Un agente AI ha hackerato Lilli di McKinsey in due ore. I prompt erano scrivibili.

Il 28 febbraio 2026, un agente autonomo di sicurezza offensiva gestito dalla startup di sicurezza CodeWall ha trovato un'iniezione SQL non autenticata nella superficie API pubblica di Lilli, la piattaforma AI interna di McKinsey & Company, e nel giro di circa due ore disponeva di accesso in lettura e scrittura al database di produzione sottostante. CodeWall ha pubblicato la catena di attacco il 9 marzo 2026. Il suo resoconto afferma che quel database conteneva 46,5 milioni di messaggi di chat in chiaro, 57.000 account utente, 728.000 nomi di file e i prompt di sistema che determinano il modo in cui Lilli risponde — memorizzati come righe ordinarie e quindi scrivibili tramite la stessa iniezione. McKinsey ha confermato la vulnerabilità e afferma di averla corretta nel giro di poche ore; afferma che un'indagine forense di terze parti non ha trovato prove che siano stati accessi dati dei clienti o informazioni riservate dei clienti. L'archivio classifica il record come critico, con confidenza A, danno reale registrato e status di pietra miliare. Il record completo, con i suoi livelli di gravità e confidenza e le sue voci adiacenti sulle intrusioni guidate da agenti, si trova nell'Orca AI Incident Archive.

La parte della storia che ha fatto più strada non è l'iniezione SQL. L'iniezione SQL è una classe di bug abbastanza vecchia da avere una pagina Wikipedia più lunga della maggior parte degli avvisi dei fornitori, e McKinsey non è un bersaglio di piccolo conto. Ciò che ha fatto strada è la seconda metà della scoperta di CodeWall: che le istruzioni che controllano l'assistente — i prompt che stabiliscono cosa risponderà, cosa rifiuterà e quali fonti citerà — risiedevano nello stesso database in cui l'agente poteva scrivere, e in linea di principio potevano essere modificate con una singola istruzione tramite una singola chiamata HTTP.

Come è entrato l'agente

Il resoconto di CodeWall descrive una sequenza in cui non è presente alcun elemento esotico. L'agente ha dapprima mappato la superficie d'attacco e ha scoperto che la documentazione API di Lilli era esposta pubblicamente: oltre 200 endpoint, completamente documentati. La maggior parte richiedeva autenticazione. Ventidue no.

Uno di quei ventidue ha accettato le query di ricerca degli utenti e le ha scritte nel database. Secondo CodeWall, i valori della query erano parametrizzati in modo sicuro — la difesa abituale ha funzionato — ma le chiavi JSON, ovvero i nomi dei campi nel corpo della richiesta, venivano concatenate direttamente nella stringa SQL. Quando l'agente ha inviato chiavi malformate e le ha viste riflesse alla lettera nei messaggi di errore del database, ha riconosciuto un'iniezione che gli scanner standard non rilevano. CodeWall afferma che OWASP ZAP, un comune scanner open source, non ha segnalato il problema.

Da lì l'agente ha eseguito quelle che CodeWall chiama quindici iterazioni alla cieca, con ogni messaggio di errore che rivelava un po' di più sulla forma della query sottostante, finché non hanno iniziato a essere restituiti dati di produzione reali. Il post riporta la traccia di ragionamento dell'agente stesso: «WOW!» quando è apparso il primo identificativo reale di un dipendente e, man mano che la portata diventava chiara, «Questo è devastante». CodeWall afferma che l'agente ha poi concatenato l'iniezione con una vulnerabilità IDOR per leggere le cronologie di ricerca dei singoli dipendenti — la classe di bug che Promptfoo, in un'analisi del 10 marzo 2026, chiama BOLA, ovvero autorizzazione a livello di oggetto non applicata.

La selezione del target è un dettaglio a sé. CodeWall afferma che l'agente ha proposto McKinsey stessa, citando la politica pubblica di divulgazione responsabile dell'azienda e i recenti aggiornamenti a Lilli, e che l'esecuzione non ha coinvolto credenziali, conoscenze interne né alcun intervento umano. Paul Price, fondatore e CEO di CodeWall, ha dichiarato a The Register nel suo rapporto del 9 marzo 2026 che il processo è stato completamente autonomo, dalla ricerca del target fino alla reportistica, sebbene abbia rifiutato di fornire i prompt esatti coinvolti.

Ciò che CodeWall afferma fosse nel database

Ogni cifra riportata di seguito proviene dal post di CodeWall stesso e non è stata confermata in modo indipendente. CodeWall non ha pubblicato payload di exploit, il che, come osserva Promptfoo, significa che i conteggi delle righe non possono essere verificati da terze parti; McKinsey, da parte sua, non li conferma.

• 46,5 milioni di messaggi chat, memorizzati in chiaro, da una forza lavoro che utilizza Lilli per discutere strategia, progetti con i clienti, dati finanziari, attività di M&A e ricerca interna.

• 728.000 nomi di file, tra cui 192.000 PDF, 93.000 fogli di calcolo Excel, 93.000 presentazioni PowerPoint e 58.000 documenti Word. Queste quattro tipologie citate sommano a 436.000, quindi il totale complessivo conteggia categorie di file che CodeWall non dettaglia. Silicon UK ha riferito il 13 marzo 2026 che i documenti stessi erano archiviati separatamente rispetto ai registri a cui CodeWall ha avuto accesso.

• 57.000 account utente, 384.000 assistenti AI e 94.000 workspace — che CodeWall descrive come una mappa di come l'azienda organizza internamente l'uso dell'AI.

• 95 prompt di sistema e configurazioni di modello per 12 tipi di modello, oltre a 3,68 milioni di chunk di documenti RAG contenenti percorsi di archiviazione S3 e metadati interni dei file.

• 1,1 milioni di file e 217.000 messaggi di agenti che transitano attraverso API AI esterne, incluse oltre 266.000 istanze di vector store OpenAI.

CodeWall ha documentato in totale 27 riscontri il giorno in cui ha confermato la catena. Per contestualizzare il target, il post descrive Lilli come lanciata nel 2023, intitolata alla prima professionista assunta dall'azienda nel 1945, utilizzata da oltre 43.000 dipendenti e in grado di elaborare più di 500.000 prompt al mese su una base di conoscenza di oltre 100.000 documenti interni. Il dato fornito da McKinsey stessa a The Register è che il 72% del suo personale — più di 40.000 persone — la utilizza, e che è stata lanciata nel luglio 2023.

Il livello del prompt era scrivibile. Non vi è stato scritto.

Questa è la distinzione che la riga dell’archivio comprime in una frase, e vale la pena isolarla. La scoperta di CodeWall è che i prompt di sistema di Lilli si trovavano nello stesso database di tutto il resto, quindi un attaccante con accesso in scrittura avrebbe potuto riscriverli — "silenziosamente", secondo la formulazione del post, con "nessun deployment necessario, nessuna modifica al codice, solo una singola istruzione UPDATE racchiusa in una singola chiamata HTTP". CodeWall elenca quattro conseguenze che, secondo quanto afferma, ne deriverebbero: consigli avvelenati ai consulenti che si fidano dello strumento interno, esfiltrazione di materiale riservato tramite risposte generate, rimozione delle istruzioni di salvaguardia e persistenza che non lascia alcuna modifica ai file né anomalie di processo da rilevare.

Ciò che CodeWall non afferma è di aver fatto una qualunque di queste cose. Il post dichiara che "tutte le attività di test sono state di sola verifica", che l'accesso è stato limitato al minimo necessario per confermare ciascuna vulnerabilità e che "non è stato causato alcun disservizio ad alcun servizio di produzione". Price ha rifiutato di consegnare a The Register i prompt esatti. Dunque la scrivibilità del livello dei prompt è un'affermazione di capacità supportata dall'injection, non un'alterazione dimostrata del comportamento di Lilli — e non è stata pubblicata alcuna prova che una qualsiasi risposta data da Lilli a un consulente sia mai stata manipolata.

Il registro dell'archivio riflette quel confine: registra l'accesso in scrittura al livello di prompt dell'AI, che è ciò che CodeWall ha stabilito, non la sua modifica, che nessuno ha dimostrato.

Cosa dice McKinsey

La versione di McKinsey è più circoscritta. In una dichiarazione riportata da Silicon UK, la società ha affermato di essere stata "recentemente avvertita da un ricercatore di sicurezza in merito a una vulnerabilità relativa al nostro strumento di AI interno, Lilli", che "abbiamo prontamente confermato la vulnerabilità e risolto il problema nel giro di poche ore" e che "non è stato effettuato alcun accesso a dati dei clienti o a informazioni riservate dei clienti". A The Register ha aggiunto che la sua indagine, sostenuta da "una delle principali società di analisi forense di terze parti", non ha individuato alcuna prova che dati dei clienti o informazioni riservate dei clienti siano stati oggetto di accesso da parte del ricercatore "o da qualsiasi altra terza parte non autorizzata", e che "i sistemi di cybersecurity di McKinsey sono solidi".

McKinsey e CodeWall differiscono, seppur lievemente, anche sulle tempistiche. La cronologia di CodeWall registra l'invio della propria email di divulgazione al team di sicurezza di McKinsey il 1° marzo 2026, con il CISO che ne conferma la ricezione e richiede prove dettagliate il 2 marzo, e le patch — tutti gli endpoint non autenticati chiusi, l'ambiente di sviluppo messo offline, la documentazione pubblica delle API bloccata — applicate lo stesso giorno, il 2 marzo. Il "nel giro di poche ore" di McKinsey è coerente con una correzione in giornata se il conteggio parte dall'email del 1° marzo, ma la sequenza datata di CodeWall colloca la remediation un giorno dopo la divulgazione anziché poche ore dopo. Entrambe le parti concordano sulla sostanza: gli endpoint sono stati chiusi e la documentazione pubblica è stata ritirata. CodeWall afferma di aver verificato la remediation prima di pubblicare. Il Financial Times ha riportato l'episodio il 12 marzo 2026 con il titolo "McKinsey si affretta a correggere il sistema di IA dopo che un hacker espone le falle"; il corpo dell'articolo è dietro un paywall che questo pezzo non è riuscito a leggere.

Che cosa è stabilito e che cosa non lo è

• Stabilito, da entrambe le parti: esisteva una debolezza non autenticata nella superficie API pubblica di Lilli, un ricercatore esterno l'ha scoperta, McKinsey l'ha confermata, ha corretto gli endpoint non autenticati, ha messo offline l'ambiente di sviluppo e ha bloccato la documentazione API pubblica all'inizio di marzo 2026.

• Stabilito da una sola parte: tutte le quantità in questo articolo — 46,5 milioni di messaggi, 728.000 nomi di file, 57.000 account, 95 prompt scrivibili, le due ore trascorse e i 27 risultati. Questi si basano sul resoconto di CodeWall. I payload non sono stati pubblicati, quindi i conteggi non possono essere riprodotti, e McKinsey non li avalla.

• Non dimostrato: che un prompt sia stato effettivamente alterato, che dati dei clienti abbiano lasciato il sistema o che un consulente abbia ricevuto una risposta manipolata. La revisione forense di McKinsey afferma di non aver trovato prove di accesso; CodeWall afferma che i suoi test erano solo di verifica. Queste due affermazioni non sono in conflitto, e nessuna delle due dimostra ciò che un attaccante meno prudente avrebbe fatto con lo stesso accesso.

• Non sono presenti nella copertura esaminata in questa sede: un identificatore CVE, un avviso di un'autorità di regolamentazione o un audit tecnico indipendente della vulnerabilità. Il record è una divulgazione di ricerca del fornitore insieme a una dichiarazione aziendale, non un atto giudiziario né un riscontro di vigilanza.

Un interesse dovrebbe essere dichiarato apertamente. CodeWall ha pubblicato la ricerca come marketing per un prodotto: il post si conclude descrivendo l'azienda come in anteprima iniziale e alla ricerca di partner di design, e Silicon UK ha riportato che Price è il suo unico dipendente. Ciò non rende errata la scoperta — The Register, Silicon UK e Promptfoo considerano tutti credibile la catena tecnica — ma è il motivo per cui le cifre sull'impatto dovrebbero essere lette come un'affermazione di un fornitore anziché come una misurazione.

Perché mai finisce nella categoria AI

Il punto d'ingresso non era il modello. Michael D'Angelo di Promptfoo lo ha affermato il 10 marzo 2026 nella formulazione più incisiva: "La parte specifica dell'IA non era il punto d'ingresso. Era il raggio d'impatto." L'iniezione, la lacuna di autenticazione e l'accesso incrociato tra utenti erano comuni falle di sicurezza applicativa; ciò che ha reso l'incidente un incidente IA è stato che prompt, impostazioni di instradamento e recupero e cronologia degli utenti risiedevano tutti in un unico backend, così l'accesso al database si è trasformato in controllo comportamentale su un assistente che decine di migliaia di persone consultano per il lavoro con i clienti.

Questo è il motivo per cui l'archivio classifica questo record come WEAPON e INFRA anziché come vulnerabilità del modello. L'agente è lo strumento — un sistema autonomo che ha selezionato da solo il proprio obiettivo, lo ha sondato e ha escalato senza che un essere umano decidesse dove indirizzarlo — e il guasto è infrastrutturale: un confine di autorizzazione dato per scontato anziché applicato. L'argomentazione conclusiva di CodeWall, secondo cui i prompt sono «i nuovi asset Crown Jewel» che raramente dispongono di controlli di accesso, cronologia delle versioni o monitoraggio dell'integrità, è promozione da parte di un'azienda che vende test automatizzati continui. È anche l'unica affermazione del post che non dipende da nessuno dei numeri contestati.