TLDR

  • LLM grooming significa inondare il web di contenuti pensati per essere letti, indicizzati e ripetuti dai modelli IA, non dalle persone.
  • Secondo NewsGuard, nel 2025 dieci chatbot hanno ripetuto narrazioni della rete russa Pravda nel 33% dei casi; la rete aveva pubblicato circa 3,6 milioni di articoli nel solo 2024.
  • Nel 2026 il fenomeno è cresciuto: circa 6,3 milioni di articoli su circa 280 siti, e falsi articoli attribuiti a testate reali saliti dell'850% in un anno.
  • Il rischio maggiore è nei chatbot che cercano sul web in tempo reale: il RAG poisoning non deve compromettere il modello, gli basta inquinare le fonti.

Perché conta ora

Esistono siti che pubblicano migliaia di articoli al giorno e che quasi nessun essere umano legge.

Non è un errore di strategia. È la strategia.

La rete Pravda, una galassia di siti filorussi in decine di lingue, non è progettata per convincere te. È progettata per convincere il motore di ricerca, il crawler e, alla fine, il chatbot a cui farai la tua prossima domanda sull'Ucraina.

Il fenomeno ha un nome: LLM grooming. Saturare il web di propaganda finché i modelli linguistici non iniziano a ripeterla come se fosse un'informazione normale.

E i numeri del 2026 dicono che non stiamo parlando di un esperimento.

I numeri: dalla teoria all'audit

Marzo 2025, NewsGuard. L'audit su dieci chatbot popolari, tra cui ChatGPT, Copilot, Gemini, Claude, Grok, Meta AI, Le Chat di Mistral e Perplexity, ha prodotto 450 risposte a domande costruite su narrazioni false diffuse dalla rete Pravda. Nel 33,55% dei casi i chatbot hanno ripetuto la narrazione falsa. Tutti e dieci l'hanno fatto almeno una volta, e sette hanno citato direttamente articoli della rete come fonte.

Secondo l'American Sunlight Project, nel solo 2024 la rete aveva pubblicato circa 3,6 milioni di articoli, una stima probabilmente al ribasso.

I temi erano quelli prevedibili: l'Ucraina, gli aiuti militari americani, i presunti laboratori biologici, e anche storie costruite per toccare la politica statunitense, come quella di un'effigie di Trump bruciata dal battaglione Azov.

Luglio 2026, Demos. Il think tank britannico ha testato cinque modelli di xAI, OpenAI, Anthropic, Google e Mistral su 50 narrazioni tratte da una fonte sanzionata da Stati Uniti e Unione Europea, la finta ONG Foundation to Battle Injustice fondata da Evgenij Prigožin. Risultato: nel 16,6% delle risposte i modelli hanno trattato il materiale in modo utile alla propaganda, nel 30,9% hanno affrontato il tema senza segnalare che la fonte era sanzionata, nel 52% hanno smentito o respinto le affermazioni. Tutti e cinque i modelli hanno citato quella fonte in modo favorevole almeno una volta.

Settembre 2026, NewsGuard. La rete Pravda conta circa 280 siti e 6,3 milioni di articoli. Gli articoli falsi attribuiti a testate reali, da Euronews alla BBC fino a Repubblica e Vatican News, sono passati da 44 nel primo semestre 2025 a 421 nel primo semestre 2026: più 850%. In un caso l'AI Overview di Google ha presentato come vero un falso articolo attribuito a Le Point.

La frase che spiega tutto

A gennaio 2025, a Mosca, il propagandista filo-Cremlino John Mark Dougan, ex vicesceriffo americano rifugiato in Russia e collegato da Microsoft e dai ricercatori all'operazione Storm-1516, quella dei finti video contro la campagna Harris-Walz nelle presidenziali USA 2024, l'ha detto senza giri di parole.

"We can actually change worldwide AI."

Spingendo le narrazioni russe dal punto di vista russo, si può cambiare l'IA di tutto il mondo. Non serve hackerare OpenAI. Basta essere la fonte più abbondante su un certo argomento.

Come funziona: data poisoning e RAG poisoning

Ci sono due strade per far dire a un chatbot quello che vuoi.

La strada lenta: i dati di addestramento. Un modello impara da enormi quantità di testo raccolte dal web. Se su un argomento di nicchia la maggior parte dei testi disponibili viene da una rete di propaganda, il modello assorbirà quella prospettiva. Funziona meglio sui temi dove le fonti affidabili scarseggiano: i cosiddetti vuoti di dati.

La strada veloce: il RAG. RAG significa retrieval-augmented generation: il chatbot cerca sul web al momento della domanda e usa i risultati per costruire la risposta. Qui non serve aspettare il prossimo addestramento. Basta che il tuo articolo compaia nei risultati di ricerca. Demos lo chiama esplicitamente RAG poisoning, ed è il motivo per cui le reti puntano tutto sulla quantità e sull'ottimizzazione per i motori di ricerca.

La rete Pravda è difficile da bloccare perché aggiunge continuamente nuovi domini. Blocchi un sito, ne nascono altri tre con nomi neutri e locali.

Perché è un problema di sicurezza, non solo di informazione

Per chi lavora in cybersecurity questo meccanismo dovrebbe suonare familiare. È una supply chain attack sulla conoscenza.

Il modello è il software, le fonti web sono le dipendenze. Chi controlla una dipendenza abbastanza diffusa controlla il comportamento del software, senza toccare il codice.

E il problema non riguarda solo la geopolitica:

  • un assistente aziendale con RAG su web aperto può riportare informazioni false su un fornitore, un concorrente o una vulnerabilità;
  • un agente che decide azioni sulla base di ricerche web può essere guidato verso fonti preparate apposta;
  • la stessa tecnica può spingere pacchetti software, link malevoli o falsi tutorial.

Abbiamo già visto la versione per sviluppatori: modelli che suggeriscono pacchetti inesistenti, che qualcuno poi registra con codice malevolo. La logica è identica: occupare lo spazio dove l'IA va a cercare.

Cosa controllare

Se usi i chatbot per informarti:

  • apri le fonti citate e guarda chi le pubblica;
  • diffida di siti con nomi generici, tipo "notizie" più nome di una città, che non riconosci;
  • su temi geopolitici chiedi esplicitamente fonti primarie e testate verificabili;
  • confronta la risposta con almeno una fonte giornalistica che conosci.

Se costruisci sistemi con RAG:

  • limita la ricerca a fonti allowlistate quando il dominio lo permette;
  • usa liste di domini noti per disinformazione come blocklist, aggiornate;
  • mostra sempre le fonti all'utente e segnala quelle a bassa reputazione;
  • separa le istruzioni del sistema dai contenuti recuperati, che possono contenere anche prompt injection;
  • testa il sistema con domande su temi dove sai che esistono campagne attive.

Errori comuni

"Il chatbot ha detto così, quindi c'è una fonte." Avere una fonte non significa avere una fonte affidabile. Il problema è proprio che la fonte esiste ed è stata scritta per questo.

"I modelli si correggono da soli." Le aziende migliorano filtri e ranking, ma le reti cambiano dominio più velocemente di quanto vengano bloccate.

"È roba russa, a me non tocca." La tecnica è replicabile da chiunque: stati, aziende, truffatori. Oggi è propaganda, domani recensioni false o finti advisory di sicurezza.

"Basta non usare l'IA per le notizie." I motori di ricerca integrano risposte generate direttamente in pagina. Molte persone leggono la sintesi senza cliccare.

La cosa da ricordare

La propaganda tradizionale cercava lettori. L'LLM grooming cerca crawler.

Il bersaglio non sei più tu davanti allo schermo: è il sistema a cui deleghi la lettura. E un sistema che legge tutto, senza criterio, ripete tutto, senza criterio.

Per il lato tecnico della manipolazione tramite contenuti: Morris II, il worm AI che si propaga a prompt e Hallusquatting: i pacchetti fantasma suggeriti dagli AI coding assistant.

FAQ

Che cos'è l'LLM grooming?

È una strategia di disinformazione che punta a saturare il web e i dati di addestramento con propaganda, così che i modelli linguistici tendano a riprodurre quelle narrazioni. Il termine è stato coniato dall'American Sunlight Project.

Che cos'è la rete Pravda?

È una rete di siti di propaganda filorussa, nota anche come Portal Kombat, identificata dall'agenzia francese Viginum nel 2024. Ripubblica in molte lingue contenuti di media statali russi e di influencer filo-Cremlino, con volumi enormi e traffico umano molto basso.

Quali chatbot sono stati influenzati?

Nell'audit NewsGuard del 2025 tutti e dieci i chatbot testati, tra cui ChatGPT, Copilot, Gemini, Claude, Grok, Meta AI, Mistral e Perplexity, hanno ripetuto almeno una narrazione della rete. Nel 2026 uno studio di Demos ha trovato citazioni favorevoli a una fonte sanzionata in tutti e cinque i modelli testati.

Che differenza c'è tra data poisoning e RAG poisoning?

Il data poisoning contamina i dati con cui il modello viene addestrato. Il RAG poisoning contamina le fonti che il chatbot recupera dal web o da un archivio al momento della risposta. Il secondo è più rapido: basta essere trovati dal motore di ricerca.

Come mi difendo come utente?

Controllando le fonti citate dal chatbot, diffidando di siti sconosciuti con nomi generici, verificando le notizie su testate originali e trattando le risposte su temi geopolitici come un punto di partenza, non come una sentenza.

Fonti