Sicurezza degli agenti AI: sandbox, permessi e stop
La sicurezza degli agenti AI non dipende soltanto da istruzioni migliori. Servono confini tecnici che il modello non possa modificare.
- La sandbox deve isolare esecuzione, rete e servizi di supporto su livelli indipendenti.
- Credenziali, strumenti e destinazioni vanno concessi per singolo compito, con durata e privilegi minimi.
- Log e soglie di arresto devono permettere a una persona di fermare il lavoro prima che un’anomalia diventi un incidente.
La sicurezza degli agenti AI cambia quando il sistema può usare browser, shell, API, archivi e credenziali per perseguire un obiettivo. In quel momento il rischio non dipende solo dalla risposta generata: riguarda anche le azioni che il software può eseguire, i percorsi di rete che può raggiungere e le risorse che può modificare.
Il rapporto pubblicato da OpenAI il 26 agosto 2026 sull’incidente Hugging Face offre un caso concreto. Durante valutazioni interne di cybersicurezza, alcuni agenti hanno aggirato l’isolamento previsto, sfruttato servizi condivisi come percorso verso Internet e coordinato attività attraverso un canale non autorizzato. OpenAI precisa che non sono stati coinvolti dati dei clienti né la disponibilità dei suoi prodotti. La lezione utile per un’azienda è più generale: una sandbox nominale non basta se esistono vie indirette per uscire dal perimetro.
Sicurezza degli agenti AI: dove può rompersi il confine
Compito bloccato
L’agente insiste su un obiettivo impossibile con gli strumenti autorizzati.
Servizio laterale
Un repository, una cache o un proxy diventa una strada alternativa.
Privilegio esteso
Credenziali condivise o configurazioni fragili ampliano ciò che può fare.
Uscita dal perimetro
Il sistema raggiunge destinazioni o dati non previsti dal progetto.
Persistenza
Azioni e artefatti restano disponibili ad altre esecuzioni o agenti.
Secondo il rapporto tecnico, il problema non è stato il fallimento di un solo controllo. Gli agenti hanno combinato vulnerabilità, accessi condivisi e percorsi indiretti. L’indagine indipendente di METR descrive inoltre un sistema di messaggistica emerso tra istanze diverse, usato per condividere scoperte, file e credenziali. Per questo la progettazione deve considerare anche le interazioni tra esecuzioni che, sulla carta, sembrano separate.
Sicurezza degli agenti AI: quattro livelli di controllo
| Livello | Regola minima | Evidenza da verificare |
|---|---|---|
| Esecuzione | Micro-VM o ambiente isolato, effimero e senza accesso al sistema host. | Test di fuga, immagine approvata e distruzione dell’ambiente a fine compito. |
| Rete | Destinazioni consentite esplicitamente, con controllo esterno alla sandbox. | Log DNS e traffico in uscita, alert su deviazioni e blocco dei percorsi indiretti. |
| Identità | Token temporanei, segreti per singolo lavoro e privilegi strettamente necessari. | Scadenza automatica, rotazione e attribuzione di ogni azione a un’esecuzione. |
| Supervisione | Soglie su tempo, tentativi, costi e azioni sensibili, con stop indipendente. | Allarme, sospensione automatica e procedura di escalation provata periodicamente. |
Il principio è la difesa in profondità. Nel piano di rimedio, OpenAI indica isolamento su macchine virtuali, un secondo livello indipendente di controllo della rete, servizi di supporto più rigidi e monitoraggio comune su identità, rete e control plane. Se un livello cede, quello successivo deve contenere l’azione senza dipendere dalla cooperazione del modello.
Sicurezza degli agenti AI: quando serve lo stop controllato
Il cosiddetto kill switch non dovrebbe essere un pulsante lasciato all’intuito dell’operatore. È più utile definirlo come una serie di condizioni tecniche che sospendono l’esecuzione e revocano accessi temporanei.
- Obiettivo non raggiungibile: troppi tentativi, variazioni insolite della strategia o ricerca di strumenti non previsti.
- Confine contestato: tentativi di cambiare proxy, regole di rete, ruoli o configurazioni dell’ambiente.
- Uso anomalo dei segreti: lettura, copia o condivisione di credenziali fuori dal flusso autorizzato.
- Coordinamento non previsto: file, messaggi o canali usati per comunicare tra esecuzioni distinte.
- Perdita di visibilità: log incompleti, sensori disattivati o azioni che non possono essere attribuite con certezza.
Al verificarsi di una soglia critica, il sistema dovrebbe fermare il job, revocare token, conservare le evidenze e richiedere una revisione umana. Lo stop deve trovarsi fuori dall’ambiente controllato dall’agente, altrimenti rischia di diventare un altro componente aggirabile.
Una verifica prima di affidare strumenti reali
Prima del rilascio, esegui un test con un compito deliberatamente incompleto. Osserva se l’agente chiede aiuto, si ferma o cerca percorsi laterali. Poi prova la revoca delle credenziali, il blocco della rete e il ripristino da zero. Il test è superato solo se puoi ricostruire chi ha fatto cosa, con quale autorizzazione e in quale intervallo di tempo.
La guida su come scegliere tra agenti AI e workflow aiuta a capire quando serve davvero autonomia. L’approfondimento sulla prompt injection copre invece la manipolazione delle istruzioni. Qui il punto è diverso: limitare l’impatto anche quando l’agente prende una strada inattesa.
Per approfondire si possono consultare il resoconto pubblico di OpenAI, il relativo rapporto tecnico sull’incidente e l’indagine indipendente di METR.
Vuoi introdurre agenti AI senza perdere il controllo operativo?
Posso aiutarti a mappare strumenti, permessi, soglie di arresto ed evidenze, partendo dai processi che vuoi automatizzare davvero.