Vai al contenuto principale
Immagine in evidenza del blog "Comprendere l’IA ombra nel proprio ambiente endpoint "
Questione emergente

Comprendere l’intelligenza artificiale “ombra” nel Suo ambiente endpoint

L’IA generativa – e in particolare i modelli linguistici di grandi dimensioni – ha raggiunto una diffusione di massa tra i consumatori a partire tra la fine del 2022 e l’inizio del 2023, con ChatGPT che ha raggiunto 100 milioni di utenti più rapidamente di qualsiasi altra applicazione di consumo nella storia.

Da allora, l’intelligenza artificiale ha fatto passi da gigante e ora sembra essere integrata in ogni strumento, App e sito web, indipendentemente dalla sua effettiva utilità. Le tecnologie di intelligenza artificiale offrono possibilità di impiego incredibili, potenti e in grado di moltiplicare le risorse, ma la loro rapida espansione e diffusione comportano rischi che la maggior parte delle organizzazioni non era preparata ad affrontare — soprattutto ora che i sistemi di intelligenza artificiale stanno superando la fase sperimentale per passare all’azione, creando le condizioni per una proliferazione incontrollata dell’intelligenza artificial e e autonoma , in cui l’autonomia e la portata superano la visibilità e il controllo.

[Scoprite in che modo i recenti sviluppi nel campo dell’intelligenza artificiale agentica stanno portando i sistemi autonomi a passare da ruoli di consulenza all’esecuzione diretta — e cosa comporta tale cambiamento per la governance IT]


Sì, l’intelligenza artificiale rappresenta una nuova frontiera ambiziosa, ma la gestione delle risorse e la visibilità continuano a costituire le fondamenta di una solida sicurezza e di una gestione efficace dei rischi. Siamo andati oltre l’hardware, i sistemi operativi e il software installato e ora dobbiamo prendere in considerazione aspetti quali la distinta dei materiali software (SBOM), gli ecosistemi dei browser, l’ , gli ambienti di sviluppo integrato (IDE), il Software-as-a-Service (SaaS) basato sul cloud e tutte le modalità con cui l’intelligenza artificiale può trovare applicazione nella vostra organizzazione.

Esaminiamo il contesto, le minacce e gli elementi fondamentali di cui ha bisogno per affrontare questa sfida.

Che cos’è l’intelligenza artificiale “ombra”?

La maggior parte dei professionisti del settore tecnologico, dall’help desk ai vertici aziendali, conosce molto bene il “, ovvero l’IT ombra": si tratta dei software e dei dispositivi che i dipendenti utilizzano senza un’approvazione formale. Come nel caso del termine precedente, per “shadow AI” si intende la presenza o l’utilizzo di strumenti, app o infrastrutture di intelligenza artificiale all’insaputa o senza l’approvazione dei team IT o di sicurezza.

Nella maggior parte dei casi, l’uso dell’intelligenza artificiale “ombra” è innocuo. La maggior parte delle persone desidera massimizzare la propria produttività grazie a una nuova tecnologia, oppure sta utilizzando uno strumento senza nemmeno rendersi conto che integra funzionalità di intelligenza artificiale. Il rischio legato all’“ ” dell’IA non risiede nella semplice presenza di strumenti di IA, bensì nelle connessioni, nelle azioni e nei flussi di dati sui quali potreste non avere alcuna visibilità. Inoltre, a differenza dello “shadow IT”, lo “shadow AI” è in grado di agire, decidere e diffondere rischi in modo autonomo.

Esiste un notevole divario di visibilità nella copertura dell’intelligenza artificiale “ombra”:
Gli strumenti di sicurezza tradizionali (DLP nel cloud, CASB, firewall) non rilevano l’intelligenza artificiale locale. L'intelligenza artificiale locale e quella basata sul cloud richiedono tecniche di monitoraggio diverse. Purtroppo, la rapidità con cui l’intelligenza artificiale si diffonde e viene adottata sta superando la nostra capacità di regolamentarla e garantirne la sicurezza.

Per comprendere dove si nasconde l’intelligenza artificiale “ombra” e perché sia così difficile da gestire, è utile conoscere alcune delle principali forme che essa assume oggi negli ambienti aziendali.

Il primo esempio è costituito dai modelli di IA locali, in cui il modello linguistico di IA viene eseguito direttamente sul dispositivo dell’utente o su un server interno, anziché su un servizio cloud come ChatGPT, Copilot o le applicazioni o i browser di Claude.

Il secondo meccanismo è costituito dagli agenti di intelligenza artificiale, che ampliano le capacità dei modelli di linguaggio di grandi dimensioni (LLM) oltre la semplice risposta alle domande, consentendo loro di compiere azioni, connettersi ad altri strumenti e dati e operare con un certo grado di autonomia. Entrambi i meccanismi comportano dei rischi e possono verificarsi indipendentemente dal fatto che li abbiate approvati o meno.

Modelli locali

Il fascino delle modelle locali si riassume in una sola parola: privacy.

Quando si utilizza un servizio di intelligenza artificiale basato sul cloud come ChatGPT, Gemini o Microsoft Copilot, i comandi inseriti e i dati condivisi vengono trasmessi a server di proprietà di terzi. Tali dati possono essere utilizzati per addestrare modelli futuri, archiviati in modi che non consentono una verifica, oppure, in alcuni casi, inavvertitamente divulgati, come nel caso in cui ChatGPT abbia introdotto nella versione 2023 una funzione di “condivisione” con una casella di selezione che rendeva le chat reperibili dai motori di ricerca. Migliaia di utenti hanno attivato la funzione senza rendersi conto di ciò che stavano facendo, e le conversazioni “private” su sono diventate Google hit.

L'esecuzione di un modello in locale implica che i dati non escano mai dal proprio computer o dalla propria rete interna, il che sembra rappresentare la soluzione ideale per le organizzazioni che gestiscono documenti sensibili, operano in settori soggetti a regolamentazione o si trovano in contesti in cui non è possibile accedere a Internet dall’esterno.

Sembra fantastico, vero? Non così in fretta. L'installazione locale non implica automaticamente che sia privata. In un articolo pubblicato su “ luglio 2025”, Trend Micro ha individuato oltre 10.000 server su cui era in esecuzione Ollama, un popolare strumento open source per l’esecuzione locale di modelli di intelligenza artificiale, che erano esposti pubblicamente senza alcuna richiesta di autenticazione.

Un server locale del modello configurato in modo errato può essere interrogato da chiunque riesca a raggiungerlo; ciò significa che un malintenzionato può sondarlo alla ricerca di informazioni, estrarre dati o utilizzarlo come punto d’appoggio per accedere alla rete più ampia, senza mai avere accesso fisico al computer su cui è in esecuzione.

I modelli locali sono in genere più piccoli e vengono addestrati su una quantità di dati inferiore rispetto ai loro omologhi basati sul cloud; ciò significa che presentano maggiori lacune nelle loro conoscenze e sono più inclini a colmare tali lacune con informazioni che sembrano plausibili ma che in realtà sono errate, un fenomeno che nel settore viene definito “allucinazione”.

A livello individuale, una risposta errata data con sicurezza rappresenta un inconveniente. Ma quando i risultati generati dall’intelligenza artificiale a livello locale vengono inseriti in documenti normativi, analisi finanziarie, atti legali o comunicazioni con i clienti, la posta in gioco cambia completamente. Un dirigente che non sappia che una sintesi è stata generata dall’intelligenza artificiale non ha motivo di verificarla e, quando l’errore viene alla luce, il documento potrebbe essere già stato firmato, inviato o presentato.

I modelli locali presentano casi d’uso legittimi e di grande valore, ma «locale» non è sinonimo di «sicuro». Sapere cosa è installato, dove è in esecuzione e se è configurato in modo sicuro costituisce i requisiti minimi indispensabili per un utilizzo responsabile di tali sistemi su scala aziendale.

Agenti

Gli agenti basati sull’intelligenza artificiale non si limitano a rispondere alle domande. Mentre un modello linguistico di grandi dimensioni come ChatGPT risponde alle richieste, un agente è in grado di compiere azioni concrete: scrivere ed eseguire codice, aggiornare i dati nel vostro CRM, gestire il vostro calendario o inviare comunicazioni per vostro conto. È proprio questa capacità a renderli potenti, ma anche a renderli rischiosi.

Il rischio deriva dal modo in cui gli agenti ottengono le proprie autorizzazioni. Un agente eredita i diritti di accesso dell'utente che lo installa. Se tale utente è uno sviluppatore in possesso di diritti di amministratore locale, credenziali di accesso al database e chiavi API, anche l’agente dispone di tutte queste informazioni.

Si tratta dell’equivalente, nel campo dell’intelligenza artificiale, di un attacco di tipo “living-off-the-land”: non è necessario alcun malware, ma basta che un accesso legittimo venga utilizzato in modi che nessuno avrebbe potuto prevedere. Attualmente non esistono standard a livello aziendale che definiscano quando un agente debba sospendere l’operazione e richiedere l’approvazione umana prima di agire, e la maggior parte degli strumenti richiede che le autorizzazioni vengano configurate per singolo utente, rendendo oggi praticamente impossibile una governance a livello di parco macchine.

Tale lacuna viene già sfruttata a livello di modello. A 2025 research paper from Lupinacci, et al. found that 100% of tested AI models applied looser security standards when receiving instructions from other AI agents than from a human.

Un agente compromesso all’interno di un flusso di lavoro multi-agente può trasmettere istruzioni dannose ad altri agenti, istruzioni che verrebbero bloccate se fossero inviate da un essere umano. I ricercatori la definiscono una vulnerabilità denominata “escalation dei privilegi dell’agente di intelligenza artificiale”, insita nelle attuali architetture LLM.

Protocollo di contesto del modello (MCP)

Anthropic ha creato uno standard aperto denominato Model Context Protocol (MCP) per consentire agli strumenti di intelligenza artificiale di connettersi ad altri strumenti, fonti di dati e sistemi. Pensatelo come un cavo “ USB-C”: invece che ogni dispositivo debba disporre di un proprio connettore proprietario, l’MCP offre all’intelligenza artificiale un unico modo standardizzato per interagire con la vostra casella di posta, il vostro file system, il vostro browser, il vostro database e qualsiasi altra cosa che esponga un’interfaccia compatibile.

È proprio tale standardizzazione a rendere MCP un rischio aziendale significativo. I server MCP possono essere installati direttamente all’interno di strumenti di sviluppo quali VSCode o Cursor, con una visibilità minima o nulla da parte dei team IT o di sicurezza. Essi ereditano le autorizzazioni di chi li installa e, poiché molti sviluppatori sono amministratori locali che dispongono già sui propri computer di credenziali, chiavi API e token, un server MCP compromesso non deve fare molto per ottenere un ampio accesso. Questo è lo “shadow MCP”, un sottocomponente dello shadow AI dotato di un raggio d’azione eccezionale.

La superficie di attacco presenta molteplici sfaccettature e costituisce un argomento che merita approfondimenti su varie tecniche; tuttavia, tra gli esempi figurano:

  • "Tool poisoning", in cui gli autori degli attacchi inseriscono istruzioni dannose all’interno delle descrizioni degli strumenti utilizzando caratteri invisibili all’occhio umano ma leggibili dall’intelligenza artificiale, inducendola così a compiere azioni che l’utente non avrebbe mai voluto.
  • Si tratta di una tecnica denominata “”, in cui uno strumento MCP legittimo viene aggiornato in modo invisibile dopo l’installazione per reindirizzare il traffico o registrare dati sensibili su un server di terze parti, senza che l’utente si accorga di alcun cambiamento visibile.
  • Lo “shadowing” tra server,, in cui un server malevolo si inserisce all’interno di uno legittimo. Nel 2025, gli autori dell’attacco hanno clonato il server MCP ufficiale di WhatsApp e lo hanno utilizzato per sottrarre in modo invisibile intere cronologie delle chat.
  • Compromissione della catena di fornitura, in cui un server malevolo costituisce il prodotto sin dal primo giorno, viene pubblicato su un registro non verificato e installato da un utente che non aveva alcun motivo di sospettarne la natura. In assenza di una procedura standard di verifica per i server MCP, questo rappresenta uno dei vettori di attacco più probabili per la maggior parte delle organizzazioni.
  • Il dirottamento della sessione, illustrato da CVE-2025-6514, una grave vulnerabilità OAuth in un componente MCP ampiamente utilizzato che ha consentito agli autori degli attacchi di ottenere accesso persistente a circa 437.000 ambienti di sviluppo.

Attualmente sono in funzione oltre 15.000 server MCP. Con un tale volume di nuovi progetti di sviluppo e in assenza di standard di sicurezza consolidati, il numero di casi di " CVE " sta aumentando rapidamente. Questo ecosistema è ancora agli inizi, in gran parte non regolamentato e oggetto di un'attenta analisi.

Tanium approfondimenti e rischi concreti

Nel caso “ settembre 2025”, un attore malintenzionato sostenuto dallo Stato cinese ha utilizzato Claude Code, l’agente di programmazione basato sull’intelligenza artificiale di Anthropic, per condurre in modo autonomo attività di ricognizione, sfruttare vulnerabilità ed esfiltrare dati da circa 30 organizzazioni.

Si stima che l’IA abbia eseguito in modo autonomo dal 80 al 90 per cento delle operazioni tattiche. Nello stesso mese, alcuni ricercatori hanno dimostrato l’efficacia di un attacco “zero-click” contro la funzione Deep Research di ChatGPT: una singola e-mail appositamente manipolata, contenente un’iniezione nascosta di prompt, ha sottratto silenziosamente dati da Gmail con un tasso di successo del 100 %, senza richiedere alcuna azione da parte della vittima.

Per quanto riguarda la catena di approvvigionamento, una campagna denominata GlassWorm ha distribuito estensioni dannose attraverso il marketplace OpenVSX, totalizzando oltre 10.000 download. Le estensioni utilizzavano caratteri invisibili Unicode per nascondere il proprio codice e instradavano i dati sottratti attraverso un’infrastruttura di comando e controllo basata sulla blockchain di Solana: due tecniche progettate specificatamente per eludere il rilevamento.

In ciascun caso, le organizzazioni non disponevano di alcuna visibilità sulle circostanze che hanno reso possibile l’attacco.

Tanium Una ricerca condotta dal *Guardian* offre una panoramica su quanto sia effettivamente diffusa l’intelligenza artificiale “ombra” all’interno delle aziende. Prendiamo in esame due aspetti: gli artefatti locali dei modelli di IA sugli endpoint (ad esempio, i file dei modelli e i percorsi dei framework) e le configurazioni del server MCP (quali strumenti MCP sono presenti e dove).

Quello che emerge è un quadro chiaro: l’intelligenza artificiale “ombra” è già presente in una quota significativa di ambienti, e sia gli artefatti dei modelli locali sia l’adozione dell’MCP sono concentrati in modi rilevanti ai fini della visibilità e delle politiche.

Cosa osserva “ Tanium ”

Tanium Una ricerca condotta dal Guardian evidenzia un quadro ormai familiare: un forte aumento dell’adozione dell’intelligenza artificiale nelle aziende, con un ambiente su tre che presenta già almeno un’istanza di endpoint con file di modelli di IA indicizzati e quasi la metà che dispone di almeno un’istanza di endpoint in cui è configurato un server MCP.

La presenza dell’intelligenza artificiale nell’ endpoint e non è più oggetto di discussione. Esiste, ed è in crescita. La questione ancora aperta è se tale presenza sia autorizzata, regolamentata e compresa.

Nella pratica, ciò che osserviamo tende a suddividersi in due modelli: alcune organizzazioni sembrano implementare l’IA in modo coordinato; in altre, invece, l’adozione appare più come un lento stillicidio, il tipo di andamento che potrebbe indicare la presenza di un’IA “ombra”, con strumenti e integrazioni che vengono introdotti senza una guida chiara e centralizzata.

Per quanto riguarda il modello locale, gli artefatti parlano da soli. I file GGUF (in stile Llama e simili) rimandano a modelli di linguaggio di grandi dimensioni (LLM) locali e a strumenti di embedding quali Ollama. I Safetensor vengono utilizzati laddove sono in gioco Hugging Face e PyTorch, come nel caso della sintesi delle conversazioni, dei modelli ottimizzati e così via. Il formato PMML è compatibile con le piattaforme di machine learning più datate e tradizionali, quali SAS, R, sklearn e altri strumenti di analisi. Quindi non si tratta semplicemente del fatto che “qualcuno abbia utilizzato Ollama”; si tratta piuttosto di una combinazione di modelli di linguaggio locali (LLM), deep learning moderno e apprendimento automatico classico.

Per quanto riguarda l’MCP, la situazione è altrettanto complessa. Su milioni di endpoint compaiono costantemente quasi 400 server MCP distinti e identificati, oltre a una manciata di server isolati o di nicchia che potrebbero richiedere ulteriori approfondimenti. I nomi che emergono in cima alla classifica costituiscono una sorta di “Who’s Who” del mondo degli affari e sono associati ad alcuni degli strumenti aziendali più diffusi sul mercato.

È improbabile che tali strumenti costituiscano una “IA ombra”, ma sono proprio gli strumenti che i team stanno integrando nei propri flussi di lavoro assistiti dall’IA. La questione, dal punto di vista della sicurezza e della governance, è se tale cablaggio sia visibile e adeguatamente monitorato. Gli autori degli attacchi cercheranno occasioni per camuffarsi e mimetizzarsi tra gli strumenti legittimi dei fornitori; pertanto, si raccomanda di mantenere alta la vigilanza.

Il vero rischio non è sempre il fatto che «nella nostra organizzazione siano stati introdotti nuovi strumenti di intelligenza artificiale». Si tratta del fatto che “non abbiamo esaminato né verificato gli strumenti di intelligenza artificiale presenti nella nostra organizzazione”. È proprio in questo divario tra i due che occorre intervenire con misure di governance, e in tempi rapidi.

In che modo “ Tanium ” può esservi d’aiuto

Senza una visione chiara di quali strumenti di intelligenza artificiale siano in esecuzione, dove vengano eseguiti e come siano configurati, le organizzazioni non sono in grado di prendere decisioni informate in materia di governance o di gestione dei rischi.

Tanium Guardian Spotlight: AI Tools offre ai team di sicurezza una visione centralizzata e di livello “ endpoint” delle IA nascoste presenti nell’intero ambiente.

La dashboard individua e cataloga:

  • Server MCP configurati: Numero e tipo (HTTP, SSE, STDIO) dei server MCP presenti negli IDE di sviluppo, oltre all’indicazione degli IDE che li includono
  • Gestori di modelli locali: Applicazioni quali Ollama, LM Studio e GPT4All; utilizzo negli ultimi 90 giorni; e (con Index/SBOM) installazioni basate su AppImage e container
  • File dei modelli di IA: File di modelli distinti individuati tramite Tanium index (ad es. GGUF, SafeTensors), con percorso e contesto di denominazione
  • OpenClaw: Endpoint su cui è in esecuzione OpenClaw, per la valutazione dell’esposizione ai rischi noti

I team possono utilizzare la sintesi esecutiva per definire l’ambito, la sezione MCP per allineare i server alle politiche e le tendenze di utilizzo per distinguere gli strumenti installati da quelli effettivamente in uso. La funzionalità completa si avvale di Tanium index, SBOM, Asset (Inventario e utilizzo del software) e Threat Response.

Per ulteriori dettagli, si prega di consultare l’articolo “Guardian Spotlight: Note di rilascio degli strumenti di IA” su e il “Tech Talk” su relativo alla visibilità e ai rischi degli strumenti di IA.

Riferimenti

Rapporti di Shadow AI

Sicurezza MCP

Informazioni sulle minacce

Rilevamento locale di LLM

Catena di approvvigionamento

Varie – IA rischiose e dannose

Rischi e sicurezza legati all'intelligenza artificiale