Proteggere gli agenti IA come dipendenti
Gli agenti stanno diventando infrastruttura della forza lavoro
La prompt injection non è più tutta la storia. Quando gli agenti IA ottengono strumenti, memoria e autonomia, la sicurezza deve governare l’intero sistema, non solo il modello.
Punti chiave
- Gli agent con tool e memoria necessitano di access control come i dipendenti.
- La prompt injection è solo parte del rischio—contano permessi e flusso dei dati.
- Tieni i segreti fuori dai prompt dell’agent; consegnali tramite canali controllati.
- Registra le azioni e limita strettamente le credenziali nei workflow autonomi.
Negli ultimi anni l’industria dell’IA si è concentrata quasi ossessivamente sulla prompt injection, cioè sul rischio che un prompt malevolo induca un chatbot a produrre una risposta non prevista.
Ma la prompt injection non è più tutta la storia.
I sistemi di IA di oggi stanno evolvendo rapidamente da assistenti passivi ad agenti autonomi. Non si limitano più a rispondere a domande. Accedono a file, leggono e-mail, invocano API, eseguono workflow multi-step e prendono decisioni operative per conto degli utenti.
Nel momento in cui un sistema di IA acquisisce la capacità di agire, il manuale della sicurezza cambia completamente.
Un recente paper USENIX Security 2026, SoK: Attack and Defense Landscape of Agentic AI Systems di Kim et al., offre una delle analisi più complete finora sulla sicurezza degli agenti. I ricercatori hanno esaminato 128 articoli accademici, identificato 51 tecniche di attacco e 60 strategie di difesa, e proposto un framework per comprendere le nuove sfide di sicurezza dei sistemi IA autonomi.
La conclusione centrale è semplice:
Per le organizzazioni che costruiscono, distribuiscono o usano prodotti basati su IA, dovrebbe essere un campanello d’allarme.
Più autonomia ottiene un agente IA, più ampia diventa la sua superficie di attacco.
Perché la sicurezza degli agenti è diversa
Il software tradizionale segue una logica predefinita. Le applicazioni LLM tradizionali generano soprattutto testo. I sistemi agentici funzionano diversamente.
Combinano modelli linguistici con strumenti esterni, sistemi di memoria, database, API e capacità decisionali autonome. Un agente aziendale può leggere un’e-mail in arrivo, recuperare informazioni dalla documentazione interna, interrogare un CRM, aggiornare un database e inviare una risposta, tutto dentro un unico workflow.
Questa flessibilità è ciò che rende gli agenti così potenti. È anche ciò che li rende difficili da mettere in sicurezza.
Il paper USENIX sostiene che concentrarsi solo sulla sicurezza del modello non basta. La sicurezza deve essere valutata lungo l’intero ecosistema dell’agente: modello, memoria, strumenti, fonti dati e azioni che può eseguire.
Le sette dimensioni del rischio degli agenti
I ricercatori identificano sette dimensioni chiave che influenzano la postura di sicurezza di un agente:
- Fiducia nell’input — Da dove provengono le informazioni?
- Sensibilità dell’accesso ai dati — A quali informazioni può accedere l’agente?
- Autonomia del workflow — Può decidere autonomamente cosa fare dopo?
- Capacità di azione — Può modificare, eliminare o trasmettere dati?
- Persistenza della memoria — Le informazioni persistono tra sessioni?
- Disponibilità degli strumenti — Quali sistemi esterni può invocare?
- Potere dell’interfaccia utente — Quanto può influenzare le decisioni dell’utente?
Considera la differenza tra un chatbot di assistenza clienti e un assistente esecutivo autonomo.
Ogni capacità aggiuntiva aumenta l’utilità. Ma amplia anche la superficie di attacco e crea nuove opportunità di abuso, manipolazione o comportamento indesiderato.
La sicurezza diventa meno una questione di proteggere un modello e più una questione di governare un sistema complesso.
Il contesto è il nuovo confine di sicurezza
Per decenni la cybersecurity si è concentrata su tre principi: confidenzialità, integrità e disponibilità. Restano essenziali.
Ma l’IA agentica introduce una nuova sfida: la sicurezza contestuale.
Un agente può avere autenticazione forte, comunicazioni cifrate e controlli di accesso rigorosi, e fallire comunque in modo catastrofico perché agisce su informazioni malevole o manipolate.
Immagina un agente che elabora un PDF apparentemente innocuo caricato da una parte esterna. Istruzioni nascoste nel documento gli dicono di ignorare le indicazioni precedenti, recuperare informazioni sensibili e trasmetterle altrove.
Questa distinzione conta perché molti attacchi IA emergenti sfruttano il flusso delle informazioni invece di vulnerabilità software tradizionali.
Il sistema non è stato compromesso tramite credenziali rubate.
L’infrastruttura non è stata violata.
L’agente ha semplicemente seguito il contesto sbagliato.
Per i sistemi agentici, il contesto diventa un confine di sicurezza importante quanto autenticazione, cifratura o segmentazione di rete.
Perché la memoria crea nuovi rischi
La memoria dell’IA viene spesso presentata come una funzione di esperienza utente. L’argomento è semplice: una memoria migliore abilita una personalizzazione migliore.
Ma la memoria crea anche persistenza. E la persistenza crea rischio.
Il paper USENIX evidenzia come gli attaccanti possano tentare di avvelenare archivi di memoria a lungo termine con istruzioni malevole o informazioni fuorvianti. Una volta scritto in memoria, quel contenuto può influenzare decisioni future molto dopo la fine dell’interazione originale.
A differenza di un attacco temporaneo di prompt injection, l’avvelenamento della memoria può persistere attraverso workflow, utenti e tempo. Il risultato è una sfida di sicurezza fondamentalmente diversa.
La memoria non è più solo una funzione comoda.
La memoria è infrastruttura.
E l’infrastruttura richiede governance.
Gli agenti più pericolosi sono quelli con permessi
I rischi maggiori dell’IA agentica non derivano necessariamente dall’intelligenza del modello. Derivano dall’autorità che gli viene concessa.
Un modello che genera un paragrafo sbagliato è un inconveniente. Un agente con accesso a record clienti, documenti interni, sistemi finanziari, piattaforme di comunicazione e strumenti di automazione può produrre conseguenze nel mondo reale.
Man mano che le organizzazioni collegano gli agenti a sistemi sempre più potenti, l’attenzione deve spostarsi dalla capacità del modello al controllo operativo.
La domanda critica non è più “Quanto è intelligente il modello?”. È: “Che cosa è autorizzato a fare il modello?”
Costruire sistemi agentici affidabili
La lezione più ampia del paper è che la sicurezza degli agenti richiede difesa in profondità.
Le organizzazioni che distribuiscono agenti IA dovrebbero dare priorità a:
- Dati fidati vs non fidati — Separazione forte tra fonti dati fidate e non fidate
- Confini dei permessi — Limiti espliciti su ciò che gli agenti possono fare
- Governance della memoria — Controlli per i sistemi di memoria a lungo termine
- Approvazione umana — Conferma per operazioni ad alto rischio
- Audit e osservabilità — Logging e monitoraggio completi
- Policy di accesso agli strumenti — Regole chiare per le integrazioni esterne
Questi principi rispecchiano pratiche di cybersecurity consolidate perché, sempre più spesso, gli agenti IA assomigliano a dipendenti più che a funzionalità software.
La lezione più grande
Il settore descrive spesso gli agenti IA come dipendenti digitali. L’analogia diventa sempre più accurata.
I dipendenti ricevono formazione. Operano sotto policy. Hanno permessi definiti. Sono monitorati. Possono commettere errori.
Gli agenti IA non sono diversi. L’unica differenza è che possono commettere errori alla velocità della macchina.
I prodotti IA di maggior successo nel prossimo decennio non avranno semplicemente i modelli più capaci. Avranno l’architettura di fiducia più solida.
L’intelligenza attira gli utenti.
La fiducia li trattiene.
Proteggere il contesto, non solo i dati
In PrivateNote.ai crediamo che proteggere il contesto stia diventando importante quanto proteggere i dati stessi. Man mano che i sistemi IA ottengono accesso a più note personali, conoscenza aziendale e workflow operativi, la sicurezza deve estendersi oltre archiviazione e cifratura per includere le informazioni che gli agenti consumano, ricordano e su cui agiscono.