L’Agentic AI è una delle innovazioni che sta trasformando più rapidamente il panorama tecnologico. Dagli assistenti digitali agli strumenti di automazione di rete, fino ai servizi SaaS multi-tenant, questi agenti di intelligenza artificiale sono in grado di agire per conto di utenti e aziende, eseguendo attività complesse, dinamiche e ad alto impatto con un livello di autonomia senza precedenti.
Proprio questa potenza e imprevedibilità, tuttavia, rappresentano una sfida significativa per la sicurezza, spesso sottovalutata. Nella loro essenza, gli agenti AI non sono altro che workload: componenti software in esecuzione all’interno di un’infrastruttura. Ed è proprio così che i professionisti della sicurezza devono considerarli, applicando lo stesso rigore in termini di autenticazione e autorizzazione che, nel corso dei decenni, è stato sviluppato per proteggere i workload tradizionali. Ignorare questo principio e consentire agli agenti di operare senza controlli adeguati significa esporsi a rischi estremamente elevati.
I rischi di un’Agentic AI senza controlli
Il problema principale degli agenti non verificati è che le loro azioni sono spesso indistinguibili da quelle degli utenti che li utilizzano, pur disponendo di privilegi di accesso tali da poter causare violazioni potenzialmente devastanti. Per proteggere i sistemi tradizionali sono stati sviluppati, nel corso degli anni, standard, best practice e modelli di sicurezza consolidati, frutto di esperienza e lezioni apprese sul campo. Ignorare questo patrimonio di conoscenze per inseguire una tecnologia nuova e in rapida evoluzione sarebbe una scelta profondamente irresponsabile.
Molti agenti operano direttamente sul dispositivo del singolo utente e spesso ne ereditano l’intero contesto operativo e i privilegi di accesso. In assenza di un’autenticazione esplicita dell’agente, il traffico in uscita generato da quest’ultimo viene percepito dalla rete come semplice traffico dell’utente. Se l’utente è un dipendente, sarà quindi formalmente considerato responsabile dell’azione, anche se a fare clic sul link dannoso o a condividere il file sensibile è stato l’agent.
Inoltre, un agente può avere accesso a tutte le risorse disponibili per l’utente: documenti interni riservati, posta elettronica aziendale e file personali. Se l’agente viene compromesso, oppure agisce in modo indesiderato a causa della sua natura intrinsecamente “caotica”, può esfiltrare dati altamente sensibili verso destinazioni non autorizzate.
Gli agenti specifici di un’azienda, accessibili da più utenti, rappresentano una minaccia ancora maggiore: possono infatti facilitare movimenti laterali e abusi dei privilegi. Questi agenti spesso dispongono di ampi livelli di accesso alle risorse aziendali (strumenti, servizi e repository di dati) necessari per svolgere le proprie funzioni. Di conseguenza, possono aggirare i meccanismi di autorizzazione degli utenti.
Ad esempio, a un dipendente potrebbe essere correttamente negata la visualizzazione dei dati relativi alle retribuzioni dei colleghi. Tuttavia, se l’agente esegue una richiesta del dipendente senza considerare le specifiche limitazioni di autorizzazione associate a quell’utente, potrebbe utilizzare i propri privilegi aumentati per recuperare i dati salariali e fornirli al dipendente. In questo modo, l’agente diventa inconsapevolmente uno strumento di escalation dei privilegi, consentendo agli utenti di accedere a informazioni alle quali era stato loro esplicitamente negato l’accesso.
In ogni caso, la mancata implementazione di controlli adeguati trasforma un potente strumento di business in una grave vulnerabilità di sicurezza. Un sistema di agentic AI che non è in grado di dimostrare la propria identità o lo scopo per cui è autorizzato a operare, è, di fatto, un workload ad alto rischio in attesa di essere compromesso.
I sette pilastri dell’autenticazione dell’Agentic AI
I controlli di sicurezza necessari possono essere implementati sulla base di standard esistenti e consolidati, basati sui principi dello Zero Trust, utilizzando sette componenti fondamentali. Innanzitutto, ogni agente deve avere un’identità unica e verificabile, ovvero un “nome” confermato. Questo può essere ottenuto utilizzando standard già ampiamente adottati per l’identità dei workload digitali, come WIMSE (Workload Identity in Multi-Systems Environment). A questo segue il tema delle credenziali: l’agente deve essere in grado di dimostrare l’identità dichiarata, attraverso la generazione e la gestione di chiavi digitali sicure e a breve durata. Queste chiavi devono essere conservate in ambienti altamente protetti per impedirne il furto.
L’autenticazione è efficace solo se l’agente opera in un ambiente sicuro e conforme alle aspettative. Il passaggio successivo deve quindi verificare che l’agente sia in esecuzione sul dispositivo corretto e che il software non sia stato manomesso. Il provisioning è il processo che consente di assegnare in modo sicuro un’identità all’agente, nonché di emettere e rinnovare le sue chiavi digitali durante il funzionamento.
Una volta identificato e configurato, l’agente deve essere autenticato, utilizzando le proprie credenziali per dimostrare la propria identità agli altri sistemi. Il metodo più efficace dipende dal contesto operativo: per i sistemi interni possono essere utilizzati protocolli di sicurezza specifici, mentre per il traffico web generale possono essere adottati meccanismi differenti.
Segue poi il processo di autorizzazione, che può essere gestito sfruttando il framework consolidato di OAuth 2.0, in grado di definire con precisione quali azioni l’agente è autorizzato a compiere. L’accesso dovrebbe essere estremamente limitato e circoscritto a una singola azione, uno specifico scopo o una determinata destinazione, così da prevenire l’abuso dei privilegi assegnati. Per qualsiasi attività sensibile o ad alto rischio, è fondamentale introdurre un meccanismo Human-in-the-Loop (HitL), che richiede all’utente una conferma esplicita prima che l’agente esegua l’azione. Infine, considerando l’intrinseca imprevedibilità dell’Agentic AI, il monitoraggio assume un ruolo essenziale. Gli agenti devono registrare la loro attività, documentando le azioni eseguite e, idealmente, anche il processo decisionale alla base delle loro scelte. Questo controllo di monitoraggio e remediation è indispensabile per governare un sistema complesso e garantire un adeguato livello di sicurezza.
La necessità di un approccio Zero Trust
In definitiva, l’implementazione di questo framework evidenzia l’importanza di un ecosistema Zero Trust per l’Agentic AI. La sicurezza non può basarsi esclusivamente sul comportamento corretto dell’agente o sulla corretta implementazione di questi standard. Una piattaforma di sicurezza Zero Trust fornisce il livello esterno di controllo necessario per proteggere questi workload.
Per gli agenti specifici di un utente, le funzionalità di raccolta di contesto dell’endpoint possono garantire l’attribuzione delle attività a livello applicativo, anche nel caso in cui l’agente sia stato implementato in modo non adeguato.
È possibile stabilire che il traffico non proviene semplicemente da un dipendente, ma da un dipendente che sta utilizzando uno specifico processo basato su un LLM per il processo decisionale, consentendo così l’applicazione di controlli più rigorosi in base alle policy.
Per gli agenti specifici di un’azienda, una piattaforma di sicurezza Zero Trust può fornire ulteriore contesto e introdurre meccanismi di autorizzazione più solidi, garantendo che i permessi specifici dell’utente vengano mantenuti anche attraverso l’agente quando quest’ultimo accede a strumenti e dati, evitando così escalation dei privilegi. Infine, per gli agenti SaaS multi-tenant, devono essere applicati controlli DLP (Data Loss Prevention) e di gestione degli accessi, indipendentemente dal fatto che l’agente sia considerato “fidato”. Questo è fondamentale per impedire la condivisione di informazioni sensibili sia verso l’agente sia dall’agente verso l’utente.
Proteggere il futuro dell’Agentic AI
L’Agentic AI non è una semplice tendenza passeggera, ma un’innovazione destinata a trasformare profondamente il modo in cui operano le aziende. Sebbene le opportunità in termini di efficienza e crescita siano enormi, è fondamentale mantenere alta l’attenzione e garantire che il progresso tecnologico non superi la capacità delle aziende di adottare adeguate misure di sicurezza.
Attraverso l’adozione proattiva dei principi consolidati di identità dei workload e Zero Trust, le aziende possono creare una solida base di sicurezza. Questo approccio garantisce che ogni agente AI sia correttamente autenticato e autorizzato in modo esplicito per ogni attività eseguita, riducendo in modo efficace i rischi.
Questa evoluzione consente di trasformare il potenziale caos di un ambiente AI non supervisionato in un ecosistema controllato, prevedibile e, in ultima analisi, sicuro, capace di generare valore significativo per il business. Il futuro dell’AI enterprise dipende dalla capacità di adottare oggi un approccio security-first.
Yaroslav Rosomakho, Chief Scientist di Zscaler
