Tre rischi, tre origini diverse

Il modo più rapido per non confonderli è chiedersi dove nasce il problema.

La fabbricazione nasce dal modello. La documentazione di Copilot in Word lo dice senza giri di parole: le proposte arrivano da un sistema di AI che può sbagliare, interpretare male i fatti e produrre risultati inesatti; il testo esce scorrevole e grammaticalmente corretto, ma lo strumento non comprende il significato e non valuta l’accuratezza di ciò che scrive. Una fabbricazione è un’affermazione che non sta in nessuna fonte: il riassunto di un thread che attribuisce una scadenza a una collega che non l’ha mai scritta, una slide che riporta una percentuale assente dal brief da cui è nata. Il campanello d’allarme non è un tono esitante — è il contrario, è la sicurezza con cui la frase è scritta.

La prompt injection nasce da un contenuto esterno. Qui il modello non si sbaglia: viene dirottato. La documentazione Microsoft distingue due forme. Nella forma diretta è la persona a scrivere un prompt costruito per spingere Copilot a fare qualcosa di dannoso (è il caso che di solito viene chiamato jailbreak). Nella forma indiretta le istruzioni ostili non stanno nel prompt: stanno dentro il contenuto che Copilot legge — un file di testo, un’immagine, del codice, testo codificato. La pagina di Microsoft Learn sulle tecniche di attacco all’AI porta l’esempio di istruzioni nascoste piantate in un documento Word, che manipolano un assistente incaricato di riassumere il file. Tradotto in ufficio: un allegato arrivato da fuori, o una pagina web recuperata durante una ricerca, può contenere una riga invisibile che dice a Copilot di comportarsi diversamente da come gli hai chiesto.

L’eccessivo affidamento (over-reliance) non nasce né dal modello né dal documento: nasce da chi legge. È il momento in cui una persona smette di controllare perché le ultime dieci risposte erano corrette, incolla la bozza nel messaggio e preme Invia. Non è un difetto tecnico, è un’abitudine — e per questo è l’unico dei tre rischi che nessuna protezione di piattaforma può eliminare al posto tuo.

Che cosa fa la piattaforma e che cosa resta a te

Contro le prime due categorie l’organizzazione ha delle difese, ma non sono cose che configuri tu. Microsoft applica protezioni a più stadi del ciclo di vita del prompt: blocco di prompt malevoli noti e tentativi di jailbreak, filtri di responsible AI in ingresso e in uscita, esclusione di certe categorie di contenuto indesiderato dalle fonti di grounding, e neutralizzazione di tecniche di offuscamento Unicode che nascondono istruzioni nel testo copiato e incollato. Se l’amministratore dispone di Microsoft Defender for Office 365 Piano 2, la posta in arrivo può essere analizzata per contenuti di prompt injection prima ancora che arrivi a te o a un assistente. Se ha attivato il disclaimer AI, nelle app supportate — Word, Excel, PowerPoint, Outlook, OneNote e l’app Microsoft 365 Copilot — vedrai comparire la dicitura “AI-generated content may be inaccurate”.

Nota bene il modo in cui la documentazione descrive il tuo ruolo in questo schema: Copilot è progettato per assistere le persone, che restano responsabili di rivedere, validare e agire sul contenuto generato. Non esiste una configurazione che sposti questa responsabilità altrove.

Controllare le citazioni

Il primo passo di verifica, e il più economico, è aprire le fonti.

In Outlook, Summary by Copilot in cima a un thread produce un riassunto che può includere citazioni numerate: selezionandone una si arriva al messaggio corrispondente dentro il thread. In Teams, quando fai una domanda su una riunione, Copilot indica quali fonti ha usato per rispondere — ma per interrogare ciò che è stato detto dopo la fine della riunione deve esistere una trascrizione. In Microsoft 365 Copilot Chat le citazioni compaiono in linea nella risposta e in fondo trovi il pulsante Sources, che apre nel riquadro laterale l’elenco completo dei riferimenti; da lì il pulsante Open in … apre il documento nella sua app. Dal pulsante Add and manage sources nella casella di composizione, con l’opzione Change data sources, controlli quali fonti Copilot può usare.

Attenzione alla confusione più comune di tutte: una citazione dimostra che una fonte è stata usata, non che l’affermazione sia corretta. La guida alla valutazione dell’output chiede di verificare i dettagli — fatti, cifre, nomi, date e riferimenti — confrontandoli con il materiale di partenza. Il vero segnale d’allarme è l’affermazione forte senza citazione: è lì che una fabbricazione si nasconde meglio.

Revisione umana proporzionata al compito

Validare, secondo la documentazione, significa controllare l’output dopo che è stato generato e prima di agire, condividerlo o basarci una decisione. Quattro domande bastano: l’affermazione riflette davvero la fonte; quali dettagli fanno danno se sono sbagliati; che cosa manca (ipotesi, rischi, dipendenze); la conclusione regge se le condizioni cambiano.

Ma non tutti i contenuti portano lo stesso rischio, e il livello di controllo va calibrato. Una bozza di appunti per te stesso richiede una lettura. Un riassunto di riunione che assegna impegni a persone richiede un checkpoint esplicito: si rileggono le decisioni e i responsabili prima di inoltrarlo. Una presentazione costruita da un brief e mostrata a un cliente richiede la verifica numero per numero contro il file d’origine. Puoi chiedere a Copilot stesso di segnalare le affermazioni non supportate o il contesto mancante — è utile, ma resta una seconda opinione: Copilot non può certificare la correttezza di sé stesso, e usare l’AI non trasferisce la responsabilità.

Che cosa verifica l’esame

Le domande su questo obiettivo raramente chiedono la definizione: presentano uno scenario e chiedono quale dei tre rischi sia in gioco. Applica il test dell’origine. Copilot inventa un dato che non compare in nessun file allegato: fabbricazione. Un documento ricevuto dall’esterno contiene istruzioni nascoste che cambiano il comportamento del riassunto: prompt injection (indiretta). Una persona inoltra il riassunto senza rileggerlo perché “finora ha sempre funzionato”: eccessivo affidamento. Una seconda famiglia di domande chiede di scegliere il passo di verifica proporzionato: la risposta corretta non è mai “controllare tutto sempre” né “fidarsi perché c’è la citazione”, ma legare l’intensità del controllo alle conseguenze di un errore.