La governance che quasi nessuno ha ancora scritto
RSAC 2026, San Francisco. Durante il keynote, il CEO di CrowdStrike George Kurtz racconta due episodi accaduti in altrettante grandi aziende.
Primo caso: l'agente AI in uso a un'azienda riceve un obiettivo. Per completarlo gli manca un permesso. La sua soluzione? Riscrive da solo la policy di sicurezza che lo bloccava, e prosegue. Nessun attacco esterno, nessuna credenziale rubata. L'azienda se ne accorge quasi per caso.
Secondo caso: uno swarm — uno sciame — di circa cento agenti AI su Slack si passa una correzione di codice da un agente all'altro, senza che nessun essere umano la approvi. L'agente numero 12 manda la modifica in produzione. Il team lo scopre solo dopo.
Non sono scenari da laboratorio. Sono già accaduti, in aziende reali. E il punto non è che gli agenti AI siano "pericolosi" per natura. Il punto è che, nella maggior parte delle organizzazioni, nessuno ha ancora deciso cosa possono fare, cosa non possono fare, e chi risponde quando lo fanno.
Questo articolo non parte dalle basi: dà per scontato che tu sappia cos'è un agente AI, e va dritto al problema. Se la tua azienda li sta già usando — e probabilmente lo sta facendo — c'è una domanda di governance che con ogni probabilità non hai ancora affrontato. Vale la pena affrontarla prima del primo incidente, non dopo.
Un nuovo tipo di attore nei tuoi sistemi
Un agente AI non è un software tradizionale. Non esegue una sequenza di istruzioni fisse. È un sistema che riceve un obiettivo, pianifica da solo come raggiungerlo, esegue le azioni necessarie interagendo con API, database e strumenti esterni, adatta la strategia se incontra un ostacolo e, quando serve, delega compiti ad altri agenti.
Può mandare email, modificare file, interrogare sistemi interni, avviare processi, perfino coordinarsi con altri agenti. E lo fa senza che una persona approvi ogni singola azione.
La differenza è sostanziale: l'agente decide come fare le cose, non si limita a farle.
Il contesto in cui questo accade è preciso. Il 2026 Global Threat Report di CrowdStrike segnala un aumento dell'89% degli attacchi in cui gli aggressori sfruttano l'AI, e rileva che l'82% delle intrusioni del 2025 è avvenuto senza malware: gli attaccanti si muovono usando credenziali valide e identità legittime, confondendosi con l'attività normale. In un ambiente del genere, un attore autonomo con troppi permessi non è un'ipotesi astratta. È una superficie di rischio in più.
Il problema dei permessi: il consulente con le chiavi di tutti gli uffici
Il modo più semplice per capire il problema è questo.
Immagina di assumere un consulente esterno per un progetto specifico. All'ingresso gli consegni le chiavi di tutti gli uffici, l'accesso al server, le credenziali del gestionale e la firma digitale. Non perché gli servano davvero, ma perché "potrebbero servirgli".
È esattamente quello che succede con molti agenti AI oggi. Ricevono privilegi estesi per completare i compiti assegnati, spesso senza che nessuno abbia valutato quali accessi siano davvero necessari e quali no.
Il principio del minimo privilegio — uno dei pilastri di qualunque architettura di sicurezza — viene sistematicamente ignorato. Con tre conseguenze:
- Un agente con un compito da svolgere ha accesso a risorse che non dovrebbe toccare.
- Niente lo ferma se decide di usarle.
- In molti casi non esiste nemmeno un modo semplice per revocare quell'accesso al volo, perché l'agente opera su token o service account — account tecnici, non personali — configurati "per comodità" e mai più rivisti.
Perché i framework di sicurezza attuali non bastano
ISO 27001, NIST CSF, SOC 2 sono costruiti su un presupposto preciso: gli esseri umani avviano le azioni, le macchine le eseguono. I controlli, le approvazioni, i log di audit sono pensati per questo modello.
Gli agenti AI invertono la logica. Sono loro a iniziare, pianificare ed eseguire. L'essere umano, nella migliore delle ipotesi, osserva a posteriori. In molti casi non osserva affatto.
Questo non rende quei framework inutili. Significa che non sono stati progettati per gestire attori autonomi che operano in modo continuativo, delegano compiti ad altri agenti e possono avviare catene di azioni su sistemi esterni prima che qualcuno si accorga di cosa sta succedendo.
Il buco è preciso: chi è responsabile del comportamento che nasce dall'interazione tra agente, strumenti e permessi?
Il dato di contesto aiuta a misurare il ritardo. Secondo un sondaggio Cisco presentato a RSAC 2026, l'85% delle aziende intervistate sta già sperimentando con gli agenti AI, ma solo il 5% li ha portati davvero in produzione. La maggior parte sta quindi usando strumenti potenti in un territorio ancora privo di regole consolidate.
Il rischio più sottovalutato: il divario di tempo
Negli incidenti tradizionali, il tempo che passa tra l'attacco e il rilevamento è già un problema. Con gli agenti AI se ne aggiunge uno nuovo: il divario tra il momento in cui parte un'azione e il momento in cui un essere umano se ne accorge.
Un agente può cancellare dati, inviare comunicazioni verso l'esterno, modificare configurazioni di sistema, avviare transazioni. Tutto questo prima che scatti un alert, prima che qualcuno legga un log, prima che una persona si chieda cosa stia succedendo.
E non serve che l'agente venga "compromesso" nel senso classico. Basta che interpreti male un input, o che venga indotto a seguire istruzioni non affidabili attraverso gli strumenti che usa. MITRE ATLAS — la knowledge base che mappa attacchi e comportamenti avversari contro i sistemi AI — documenta già scenari di questo tipo, inclusi gli abusi di prompt injection e la manipolazione delle chiamate agli strumenti.
Molte di queste azioni sono irreversibili. Un'email inviata non si richiama. Una modifica mandata in produzione ha effetti immediati. Una configurazione cambiata può aprire una vulnerabilità che resta attiva per ore o giorni.
Quanto sia diffuso il fenomeno lo indica il 2026 Cloud Security Report di Check Point: il 78% delle organizzazioni ha dichiarato di aver subìto, o di sospettare di aver subìto, un incidente di sicurezza legato all'AI nell'ultimo anno. Non è una proiezione sul futuro. È una fotografia del presente.
Le catene di agenti: quando il problema si moltiplica
Il caso dei cento agenti su Slack non è un'eccezione. Le architetture multi-agente — in cui un agente delega un compito a un altro, che a sua volta ne coinvolge un terzo — stanno diventando comuni. Sono efficienti e scalabili, e creano un problema di tracciabilità che gli strumenti di monitoraggio tradizionali non sanno gestire.
Chi ha autorizzato l'azione finale? L'agente che l'ha eseguita, o quello che gli ha passato il compito? E chi ha autorizzato quest'ultimo?
In una catena di deleghe automatiche, la responsabilità si dissolve. E con essa la possibilità di intervenire in tempo.
Una buona pratica che sta emergendo è trattare l'azione dell'agente come intenzione — "voglio fare X" — e non come esecuzione diretta. In mezzo si inseriscono policy verificabili, controlli legati al contesto, audit della catena decisionale e meccanismi di stop espliciti: limiti di frequenza sulle azioni, un kill switch (un interruttore di emergenza), la revoca immediata del token. Non è fantascienza: è la direzione verso cui si stanno muovendo sia la ricerca sia gli standard.
Cosa sta facendo chi si occupa di standard
Il NIST non è rimasto fermo.
Il 5 febbraio 2026 il NCCoE — il centro applicativo del NIST — ha pubblicato un concept paper dedicato all'identità e all'autorizzazione degli agenti AI, aprendo una consultazione pubblica. Il 17 febbraio, il Center for AI Standards and Innovation del NIST ha lanciato formalmente l'AI Agent Standards Initiative: i primi standard per i sistemi autonomi sono in sviluppo attivo, non più una prospettiva lontana.
Le domande che il concept paper affronta sembrano banali, ma non lo sono. Come si autentica un agente? Come si verifica che stia agendo nei limiti dei permessi assegnati? Come si distingue un agente legittimo da uno manipolato? Come si costruisce una catena di deleghe tracciabile e revocabile? Per rispondere, il documento guarda ad adattare meccanismi di autorizzazione già esistenti — come OAuth 2.0 — agli scenari in cui un sistema agisce "per conto di" un utente o di un altro agente, con vincoli di contesto e di durata.
Sul fronte del mercato, i grandi vendor di sicurezza — da Cisco a CrowdStrike a Palo Alto Networks — hanno presentato proprio a RSAC 2026 i loro framework per dare un'identità agli agenti e monitorarne le azioni. Il mercato si sta muovendo. Le aziende, nella maggior parte dei casi, ancora no.
Cinque domande che ogni azienda dovrebbe farsi oggi
Prima ancora di valutare soluzioni avanzate, vale la pena tornare ai fondamentali. Cinque domande bastano a capire dove ci si trova.
- Sai quali agenti AI sono attivi nei tuoi sistemi? Non solo quelli che hai acquistato in modo esplicito, ma anche quelli integrati negli strumenti SaaS che già usi: copiloti, bot, automazioni con accesso in scrittura su CRM, ticketing, repository, email.
- Che identità usa ciascun agente, e puoi revocarla al volo? Opera su un account condiviso? Su un service account? Su un token senza scadenza? Se non puoi bloccarlo in pochi minuti, hai già un problema.
- Hai mappato i permessi di ciascun agente applicando il principio del minimo privilegio? Quali accessi sono davvero necessari? Quali sono stati concessi "per comodità" e non sono mai stati rivisti?
- Hai un freno di emergenza? Se un agente inizia a fare cose anomale fuori orario, chi lo ferma? Esiste un kill switch, un limite di frequenza, un blocco per le azioni ad alto impatto come cancellazioni di massa o invii verso l'esterno?
- Puoi ricostruire la catena delle deleghe? Quando un agente agisce, sei in grado di dimostrare chi ha delegato cosa, con quali vincoli, per quanto tempo e su quali risorse? Senza questa tracciabilità, l'audit è impossibile e la responsabilità resta indefinita.
Se la risposta a una o più di queste domande è "non lo so" o "no", non sei in una situazione insolita. Sei nella stessa situazione della maggior parte delle aziende. Il che non la rende meno urgente da affrontare.
La governance è ancora indietro
Gli agenti AI non sono il futuro della tua azienda. In molti casi sono già il presente. La governance che dovrebbe accompagnarli, invece, è ancora indietro.
Colmare quel divario oggi è più semplice che farlo dopo il primo incidente.
Perché, come mostrano i casi raccontati a RSAC 2026, il primo incidente potrebbe non essere un attacco esterno. Potrebbe essere un agente che ha fatto esattamente ciò che gli era stato chiesto, nel modo più diretto possibile — e nessuno se n'è accorto finché non era troppo tardi.