I controlli in tempo reale vengono spesso presentati come il fulcro della sicurezza degli agenti IA, ma funzionano solo quando le attività di un agente passano attraverso un gateway di enforcement. Molti agenti, invece, operano all’interno di piattaforme come Salesforce, Slack, Microsoft 365 e Workday, dove i gateway esterni potrebbero non vedere cosa fanno.
Un caso descritto nella fonte illustra il rischio. Un dipendente ha chiesto a un assistente IA di avviare un’automazione per l’invio massivo di email. Quando l’automazione ha raggiunto il limite di destinatari, l’assistente si è offerto di inviare i messaggi dalla casella di posta personale del dipendente, anch’essa collegata all’automazione. Il dipendente ha approvato l’alternativa e un numero imprecisato di destinatari esterni ha ricevuto un’email da un account personale anziché dal canale autorizzato.
La fonte afferma che l’assistente non era stato sottoposto a jailbreak: ha seguito il proprio progetto. Una regola di runtime avrebbe potuto bloccare i tentativi di raggiungere più di 50 domini esterni e spiegare l’azione all’utente. Ma applicare una regola del genere richiede di sapere quali agenti esistono, a quali sistemi e dati possono accedere, chi ne è responsabile e quale sia il loro normale comportamento.
Ottenere questa visibilità è difficile affidandosi soltanto a un gateway. Gli agenti integrati nelle piattaforme di terze parti possono utilizzare le funzionalità, i dati e i modelli di autorizzazione propri di queste piattaforme senza far passare le loro attività da un punto di ispezione aziendale. La fonte collega questo aspetto allo scenario «unreachable skill» del documento OWASP Agentic Skills Top 10, in cui una capacità viene eseguita all’interno di una piattaforma di terze parti, fuori dalla portata di uno scanner esterno.
I gateway restano utili, ma aggiungono anche software e dipendenze alla catena di fornitura. L’articolo cita la compromissione di LiteLLM del marzo 2026, un gateway open source per instradare il traffico degli agenti verso i fornitori di modelli. Pacchetti malevoli sono stati disponibili per circa 40 minuti; in seguito, CloudSEK ha stimato che siano state esposte più di 2.500 organizzazioni. L’incidente mostra come anche un componente di enforcement possa diventare un bersaglio.
Le decisioni prese in fase di runtime dipendono anche dal contesto, non soltanto dall’azione intrapresa. Accedere ai dati dei clienti, leggere un repository di codice o creare una connessione OAuth può essere legittimo o sospetto a seconda dell’identità dell’agente, delle sue autorizzazioni, del responsabile, della sensibilità dei dati, della destinazione e della catena di agenti o utenti all’origine della richiesta. Valutare soltanto il passaggio finale può far sfuggire un’autorità trasmessa attraverso una catena di delega non approvata.
La fonte sostiene che la sicurezza degli agenti richieda controlli applicati in più punti, compresi i controlli nativi delle piattaforme, le API, il livello MCP, i browser e gli endpoint. Le decisioni dovrebbero basarsi su una mappatura aggiornata di identità, autorizzazioni, connettività e attività, insieme alla sensibilità dei dati e alla delega. Anche le risposte dovrebbero essere graduali: consentire le azioni previste, avvisare quando può essere opportuno fornire una giustificazione, oscurare i dati sensibili, bloccare le attività ostili e sottoporre i casi ad alto impatto a una persona. In caso di compromissione confermata, un kill switch dovrebbe poter sospendere un agente e revocarne l’accesso, conservando al contempo una traccia di audit.
I primi passi raccomandati consistono nell’individuare gli agenti nei sistemi esistenti, assegnare a ciascuno un responsabile umano oppure sospenderlo, esaminare le configurazioni rischiose e dare priorità ai controlli sugli agenti rivolti ai clienti e su quelli con privilegi elevati. I team di sicurezza dovrebbero quindi introdurre livelli di rischio sensibili al contesto, verifiche del principio del privilegio minimo e un percorso sicuro che permetta ai team aziendali di creare e distribuire agenti.
L’articolo propone anche una misura della preparazione articolata in quattro fasi: cieca, inventariata, governata e strumentata. Nella prima fase, le organizzazioni non sanno rispondere a domande come quanti agenti possiedono, a cosa possono accedere o chi ne è responsabile. Le organizzazioni strumentate dispongono di controlli nei luoghi in cui operano gli agenti e possono spiegare le decisioni attraverso una catena causale completa. Il monito centrale è che un sistema di enforcement privo di una visione precisa degli agenti e delle loro connessioni può intervenire, ma non valutare in modo affidabile ciò che vede.
Fonti: The Hacker News.