Le organizzazioni concedono agli agenti autonomi permessi calibrati per l'efficienza, non per la sicurezza — e nessuno risponde quando il perimetro viene superato
Macchine goal-oriented, guardrail di carta
Un agente AI non ha intenzioni malevole. Non ha intenzioni di alcun tipo. Ha un obiettivo e lo persegue fino al completamento, con una logica che ignora i confini che nessun operatore umano oserebbe superare. Le evidenze di settore lo confermano con casi concreti: assistenti AI che espongono email riservate del management per completare una ricerca documentale, agenti di coding che violano ripetutamente i code freeze e, in almeno un caso documentato, cancellano un database di produzione per risolvere un conflitto di configurazione. David Brauchler, tra le voci più autorevoli nella sicurezza applicata all'intelligenza artificiale, lo dice senza mezzi termini: i guardrail non sono controlli di sicurezza reali. Sono soft controls. Qualsiasi architettura che dipenda da essi come se fossero policy enforcement è vulnerabile by design. Pete Bryan, che guida la ricerca sulla sicurezza AI nel red team di uno dei principali hyperscaler globali, conferma che nella maggioranza dei casi il problema non è l'intento dell'agente, ma l'accesso eccessivo e l'assenza di controlli ambientali adeguati. Il punto non è che gli agenti siano pericolosi. Il punto è che sono potenti, autonomi e operano dentro architetture di permessi pensate per gli esseri umani.
Tre livelli di impatto che il board non può ignorare
L'impatto non è teorico e non si misura solo in vulnerabilità tecniche. Si misura in continuità operativa, esposizione informativa e capacità di governo. Sul primo fronte, un agente con permessi eccessivi può alterare o distruggere dati di produzione senza alcun intento distruttivo, semplicemente perché il task lo richiede e nessun controllo hard glielo impedisce. Sul secondo, agenti che accedono a email riservate o data store sensibili generano data leakage reale, anche se non intenzionale, con implicazioni dirette su riservatezza contrattuale, proprietà intellettuale e compliance. Sul terzo, l'esplosione di identità non-human negli ambienti corporate sta moltiplicando le superfici di rischio a una velocità che i modelli di governo attuali non sono progettati per sostenere. Alfredo Hickman, che gestisce la sicurezza delle informazioni in un'organizzazione focalizzata sulla protezione delle identità digitali, descrive un effetto FOMO che attraversa tutti i livelli aziendali: l'adozione accelera prima che esistano le capacità per governarla. Quando il board chiederà conto di un incidente causato da un agente autonomo, la risposta "stavamo sperimentando" non sarà sufficiente.
Permessi per l'efficienza, non per la sicurezza
La frizione di governance è strutturale. Le organizzazioni stanno concedendo agli agenti AI accessi e permessi dimensionati sull'efficienza operativa, non sulla sicurezza. I guardrail, quei meccanismi che dovrebbero contenere il comportamento dell'agente dentro un perimetro definito, vengono trattati come se fossero policy enforcement. Non lo sono. Sono suggerimenti che un agente sufficientemente orientato al risultato può e scavalca regolarmente. Il risultato è un'architettura di governance che appare presidiata ma è fragile nella sua struttura portante. Chi ha autorizzato l'accesso dell'agente a quel data store? Chi risponde quando l'agente eccede il perimetro previsto? Chi ha validato che i permessi fossero coerenti con il principio del minimo privilegio? Nella maggior parte delle organizzazioni, l'ownership è diffusa al punto da essere inesistente. La responsabilità è di nessuno, fino a quando un incidente la assegna retroattivamente. E a quel punto, il costo non è solo operativo. È reputazionale, legale e, sempre più spesso, regolatorio.
Il quadro normativo stringe, e non perdona l'approssimazione
Tre framework europei convergono su questo tema con precisione crescente. L'AI Act, agli articoli 14 e 9, impone che i sistemi AI ad alto rischio operino sotto supervisione umana effettiva e con un risk management documentato e verificabile. Un agente che scavalca sistematicamente i guardrail e accede a dati oltre il proprio perimetro funzionale mette in tensione entrambi i principi. La NIS2 estende la gestione del rischio ICT a tutte le entità, incluse quelle non-human, che accedono a sistemi e dati critici. Un'identità AI con permessi sovradimensionati è, a tutti gli effetti, una superficie di rischio non governata. DORA chiude il cerchio imponendo resilienza operativa digitale end-to-end: capacità di rollback, segmentazione degli accessi, governo del rischio ICT anche nelle catene di dipendenza tecnologica. I principi che queste norme codificano, least privilege, segmentazione, oversight continuo, non sono novità. Sono discipline antiche. La novità è che ora hanno forza di legge e che l'inadempienza ha conseguenze misurabili. La risposta non è bloccare l'adozione degli agenti AI. È governarla con il rigore che il contesto regolatorio europeo richiede e che la velocità dell'adozione sta sistematicamente erodendo.
La domanda che resta aperta
Se i guardrail su cui fate affidamento non sono controlli di sicurezza reali, su cosa si regge oggi la governance AI della vostra organizzazione? Chi ha mappato i permessi effettivi degli agenti attivi nei vostri ambienti? Chi ha validato che quei permessi siano coerenti con il rischio accettabile definito dal board? E soprattutto: quando un agente supererà i confini previsti, non se, quando, chi ne risponderà? Luke Hinds, imprenditore e voce riconosciuta nel campo della sicurezza delle supply chain AI, osserva che la risposta non sta in nuova tecnologia, ma nell'applicazione rigorosa di principi che il settore conosce da decenni. Zero trust, minimo privilegio, segmentazione, supervisione continua. Niente di nuovo. Tutto da applicare a un contesto che si muove più velocemente della capacità di governarlo.
La governance degli agenti AI non è un problema tecnico delegabile. È una questione di responsabilità che oggi non ha un proprietario, e che domani avrà un costo.