Agenti AI: checklist di sicurezza e controllo

Un agente AI non si limita a rispondere: può consultare dati, usare strumenti e compiere azioni. Può preparare un preventivo, aggiornare un CRM, inviare un’e-mail, aprire un ticket o autorizzare un acquisto. È proprio nel passaggio dalla risposta all’azione che la sicurezza diventa decisiva.

Prima di concedere azioni a un agente, consulta la guida pratica al tool calling: schema, validazione, autorizzazione, approvazione ed esecuzione devono rimanere separati.

L’obiettivo non è bloccare l’autonomia, ma renderla limitata, osservabile e revocabile. Un agente affidabile deve sapere cosa può fare, con quali dati, entro quali soglie e quando deve fermarsi per chiedere l’approvazione di una persona.

Indice

1. Che cos’è davvero un agente AI
2. Cinque livelli di autonomia
3. I rischi principali
4. Un esempio semplice
5. Checklist di sicurezza
6. Azioni e approvazioni
7. Come introdurlo in azienda
8. Metriche da controllare
9. FAQ

Che cos’è davvero un agente AI

Un chatbot genera testo. Un agente, invece, riceve un obiettivo, costruisce un piano e utilizza uno o più strumenti per raggiungerlo. Gli strumenti possono essere API, caselle e-mail, calendari, database, browser, sistemi gestionali o piattaforme di pagamento.

La differenza non dipende dal nome commerciale. Se il sistema può modificare lo stato del mondo esterno — inviare, cancellare, acquistare, pubblicare o configurare — deve essere trattato come un’identità software con responsabilità e privilegi definiti. Per un’introduzione generale puoi leggere cosa sono gli agenti AI e come funzionano.

Cinque livelli di autonomia

Non tutti i casi d’uso richiedono la stessa libertà. Prima di scegliere modello o piattaforma, conviene stabilire il livello massimo consentito.

1. Legge: consulta fonti autorizzate, ma non modifica nulla.
2. Propone: suggerisce una risposta o un’azione che una persona valuterà.
3. Prepara: compila la bozza nel sistema, senza inviarla o confermarla.
4. Esegue dopo approvazione: agisce solo quando riceve un consenso esplicito.
5. Esegue entro limiti: completa autonomamente operazioni reversibili e a basso rischio, rispettando soglie predefinite.

La progressione dovrebbe essere graduale. Un agente che dimostra buoni risultati in sola lettura non deve ottenere automaticamente permessi di scrittura. Ogni passaggio richiede test, log e un proprietario umano.

I rischi principali

Prompt injection indiretta

Un’e-mail, un documento o una pagina web possono contenere istruzioni nascoste che tentano di deviare il comportamento dell’agente. Il contenuto esterno deve essere considerato non attendibile: non può modificare le regole di sistema né autorizzare nuovi strumenti.

Permessi eccessivi

Usare la chiave amministrativa di una persona è comodo, ma trasforma un errore in un incidente. L’agente deve avere un’identità propria, privilegi minimi e credenziali a breve durata. Lettura e scrittura vanno separate quando possibile.

Obiettivo interpretato male

Una richiesta come “riduci i tempi di risposta” potrebbe spingere il sistema a chiudere ticket senza risolverli. Il criterio di successo deve includere qualità, vincoli e condizioni di arresto, non soltanto una metrica da massimizzare.

Memoria contaminata

Se l’agente conserva preferenze, eventi e risultati, un dato errato può influenzare molte attività future. La memoria deve avere provenienza, scadenza, controllo di integrità e possibilità di ripristino.

Azioni concatenate

Un errore iniziale può propagarsi attraverso più strumenti o agenti. Retry incontrollati possono moltiplicare e-mail, ordini e costi. Servono identificativi univoci, operazioni idempotenti e limiti al numero di passaggi.

Un esempio semplice: gestire una richiesta cliente

Immaginiamo un agente che riceve una richiesta da un modulo di contatto.

1. legge il messaggio e classifica l’argomento;
2. cerca nel CRM l’anagrafica del cliente;
3. consulta la knowledge base autorizzata;
4. prepara una risposta e propone la priorità;
5. chiede conferma prima dell’invio se la risposta contiene condizioni economiche;
6. registra fonti, decisione, approvatore e risultato.

In una prima fase l’agente dovrebbe fermarsi alla bozza. Dopo un periodo di valutazione potrebbe inviare autonomamente soltanto risposte standard, senza dati sensibili e verso destinatari già verificati. Rimborsi, modifiche contrattuali ed eccezioni rimarrebbero soggetti ad approvazione.

Un flusso del genere può essere costruito con piattaforme di automazione: nella guida n8n e intelligenza artificiale trovi esempi semplici e illustrati.

Checklist di sicurezza prima della produzione

Identità e accessi

• assegna all’agente un account dedicato;
• usa credenziali temporanee e archivia i segreti in un vault;
• applica il privilegio minimo a dati, API e cartelle;
• limita destinatari, domini, strumenti e ambienti consentiti;
• revoca automaticamente l’accesso alla fine del processo.

Policy esterne al modello

• non affidare al solo prompt le regole di autorizzazione;
• verifica importi, destinatari e parametri con codice deterministico;
• imponi soglie di spesa, tempo, token e numero di azioni;
• blocca comandi non presenti in una lista autorizzata;
• richiedi una seconda conferma per operazioni irreversibili.

Dati e contenuti non attendibili

• separa istruzioni fidate e contenuti recuperati;
• valida formato e dimensione degli input;
• non eseguire direttamente codice o comandi generati;
• filtra dati personali e segreti prima di inviarli al modello;
• applica i permessi prima del retrieval in un sistema RAG.

Tracciabilità e arresto

• registra input, modello, versione, strumenti e parametri usati;
• collega ogni azione all’utente o al processo che l’ha richiesta;
• conserva esito, errore, approvazione e motivazione;
• prevedi un interruttore di arresto immediato;
• definisci rollback, backup e procedura di incidente.

Quali azioni richiedono approvazione?

Anche i pagamenti stanno entrando nel perimetro agentico. Le nuove carte e infrastrutture dedicate non trasferiscono la responsabilità al modello: servono comunque budget, categorie abilitate, beneficiari autorizzati e possibilità di blocco. Abbiamo approfondito il tema nell’articolo sulle carte di debito per agenti AI.

Come introdurre un agente AI in azienda

1. Scegli un processo ristretto: frequente, misurabile e inizialmente reversibile.
2. Mappa dati e strumenti: indica proprietari, autorizzazioni e dipendenze.
3. Definisci i confini: scrivi cosa l’agente può fare e cosa è sempre vietato.
4. Prova in modalità osservazione: confronta le decisioni con quelle umane senza eseguire azioni.
5. Abilita la bozza: lascia all’agente la preparazione e alla persona la conferma.
6. Automatizza soltanto il basso rischio: usa soglie conservative e aumenta l’autonomia solo con evidenze.
7. Riesamina periodicamente: ogni modifica a modello, prompt, strumento o policy riapre la valutazione.

Per progetti complessi conviene affiancare sicurezza applicativa, governance e test specifici. L’Open Secure AI Alliance è uno degli esempi di collaborazione dedicata alla sicurezza dell’ecosistema AI.

Metriche da controllare

• Task completati correttamente: non basta sapere quanti processi terminano.
• Violazioni bloccate: quante azioni hanno superato limiti o policy?
• Approvazioni e correzioni: quanto spesso una persona modifica la proposta?
• Rollback e incidenti: frequenza, impatto e tempo di ripristino.
• Resistenza agli input ostili: risultati dei test di prompt injection e abuso degli strumenti.
• Costi e latenza: token, API, operazioni e tempo per attività.
• Tracciabilità: percentuale di azioni ricostruibili dall’origine all’esito.

Errori da evitare

• assegnare credenziali amministrative “solo per la prova”;
• considerare un buon prompt equivalente a una policy di sicurezza;
• permettere all’agente di approvare una propria azione sensibile;
• lasciare retry, durata o budget senza limite;
• testare soltanto casi normali e input ben formati;
• non indicare una persona responsabile del processo.

FAQ

Un agente AI deve sempre chiedere conferma?

No. Può agire autonomamente nelle operazioni reversibili, ripetitive e a basso impatto, purché disponga di limiti tecnici verificabili. Le azioni economiche, pubbliche, distruttive o riguardanti dati sensibili dovrebbero inizialmente richiedere approvazione.

Il prompt può impedire tutte le azioni pericolose?

No. Il prompt è una componente, non un confine di sicurezza. Permessi, soglie, validazione e approvazioni devono essere applicati da componenti esterni al modello.

Come si protegge un agente dalla prompt injection?

Separando istruzioni e contenuti, riducendo i privilegi, filtrando le azioni disponibili e richiedendo conferma quando una richiesta deriva da una fonte non attendibile. Occorre poi testare regolarmente e aggiornare le difese.

Posso usare un agente con dati aziendali?

Sì, se trattamento, fornitore, permessi e conservazione sono compatibili con policy e obblighi applicabili. Il progetto deve partire dalla classificazione dei dati e non dalla sola scelta del modello.

Chi è responsabile quando un agente sbaglia?

L’automazione non elimina la responsabilità organizzativa. Devono essere definiti proprietario del processo, approvatore, gestore tecnico ed escalation in caso di incidente.

Conclusioni

Il vantaggio degli agenti AI nasce dalla capacità di agire, ma la fiducia nasce dalla capacità di fermarli. Identità dedicate, privilegi minimi, policy esterne, approvazioni, log e rollback trasformano un esperimento interessante in un sistema governabile.

La domanda decisiva non è “quanto può fare l’agente?”, ma “quali azioni possiamo dimostrare di avere autorizzato, controllato e verificato?”.

Fonti e approfondimenti

• NIST CAISI: sicurezza dei sistemi agentici
• NIST: identità e autorità degli agenti software
• NIST: valutare l’hijacking degli agenti AI
• OWASP Agentic AI Security
• OWASP Agent Memory Guard

Articoli correlati

• Agenti AI: cosa sono e come funzionano
• Carte di debito per agenti AI
• Sette regole per usare l’AI in sicurezza
• n8n e AI: automazioni semplici
• RAG: collegare l’AI ai documenti

Iscriviti alla newsletter di Basi di AI per ricevere guide pratiche su agenti, sicurezza e automazione.