// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
Gli agenti AI autenticati sono ancora un problema (serio) da gestire
Un agente AI supera l'autenticazione aziendale, riceve un token valido, e da quel momento è libero di agire quanto un dipendente appena assunto. Il controllo di identità risponde a una sola domanda, chi sei, mai a quella più scomoda, cosa puoi fare una volta dentro. Chi ha messo a fuoco il problema lo descrive come un errore d'ordine ricorrente: le aziende decidono se bloccare o permettere un'azione prima di aver stabilito chi è l'agente, per conto di chi lavora, e con quali strumenti.
Una falla in un gateway AI molto diffuso, LiteLLM, ha permesso l'esecuzione di codice da remoto senza alcuna autenticazione, ed è stata sfruttata prima che il fornitore la correggesse. È entrata nel catalogo delle vulnerabilità note e sfruttate della sicurezza informatica statunitense a giugno 2026, concatenata a una seconda falla che apriva l'accesso completo al sistema. Chi passava da quel gateway con credenziali valide si è trovato con la porta di servizio spalancata proprio nel punto che avrebbe dovuto stabilire chi era, e per conto di chi agiva.
Le aziende che hanno già iniziato a trattare gli agenti come dipendenti ad alto rischio conoscono il primo scenario, il "drift": l'agente si allontana dal compito assegnato un passo alla volta, mentre il sistema che controlla solo il token lo lascia proseguire indisturbato. Ogni passo sembra ragionevole preso da solo, ed è la somma a portare fuori strada.
Il secondo è l'esposizione di dati fuori perimetro. Un agente con permessi troppo ampi può leggere o spostare informazioni estranee al compito assegnato, con le stesse credenziali che ha usato per accedere legittimamente. Nessuno restringe quei permessi dopo averli concessi, e l'accesso resta aperto anche quando il compito assegnato è già concluso.
Il terzo è il "memory poisoning": un input costruito ad arte altera nel tempo le istruzioni interne che l'agente porta da una sessione all'altra, e il comportamento cambia di conseguenza. Un prompt nascosto in un documento può bastare a corrompere la memoria, senza che nessuno lo veda passare. Nessuno ha toccato il codice: a cambiare è stata la memoria che il codice legge.
I sei livelli funzionano solo in sequenza. Si parte da un inventario che assegna a ogni agente un proprietario, uno scopo dichiarato, gli strumenti che può usare e un ciclo di vita definito: senza questo censimento, il resto poggia sul nulla. Il secondo livello dà all'agente un'identità distinta da chi lo ha messo in funzione, con un contesto di delega che dice per conto di chi sta agendo in quel momento.
Il terzo livello sostituisce le credenziali permanenti con credenziali a scadenza e accessi ristretti alla sessione: un agente compromesso eredita solo ciò che gli serviva in quella sessione, un sottoinsieme minuscolo del sistema che lo ospita. Il quarto costruisce una telemetria attribuibile, capace di ricostruire ogni azione dall'inizio fino al suo effetto a valle. È solo a questo punto, con i primi quattro livelli già in piedi, che ha senso applicare il quinto: l'enforcement a runtime, decisioni di policy che guardano al contesto di agente, principal, compito e azione, invece di fermarsi al token.
Il sesto livello è il "kill switch": una baseline di comportamento atteso, più la capacità di disattivare l'autorità di un agente ovunque stia operando in quel momento. L'ordine tra questi sei livelli ha una logica precisa: applicare il quinto senza aver costruito i primi quattro significa filtrare le azioni di un agente con identità ignota, principal indefinito e margine di manovra mai fissato. È esattamente l'errore di sequenza che lascia aperta la porta di servizio in un gateway già autenticato: enforcement prima del contesto.
Un concept paper pubblico ha formalizzato la stessa sequenza livello per livello, insieme a una nuova iniziativa sugli standard per gli agenti software e AI. Conta, perché a scrivere queste regole è, in questo caso, un ente pubblico senza margine commerciale sul risultato.
Le organizzazioni che danno ai