2023. La vulnerabilità più grave è CVE-2026-48362, OS command injection con CVSS 10.0, sfruttabile da remoto senza autenticazione e senza interazione dell’utente fino all’esecuzione arbitraria di codice. La correzione è disponibile con ColdFusion 2025 Update 12 e ColdFusion 2023 Update 23, come indicato nell’advisory ufficiale Adobe APSB26-90. La gravità assume un peso particolare perché ColdFusion è già stato sfruttato ripetutamente nel 2026: a luglio CVE-2026-48282 era entrata rapidamente nelle campagne reali dopo la pubblicazione della patch.

ColdFusion corregge altre vulnerabilità RCE e authorization bypass

CVE-2026-48362 non è l’unico problema critico del nuovo aggiornamento. Adobe corregge CVE-2026-48273, eval injection CVSS 9.9 che può portare ad arbitrary code execution con privilegi preliminari limitati, insieme a CVE-2026-71384, incorrect authorization CVSS 9.6 capace di provocare denial of service applicativo. Il bollettino comprende inoltre XSS con potenziale code execution, altri problemi di autorizzazione, una heap buffer overflow, una chiave crittografica hardcoded e vulnerabilità di validazione dell’input. Adobe non è a conoscenza di sfruttamento in-the-wild delle falle incluse in APSB26-90 e raccomanda comunque l’installazione immediata delle release corrette. L’ampiezza della superficie segue il precedente ciclo nel quale ColdFusion aveva corretto otto vulnerabilità critiche tra path traversal e code injection.

Campaign Classic chiude due RCE senza autenticazione da CVSS 10.0

Adobe ha pubblicato contemporaneamente APSB26-123 per Campaign Classic. CVE-2026-71398 e CVE-2026-27302 sono entrambe vulnerabilità di incorrect authorization con CVSS 10.0 e possono consentire esecuzione arbitraria di codice attraverso la rete senza autenticazione e senza interazione dell’utente. Una terza falla, CVE-2026-48381, è una SQL injection CVSS 9.0 con lo stesso impatto potenziale sulla code execution. Tutte vengono corrette in Adobe Campaign Classic v7 7.4.4 build 9400, secondo l’advisory Adobe APSB26-123. Solo pochi giorni prima Adobe aveva già chiuso un’altra RCE pre-authentication di massima gravità in Campaign Classic.

Le istanze Adobe-hosted sono già state corrette

Il perimetro operativo delle patch Campaign Classic è importante. APSB26-123 riguarda le installazioni completamente on-premise e le componenti on-premise degli ambienti hybrid. Adobe dichiara che le istanze completamente ospitate dalla società sono state già sottoposte alla remediation e non richiedono interventi da parte dei clienti. Per ColdFusion, invece, gli amministratori devono portare autonomamente i sistemi alle versioni aggiornate e Adobe ribadisce anche la necessità di mantenere il JDK/JRE LTS aggiornato, applicare le configurazioni di sicurezza raccomandate e seguire le Lockdown Guide previste per le diverse release. La classificazione Priority 1 indica che Adobe considera il rischio abbastanza elevato da richiedere tempi di patching molto rapidi.

Adobe Commerce espone anche una escalation senza credenziali

Lo stesso Patch Day comprende inoltre APSB26-92 per Adobe Commerce e Magento Open Source. La falla più grave del pacchetto è CVE-2026-71362, incorrect authorization con CVSS 9.1 che consente una privilege escalation remota senza autenticazione. L’advisory Adobe Commerce APSB26-92 specifica che non servono credenziali né privilegi amministrativi preliminari; il pacchetto corregge anche Stored XSS, security feature bypass e altre escalation. Anche in questo caso Adobe non segnala exploitation attiva, ma la presenza di applicazioni e-commerce esposte direttamente su Internet rende l’aggiornamento rilevante soprattutto per gli ambienti che mantengono componenti legacy o integrazioni personalizzate.

API AI e server enterprise falliscono sullo stesso confine di fiducia

Le due notizie appartengono a mondi tecnicamente differenti, ma condividono un principio utile. Nei modelli reasoning, un oggetto cifrato è stato considerato sicuro perché opaco, nonostante potesse attraversare confini di sessione e modello che avrebbero dovuto limitarne l’uso. In ColdFusion e Campaign Classic, invece, input e richieste raggiungono componenti privilegiati attraverso controlli di autorizzazione o validazione insufficienti, trasformandosi in code execution. In entrambi i casi il problema nasce quando un componente considera attendibile qualcosa sulla base della sua provenienza o del suo formato anziché applicare vincoli forti sul contesto nel quale può essere riutilizzato. La crescita degli agenti AI con accesso a strumenti, API e infrastrutture enterprise rende questa distinzione ancora più importante: cifrare lo stato, autenticare l’utente o firmare un oggetto non basta se quel dato può essere accettato fuori dal contesto per il quale era stato creato.