Kaspersky ha pubblicato il 7 ottobre 2026 linee guida sulla sicurezza degli agenti AI nelle infrastrutture aziendali. L’approccio, denominato Cyber Immunity, punta a contenere i danni da errori, abusi delle autorizzazioni e compromissioni.
Il report AI agent security through the lens of Cyber Immunity esamina impieghi, livelli di autonomia e incidenti. Il tema riguarda sistemi che usano strumenti e intervengono sui processi aziendali.
Perché gli agenti AI richiedono controlli sulle azioni
Un agente può consultare dati, chiamare servizi e modificare risorse per completare un compito. I rischi riguardano quindi anche gli effetti delle operazioni eseguite. La guida di OWASP sulla sicurezza degli agenti segnala, tra gli altri problemi, l’abuso degli strumenti, l’esposizione di dati sensibili e un’autonomia eccessiva.
Il principio del minimo privilegio limita gli accessi a ciò che serve per la singola attività. Un agente incaricato di leggere documenti, per esempio, dovrebbe disporre di autorizzazioni coerenti con quel compito. È il problema già affrontato nell’approfondimento sugli agenti AI fuori controllo e sul rischio insider.
I quattro principi della Cyber Immunity
Le indicazioni di Kaspersky si articolano in quattro punti:
- Definire la fiducia in fase di progetto: trattare modelli linguistici e dati esterni come non affidabili; richiedere conferma umana per azioni irreversibili.
- Ridurre i componenti fidati: mantenere piccola la Trusted Computing Base, l’insieme degli elementi dai quali dipende la sicurezza.
- Isolare gli ambienti: separare contesti e agenti con sandbox e macchine virtuali.
- Negare ciò che non è autorizzato: controllare chiamate agli strumenti, parametri e traffico; impedire modifiche autonome alla catena di dipendenze.
Le raccomandazioni per CISO, CIO e CTO comprendono anche un inventario degli agenti, regole di isolamento e controlli sui componenti dai quali dipendono.
Il controllo deve comprendere strumenti e parametri
Un’autorizzazione generica a usare uno strumento lascia aperta la questione delle operazioni consentite. OWASP raccomanda di verificare anche i parametri delle chiamate: tipo, lunghezza e valori ammessi devono rispettare regole definite prima dell’esecuzione.
La distinzione ha conseguenze pratiche. Un servizio che accetta la consultazione di una cartella dovrebbe controllare quale percorso riceve. La disponibilità dello strumento, da sola, non stabilisce quali file l’agente possa raggiungere. Questo esempio illustra perché i controlli sugli argomenti delle chiamate accompagnino quelli sulle autorizzazioni.
L’isolamento offre un ulteriore limite. Le indicazioni OWASP per l’esecuzione degli strumenti prevedono container o sandbox con accessi circoscritti a file, rete e processi, insieme a privilegi ridotti e registri delle operazioni.
Documenti e messaggi possono contenere istruzioni ostili
Un’altra criticità è la prompt injection, cioè la presenza di istruzioni malevole negli input o nei contenuti che l’agente consulta. Un documento, una pagina web o un’email possono tentare di deviare il sistema dal compito assegnato.
OWASP raccomanda confini chiari tra istruzioni affidabili e contenuti esterni, accessi agli strumenti proporzionati al compito e conferme umane per operazioni irreversibili o ad alto impatto. La protezione va prevista nell’architettura: una formulazione del prompt, da sola, non sostituisce la separazione dei contesti.
Il rapporto tra obiettivo assegnato e comportamento del modello è al centro anche dell’articolo sul disallineamento nel caso OpenAI-Hugging Face.
Registri e supervisione per verificare il comportamento
La guida OWASP invita a registrare decisioni, chiamate agli strumenti e risultati, oltre a rilevare comportamenti anomali. I registri aiutano a ricostruire che cosa sia accaduto e quali operazioni abbiano prodotto un effetto sui sistemi.
La stessa guida prevede anteprime delle azioni e possibilità di interrompere l’attività. Nelle aziende, questi elementi rendono più chiaro il confine tra autonomia concessa e interventi che richiedono supervisione. Altri approfondimenti su protezione dei modelli, dati e applicazioni sono raccolti nella sezione Intelligenza Artificiale.
