tecniche anti-forensics: AI e manipolazione di prove digitali, tra data poisoning, deepfake e log alterati.

Tecniche anti-forensics assistite dall’AI: da deepfake e data poisoning ai rischi per l’attribuzione della prova

A cura di:Cosimo De Pinto Ore

L’intelligenza artificiale non ha ampliato soltanto la capacità di analizzare i dati. Ha ampliato anche quella di alterarli, simularli e renderli indistinguibili dall’autentico.

Da qui nascono le tecniche anti-forensics assistite dall’AI. Comprendono l’avvelenamento dei dati di addestramento, la manipolazione della firma fotografica PRNU, la generazione di contenuti multimediali sintetici e gli attacchi di evasione. Tutte mettono in crisi il presupposto su cui poggia la prova digitale, cioè che il dato conservi traccia verificabile della propria origine.

Questo contributo fa parte di una serie dedicata all’impatto dell’intelligenza artificiale sui sistemi probatori. Analizza le principali categorie di attacco e mostra come l’AI possa alterare sia i dati in ingresso ai modelli sia i registri, le immagini, i contenuti multimediali e gli esiti algoritmici. L’obiettivo è ricavarne implicazioni operative per chi lavora sulla prova, e in particolare la necessità di catene di verifica multiple e indipendenti.

Le tecniche anti-forensics assistite dall’AI

Modellamento e avvelenamento dei dati

Il modellamento del dato (data shaping) altera il dato prima che qualcuno lo analizzi, senza renderlo sospetto all’occhio umano o agli strumenti tradizionali.

L’avvelenamento dei dati (data poisoning) colpisce invece i dati di addestramento, aggiornamento o affinamento del modello. Induce il sistema ad apprendere correlazioni errate o comportamenti distorti.

Goldblum e altri hanno sistematizzato questa categoria di attacchi su IEEE Transactions on Pattern Analysis and Machine Intelligence. Distinguono fra l’avvelenamento che degrada le prestazioni generali del modello e quello che inserisce una backdoor, cioè un comportamento malevolo specifico attivabile da un innesco predefinito.

Il caso Microsoft Tay del 2016 resta il riferimento più noto, benché non forense. Il chatbot venne ritirato entro le prime ventiquattro ore: nel comunicato del 25 marzo 2016 Microsoft riferisce che in quell’arco di tempo un attacco coordinato sfruttò una vulnerabilità del sistema, senza indicare una durata più precisa. Le cronache dell’epoca hanno riportato cifre discordanti, fra le sedici ore della ricostruzione più diffusa e le quattordici ore indicate da The Register. L’episodio mostra che un sistema di AI può risultare compromesso non per un difetto della propria architettura, ma perché qualcuno lo espone deliberatamente a un ambiente informativo ostile.

In ambito forense il parallelo è diretto. Un modello linguistico impiegato per riassumere, classificare o correlare chat, messaggi di posta elettronica e documenti sequestrati può incontrare un insieme di dati già manipolato, con testi orientati, istruzioni ambigue o contenuti semanticamente falsificati.

A questo si aggiunge l’iniezione indiretta di istruzioni (indirect prompt injection). Un documento apparentemente innocuo, processato da un sistema di AI durante un’analisi forense, può contenere istruzioni nascoste che alterano le conclusioni del modello senza lasciare tracce evidenti nei registri applicativi ordinari. Per questo un sistema di AI impiegato in sede forense va predisposto fin dall’inizio per registrare in modo strutturato ogni invocazione: marca temporale, identificativo di sessione, istruzione completa, contesto usato, parametri rilevanti ed esito generato. (Indicazione operativa dell’autore.)

Implicazione forense. Ogni dato in ingresso a un sistema di AI va conservato nella forma grezza originale, autenticato con firma crittografica, sottoposto a controllo delle versioni e tenuto separato dal dato trasformato. L’esito prodotto dal sistema non è valutabile in modo autonomo: servono l’insieme di dati di partenza, l’istruzione esatta, il contesto operativo e l’intera catena delle trasformazioni subite dal dato.

La costruzione artificiosa dei registri

La costruzione artificiosa dei registri (log crafting) produce o manipola registrazioni di sistema formalmente coerenti: sintassi corretta, marche temporali credibili, sequenze compatibili, messaggi verosimili.

Il rischio specifico riguarda i sistemi di AI addestrati a riconoscere schemi statistici. Un sistema del genere può accettare come autentica una sequenza artificiale, non perché difettoso, ma perché quella sequenza soddisfa esattamente i criteri di validità che ha imparato a riconoscere.

Il precedente storico più documentato resta Stuxnet. Il malware modificava di nascosto il funzionamento dei controllori programmabili Siemens S7-315 e S7-417 e inviava agli operatori letture false, che mostravano condizioni normali mentre i macchinari si danneggiavano. Falliere, Murchu e Chien descrivono la componente rootkit come un attacco di ripetizione sul canale di comunicazione verso il controllore. È il primo caso documentato di malware capace di manipolare la percezione dello stato fisico di un impianto industriale. La logica, cioè mostrare al sistema di monitoraggio una realtà diversa da quella effettiva, è la stessa che governa la costruzione artificiosa dei registri assistita dall’AI.

Qualificazione. Su questo punto manca una base sperimentale univoca e stabilizzata. La costruzione artificiosa dei registri assistita dall’AI va quindi trattata come rischio metodologico emergente, non come risultato forense consolidato.

La cautela processuale resta comunque necessaria. I modelli linguistici generano sequenze sintatticamente corrette e temporalmente plausibili, e i registri sono spesso fonte primaria nelle indagini su accessi non autorizzati, frodi informatiche ed esfiltrazione di dati.

Sul piano operativo i registri vanno confrontati con fonti indipendenti, non controllate dalla stessa parte: sistemi EDR, piattaforme SIEM, registri di firewall e proxy, telemetria cloud, Master File Table, USN Journal, registri eventi di Windows, dati di flusso di rete, cronologie applicative e repliche su sistemi remoti.

Principio processuale. Una prova che poggia su una fonte sola, per di più filtrata da un sistema di AI, è strutturalmente fragile. Da sola non può fondare una pronuncia di condanna. (Valutazione dell’autore, non massima giurisprudenziale consolidata.)

La manipolazione della firma PRNU

Allo stato attuale della disciplina, la Photo Response Non-Uniformity (PRNU) resta il riferimento più robusto per attribuire un’immagine digitale a uno specifico dispositivo di acquisizione. Lukáš, Fridrich e Goljan hanno dimostrato che le imperfezioni microscopiche introdotte durante la fabbricazione del sensore generano uno schema di risposta fotoelettrica statisticamente univoco e riproducibile. La firma PRNU non dipende dai metadati EXIF e non si elimina rimuovendo le intestazioni del file.

L’attacco più documentato è la copia della firma (fingerprint-copy attack). Chi attacca dispone di immagini scattate con il dispositivo bersaglio, ne estrae la stima della firma PRNU e la sovrappone a immagini provenienti da un altro dispositivo. L’algoritmo di identificazione classifica così la sorgente in modo errato.

Li, Luo, Rao e Huang hanno proposto una variante che opera a blocchi e distribuisce la firma in modo disomogeneo sull’immagine bersaglio. L’intensità della firma iniettata resta vincolata alla qualità dell’immagine risultante, così da ridurre la componente estranea alla PRNU che il triangle test riesce a rilevare. Gli esperimenti, condotti su 2.900 immagini provenienti da quattro fotocamere, confermano l’efficacia dell’attacco.

Il triangle test, introdotto da Goljan, Fridrich e Chen, sfrutta la correlazione anomala fra immagini sottratte e immagini falsificate per individuare la copia della firma. Marra e altri hanno dimostrato che anche questo test è attaccabile. Barni, Santoyo García e Tondi hanno poi proposto una statistica aggregata migliorata per rafforzarlo, e lo stesso gruppo di ricerca ha mostrato, nello stesso anno, un attacco che riduce fortemente l’accuratezza anche della versione aggregata e che regge pure contro una variante del test consapevole dell’attacco. Sameer e Naskar hanno infine proposto l’approccio Universal Wavelet Relative Distortion, che inserisce in modo ricorsivo una sequenza di bit nelle zone di texture e di rumore dell’immagine, con una funzione di distorsione nata per la steganografia, e indebolisce in modo significativo la correlazione su cui poggia l’identificazione della sorgente.

Le stesse architetture di apprendimento profondo che hanno rafforzato l’identificazione della sorgente servono ora anche ad attaccarla. Sul versante difensivo, reti convoluzionali, strutture residuali e apprendimento contrastivo estraggono la firma PRNU con maggiore robustezza rispetto ai metodi statistici. Sul versante offensivo, le stesse architetture possono sopprimere, falsificare o sostituire la firma in modo impercettibile, con procedure automatizzate e adattive rispetto alle contromisure note. Nessun metodo di identificazione, statistico o neurale, può quindi considerarsi immune ad attacchi mirati.

Principio processuale. Una correlazione PRNU positiva ottenuta con un algoritmo automatico non basta ad attribuire un’immagine a un dispositivo. Ogni perizia deve soddisfare condizioni concorrenti:

  • disponibilità dell’immagine originale con catena di custodia verificabile;
  • insieme di riferimento statisticamente significativo;
  • verifica della coerenza temporale e dell’integrità crittografica dei metadati;
  • esclusione di ricampionamento e ricompressione;
  • analisi manuale integrativa da parte di un esperto.

La forza probatoria della PRNU sta nella convergenza con altri elementi, non nella sua autonomia.

Riempimento contestuale, inpainting e deepfake

Il riempimento contestuale e l’inpainting computazionale rimuovono o sostituiscono porzioni di un’immagine tramite algoritmi di completamento basati su reti generative avversarie o su modelli di diffusione, e producono riempimenti visivamente coerenti. Il deepfake video sostituisce o sintetizza il volto di una persona in una sequenza, tramite architetture codificatore-decodificatore. La clonazione vocale replica timbro, cadenza, intonazione e schemi prosodici a partire da campioni anche molto brevi: sistemi come VALL-E hanno mostrato la possibilità di generare una voce sintetica da circa tre secondi di audio.

In sede forense il problema non è solo distinguere l’autentico dal falsificato. È provare, con standard processuali, tre elementi distinti: l’origine del file, la sua integrità nel tempo e il contesto della sua produzione e diffusione.

Il caso Arup, Hong Kong, gennaio 2024

Un dipendente della filiale di Hong Kong della società di ingegneria britannica Arup eseguì quindici bonifici, per circa 200 milioni di dollari di Hong Kong, pari a circa 25,6 milioni di dollari statunitensi, distribuiti su cinque conti. Li dispose dopo una videoconferenza in cui tutti i partecipanti, tranne la vittima, erano rappresentazioni deepfake di dirigenti reali. L’accesso iniziale era avvenuto tramite spear-phishing con impersonazione del direttore finanziario; i deepfake erano stati costruiti con materiali video e audio prelevati da conferenze aziendali pubblicamente accessibili.

Dichiarazione delle autorità. Nelle comunicazioni diffuse all’inizio del 2024 la Hong Kong Police Force riferì che nessuno era stato arrestato, che i fondi non erano stati recuperati e che l’attribuzione restava aperta. Gli sviluppi successivi non risultano da atti pubblici. I dettagli dell’episodio provengono dalle comunicazioni della polizia e dalle successive conferme della società, non da un atto processuale pubblico.

L’episodio mette in luce tre vulnerabilità sistemiche:

  • l’assenza di un canale di autenticazione fuori banda per le disposizioni finanziarie;
  • l’assenza di protocolli di verifica dell’identità nelle videoconferenze;
  • la mancanza di formazione specifica sull’identificazione di segnali visivi e vocali di sintesi artificiale.

Il caso Zelensky, marzo 2022

Il 16 marzo 2022 circolò un video deepfake del presidente ucraino che simulava un appello alla resa. Hany Farid, dell’Università della California a Berkeley, individuò anomalie nella proporzione fra testa e corpo, incongruenze nell’accento e artefatti di temporizzazione tipici delle architetture di sostituzione del volto. Le principali piattaforme smentirono e rimossero il video. È uno dei primi casi documentati di deepfake usato in un contesto bellico attivo a fini di disinformazione.

Sul piano metodologico, le tecniche più consolidate analizzano le incoerenze fra fotogrammi consecutivi. Il modello MVFNet, presentato da Nguyen e Stamm a WACV 2025, analizza insieme quattro tipi di indizio (residui forensi spaziali, contesto RGB, residui forensi temporali e residui di flusso ottico) per rilevare inpainting, deepfake, giunzioni e interventi di post-produzione come sfocatura, aumento del contrasto, ridimensionamento e rotazione. I metodi basati sulla trasformata di Fourier applicata all’asse temporale, pixel per pixel, individuano le periodicità artificiali che i generatori introducono. Su tutti questi metodi vale una cautela costante, soprattutto per i contenuti che circolano sui social network: l’affidabilità dipende fortemente dalla qualità del campione e nessuno di essi è conclusivo da solo. (Valutazione dell’autore.)

Sul versante della provenienza, la Coalition for Content Provenance and Authenticity (C2PA) ha pubblicato la specifica tecnica 2.2 il 1° maggio 2025. Le Content Credentials sono un meccanismo promettente, ma non una garanzia: i manifesti possono sparire durante il caricamento, la ricodifica o la distribuzione, e la loro assenza non permette da sola alcuna inferenza sull’origine del contenuto. Per la clonazione vocale, i sistemi di verifica del parlante e gli strumenti anti-spoofing mostrano criticità significative in condizioni realistiche, fra rumore, compressione e variabilità degli algoritmi. (Valutazione dell’autore, non risultato sperimentale citato.)

Principio processuale. Un video convincente non è una prova: è un artefatto digitale che richiede autenticazione indipendente. Il protocollo forense prevede:

  • ricostruzione del primo caricamento verificabile, con marca temporale, piattaforma, URL e impronta crittografica;
  • analisi della catena di diffusione;
  • esame dei metadati incorporati e delle codifiche successive;
  • confronto con fonti indipendenti coeve;
  • valutazione del contesto di pubblicazione.

Come osserva Farid, nessuna tecnica di rilevamento va trattata come prova autonoma e definitiva in assenza di un contesto probatorio convergente.

Attacchi di evasione

Gli attacchi di evasione operano in fase di inferenza. Il modello è già addestrato, i parametri sono fissi e la manipolazione riguarda solo il dato in ingresso. Si distinguono dall’avvelenamento dei dati, che agisce in addestramento, e dagli attacchi di estrazione del modello o di inferenza sull’appartenenza.

Szegedy e altri hanno formalizzato il principio: perturbazioni di ampiezza impercettibile, ottimizzate tramite L-BFGS, bastano a indurre un errore di classificazione con alta confidenza. Goodfellow, Shlens e Szegedy ne hanno poi fornito la spiegazione meccanicistica con il Fast Gradient Sign Method (FGSM): la causa strutturale della vulnerabilità è la linearità delle reti negli spazi ad alta dimensionalità. Carlini e Wagner hanno proposto tre metodi di ottimizzazione per le norme L0, L2 e L-infinito, diventati il riferimento per valutare la robustezza dei modelli.

Brown e altri hanno introdotto la toppa avversaria (adversarial patch): uno schema visivo stampabile e applicabile fisicamente, che induce un errore di classificazione indipendentemente da posizione, scala e orientamento.

Eykholt e altri hanno dimostrato che alcuni adesivi applicati a un segnale stradale, percepiti da un osservatore umano come normale vandalismo, inducevano l’errore di classificazione nel 100 per cento delle immagini in laboratorio e nell’84,8 per cento dei fotogrammi ripresi da un veicolo in movimento. La conseguenza forense è immediata: la soglia di plausibilità di un attacco avversario non coincide con quella della percezione umana.

Il caso Tesla Autopilot, 2019

Il documento tecnico Experimental Security Research of Tesla Autopilot, pubblicato dal Tencent Keen Security Lab il 29 marzo 2019, dimostrò che tre piccoli adesivi sulla carreggiata bastavano a far generare al sistema di riconoscimento delle corsie di una Tesla Model S un comando di sterzo verso la corsia opposta. Il rapporto documentava altre superfici di attacco, fra cui l’attivazione dei tergicristalli tramite un esempio avversario fisico e il controllo dello sterzo con un gamepad senza fili. L’esperimento mostra che l’attacco può colpire l’ambiente percepito dal sistema, uno scenario che i modelli tradizionali di analisi delle minacce non contemplano.

Nel dominio del malware, Demetrio e altri hanno dimostrato che modificare byte inutilizzati dell’intestazione DOS di un file eseguibile Windows, senza alterarne la funzionalità, può indurre l’errore di classificazione nel classificatore MalConv, che si rivela basato più sulle caratteristiche dell’intestazione che sul contenuto delle sezioni. La letteratura successiva ha esteso il problema sia agli attacchi contro i classificatori sia alla generazione sistematica di falsi positivi. I tassi di evasione dipendono però fortemente dal modello, dall’insieme di dati, dai vincoli funzionali del file e dallo scenario sperimentale. In sede processuale è quindi scorretto trasferire al caso concreto percentuali ottenute in laboratorio, senza una validazione specifica.

Implicazione forense. Un classificatore che dichiara benigno un file, non rilevante una conversazione o autentica un’immagine va trattato solo come strumento di selezione preliminare. Il suo esito dipende dagli schemi appresi in addestramento, dalla distribuzione dell’insieme di dati, dall’assenza di esempi avversari nel materiale di addestramento e dall’assenza di attacchi attivi al momento dell’inferenza. Sono quattro condizioni che nessuno può verificare a posteriori senza una documentazione rigorosa della pipeline di sviluppo del modello.

Altre superfici di attacco nella catena della prova

Documenti e comunicazioni

La generazione di testi è la capacità più consolidata dei sistemi di AI attuali. Un modello linguistico di qualità commerciale genera contratti, messaggi di posta elettronica e messaggi di testo con stile personalizzato. Completa documenti lacunosi in modo stilisticamente coerente. Traduce mantenendo artefatti linguistici che simulano autenticità. Produce metadati credibili per i file Office.

Kirchenbauer e altri hanno proposto tecniche di filigrana digitale per i modelli linguistici. In assenza di marcatori applicati in partenza, però, l’identificazione di un testo generato resta statisticamente fragile.

Sadasivan e altri hanno evidenziato un limite strutturale dei rilevatori: chi produce il testo, se conosce o può interrogare il rilevatore, modifica progressivamente l’esito finché il testo smette di risultare artificiale. Questi strumenti possono quindi orientare o filtrare, ma non provare da soli l’origine artificiale di un documento.

Implicazione forense. Un documento prodotto come prova non si autentica analizzandone il testo. Occorre risalire ai sistemi di origine, verificare i registri dei server, analizzare la trasmissione di rete e le copie di sicurezza indipendenti. In mancanza di questi riscontri, la sola analisi stilistica non prova né l’autenticità né la falsità, la compia un esperto umano o un sistema di AI.

Codice malevolo generato con l’AI

Dato su fonte secondaria unica. Servizi malevoli come WormGPT e FraudGPT sono stati descritti da report di threat intelligence del 2023 come strumenti per generare campagne di phishing e contenuti offensivi personalizzati. Le capacità effettive non risultano verificate in modo indipendente, e la loro menzione qui vale come indicazione di tendenza, non come dato accertato.

Per il consulente tecnico, il codice malevolo generato o assistito dall’AI introduce una criticità precisa: l’attribuzione dell’autore.

Tradizionalmente alcuni elementi stilistici del codice, come i nomi delle variabili, la struttura delle funzioni, i commenti, le scelte algoritmiche e le ricorrenze sintattiche, contribuivano a formulare ipotesi sull’autore o sul gruppo. L’intervento dell’AI uniforma, altera o maschera queste impronte individuali.

L’attribuzione diventa quindi più fragile e non può fondarsi sul solo stile del codice. Richiede la convergenza di altri elementi: infrastruttura usata, catena di distribuzione, telemetria, registri, artefatti di compilazione, contesto operativo e, quando disponibili, tracce del servizio di AI impiegato.

L’effetto sui procedimenti per cybercrime è duplice. Per l’accusa, rende più fragile l’attribuzione del codice a un determinato autore. Per la difesa, apre la possibilità di contestare su basi tecniche le inferenze fondate su indicatori stilistici. In entrambi i casi i metodi tradizionali di attribuzione vanno rivisti in favore di approcci multi-fonte.

Conclusioni

Le tecniche esaminate condividono un effetto: spostano il problema dall’analisi del dato alla verifica della sua origine.

L’avvelenamento dei dati agisce prima che il modello impari. La costruzione artificiosa dei registri e la manipolazione della firma PRNU agiscono sulle tracce che l’analisi dovrebbe leggere. Gli attacchi di evasione agiscono sull’esito del modello. La sintesi di contenuti multimediali agisce sulla percezione di chi valuta.

Ne deriva un quadro in cui non solo i dati e i modelli possono risultare alterati, ma anche le tracce stesse dell’attività informatica diventano costruibili. Nessuno strumento automatico, preso da solo, fonda un’attribuzione: la tiene in piedi la convergenza di fonti indipendenti, la documentazione della catena di custodia e la separazione esplicita fra ciò che il dato mostra e ciò che l’analista ne inferisce.

Nota redazionale. L’autore, Cosimo De Pinto, sviluppa questi temi in modo sistematico nel paper Quando l’AI mente bene: deepfake, prova digitale e anti-forensics nel processo penale, pubblicato da ICT Security Magazine.

Bibliografia:
Profilo Autore

Informatico Forense, socio IISFA, socio ONIF, certificato CIFI, è Perito e Consulente Tecnico presso il Tribunale Ordinario di Roma. Laureato in Beni Culturali, è stato un pioniere della Digital Forensics, espletando il suo primo incarico come ausiliario di P.G. presso la Procura di Bari nel lontano 1990.Titolare di uno studio professionale, presta la propria consulenza a studi legali, aziende, Procure e FF.OO., in materia di Digital Forensics e CyberCrime.

Altri Articoli
Condividi sui Social Network:

Ultimi Articoli