Sicurezza basata sull’intelligenza artificiale agentica: le principali sfide e come affrontarle

I sistemi di intelligenza artificiale agentica non si limitano a generare testo. Eseguono operazioni su tutta la vostra infrastruttura, applicando configurazioni, effettuando query sui database e modificando gli endpoint senza attendere l’approvazione da parte di un operatore umano. Proprio quell’autonomia è il punto centrale, ma è anche il problema.

La sicurezza tradizionale basata sull'intelligenza artificiale si concentra sul filtraggio degli input e sulla valutazione degli output. La sicurezza basata sull’IA agentica si estende al livello operativo, dove gli agenti interagiscono con le pipeline di patch, i depositi di dati riservati e i sistemi di gestione delle configurazioni alla velocità delle macchine.

Questo articolo illustra i principali vettori di minaccia specifici dell’IA agentica, spiega perché i controlli esistenti risultano insufficienti e delinea l’architettura tecnica che regola il comportamento degli agenti a livello di “ endpoint ”.

Che cos’è la sicurezza dell’IA agentica?

La sicurezza basata sull’intelligenza artificiale agentica protegge i sistemi di intelligenza artificiale autonomi in grado di pianificare, prendere decisioni e intraprendere azioni articolate in più fasi all’interno delle reti aziendali senza una supervisione umana continua. La parola chiave in questo contesto è "azioni". La sicurezza dei modelli linguistici di grandi dimensioni (LLM) si concentra tradizionalmente su ciò che viene immesso nel modello (prompt) e su ciò che ne viene generato (risposte). La sicurezza basata sull’IA agentica si estende a ciò che l’agente compie effettivamente.

Perché tale distinzione è importante? Un chatbot che ha allucinazioni produce testi di scarsa qualità. Un agente che presenta malfunzionamenti può cancellare i registri, applicare patch configurate in modo errato o spostare dati in posizioni non corrette. Gli agenti operano con autorizzazioni di livello elevato su piattaforme di gestioni endpoint , archivi di credenziali e strumenti di sicurezza. Tale ambito di autorizzazione modifica completamente il problema di sicurezza.

[Scoprite come funziona l’IA agente, perché rappresenta un passo avanti rispetto all’automazione tradizionale e in che modo sta ridefinendo le operazioni IT e la sicurezza informatica]

Se è il livello operativo a contare, la domanda ovvia è: perché il vostro attuale sistema di sicurezza non lo copre già?

Perché i controlli tradizionali non sono stati concepiti per l’IA agente

SIEM (IAM), EDR e gli strumenti IAM forniscono controlli fondamentali. Gestiscono efficacemente sia le azioni avviate dall’utente che l’automazione basata su regole. L'IA agentica introduce un elemento per il quale questi strumenti non sono stati progettati: un processo decisionale autonomo e non deterministico, alla velocità delle macchine, che coinvolge più sistemi all’interno di un’unica catena di esecuzione.

È qui che emergono le lacune:

• Il ragionamento autonomo compromette i controlli deterministici delle politiche. Il comportamento dell’agente è non deterministico: un agente decide in fase di esecuzione quale strumento richiamare e con quali parametri, sulla base di un ragionamento probabilistico piuttosto che di una logica fissa. Le regole statiche non sono in grado di anticipare le decisioni prese dagli agenti di intelligenza artificiale durante l'esecuzione né di prevedere quali strumenti utilizzeranno in seguito.
• L'integrazione degli strumenti amplia la superficie di attacco. Ogni sistema raggiungibile dall’agente diventa un punto di ingresso o di uscita. Piattaforme di gestione degli endpoint, pipeline di patch, archivi di credenziali, integrazioni con SIEM : un solo agente compromesso può influire su tutti questi elementi.
• La memoria persistente crea nuovi vettori di esposizione. Gli agenti che mantengono il contesto tra una sessione e l’altra possono subire un’alterazione di tale memoria. Una memoria distorta porta a decisioni errate a scapito delle infrastrutture reali.
• I sistemi multi-agente comportano rischi di passaggio di consegne che si aggravano in ogni punto di coordinamento. Le istruzioni trasmesse tra gli agenti possono essere intercettate o infestate da payload dannosi che si propagano attraverso i flussi di lavoro degli agenti e le pipeline di gestioni d endpoint .

La sicurezza tradizionale presuppone cicli decisionali alla velocità umana e azioni avviate dall’uomo. Le architetture agentiche funzionano in modo diverso: introducono il ragionamento autonomo, la memoria persistente e il coordinamento multisistema, aspetti che i piani di controllo esistenti non sono stati progettati per gestire. Il piano di controllo deve adeguarsi di conseguenza.

Tale cambiamento inizia con la comprensione di dove si concretizzano effettivamente le minacce poste dall’IA agentica. La risposta sta nei vostri endpoint.

La " endpoint " rappresenta la superficie di attacco

Quando un sistema di intelligenza artificiale agentica esegue una chiamata a uno strumento, l’azione si concretizza sugli endpoint. Modifiche alla configurazione, modifiche ai file, esecuzione di processi, connessioni di rete, accesso tramite credenziali: tutto ciò avviene sui dispositivi dell’ endpoint i presenti nel Suo ambiente.

La superficie di attacco corrisponde a sistemi specifici:

• Piattaforme di gestione degli endpoint: Agenti che distribuiscono configurazioni o installazioni software
• Patch pipeline: Agenti che pianificano o eseguono aggiornamenti su gruppi di dispositivi
• SIEM Integrazioni: Agenti che creano o modificano le regole di rilevamento
• Archivi delle credenziali: Agenti che richiedono e utilizzano segreti per l'autenticazione

Per individuare comportamenti sospetti da parte degli agenti è necessario mettere in correlazione le azioni degli agenti con le variazioni di stato dell’ endpoint . Il solo monitoraggio della piattaforma degli agenti non è sufficiente. È necessario avere una visione chiara di ciò che accade sugli endpoint su cui vengono eseguite le azioni.

Vettori di minaccia comuni associati agli endpoint aziendali

Gli agenti autonomi basati sull'intelligenza artificiale introducono vie di attacco che vanno oltre i modelli tradizionali di sicurezza dell'IA. Gli esempi che seguono si riferiscono ai sistemi aziendali e ai controlli necessari per garantirne la sicurezza.

Inserimento immediato a livello del livello di azione

L'iniezione di prompt contro un agente dotato di accesso a uno strumento di tipo “ endpoint ” differisce dall'iniezione contro un chatbot. Poiché i sistemi agentici utilizzano il linguaggio naturale come piano di controllo (interpretando le istruzioni contenute in documenti, e-mail, contenuti web e output degli strumenti), le istruzioni dannose inserite in qualsiasi fonte di dati utilizzata dall’agente possono essere interpretate ed eseguite dall’agente stesso. Si tratta di un’iniezione indiretta di prompt: l’autore dell’attacco non interagisce mai direttamente con l’agente.

[Discover Che cosa sono gli attacchi di iniezione di prompt, perché sono difficili da Detect e in cosa consiste una strategia di difesa a più livelli per le implementazioni di IA]

Utilizzo di strumenti e API

L’uso improprio degli strumenti (ovvero quando un agente viene indotto con l’inganno a utilizzare in modo improprio strumenti legittimi di gestione dell’ endpoint ) può comportare la cancellazione dei log, l’accesso a configurazioni soggette a restrizioni o l’esecuzione non autorizzata di script su gruppi di dispositivi. Il rischio è proporzionale al livello di accesso in scrittura dell'agente all'infrastruttura di produzione.

Elevazione dei privilegi tramite relazioni di fiducia

Gli agenti che dispongono inizialmente di autorizzazioni limitate possono essere manipolati per ottenere un livello di accesso più elevato. Gli autori degli attacchi possono sfruttare i rapporti di fiducia tra gli agenti e le piattaforme di " endpoint " per passare dall'accesso in lettura all'accesso in scrittura alla configurazione su tutta la flotta.

Compromissione della catena di approvvigionamento

I framework degli agenti e i relativi ecosistemi di plugin comportano rischi legati alla catena di fornitura che i tradizionali processi di verifica del software non sono stati concepiti per individuare. Un plugin compromesso o dannoso può consentire a un malintenzionato di ottenere un accesso persistente tramite le autorizzazioni dell’agente stesso, senza attivare gli avvisi standard di endpoint .

[Scoprite in che modo l’attacco alla catena di approvvigionamento Mini Shai-Hulud abbia aggirato i canali di distribuzione affidabili e perché i segnali di provenienza validi, da soli, non costituiscano più un controllo di sicurezza affidabile]

Schemi degli strumenti danneggiati, registri dei plugin compromessi e descrizioni fuorvianti degli strumenti possono alterare il comportamento degli agenti alla fonte, prima che qualsiasi azione raggiunga il vostro livello di rilevamento. Verifichi ogni integrazione di strumenti con lo stesso approccio che adotterebbe per una dipendenza da un software di terze parti: esamini il codice sorgente, fissi le versioni e monitori eventuali comportamenti imprevisti.

Avvelenamento della memoria

Gli autori degli attacchi possono introdurre dati fuorvianti nel contesto persistente di un agente. L'agente basa quindi le decisioni a lungo termine su premesse errate, compromettendo potenzialmente le decisioni relative alle infrastrutture nel corso delle sessioni.

Azioni autonome non intenzionali su larga scala

Gli agenti possono diffondere configurazioni errate, patch non corrette o interventi correttivi dannosi su migliaia di endpoint a causa di istruzioni ambigue o chiamate agli strumenti non corrette. Gli errori si propagano più rapidamente di quanto qualsiasi team riesca a reagire.

Agenti “ombra” e proliferazione delle implementazioni

I dipendenti che installano agenti non autorizzati che interagiscono con l’infrastruttur endpoint e creano punti ciechi. Gli agenti autorizzati configurati in modo errato che eseguono azioni al di fuori dell’ambito previsto comportano gli stessi rischi, pur in assenza di intenzioni dolose.

Clicchi su uno qualsiasi dei vettori di minaccia riportati di seguito per visualizzare il relativo contesto relativo all’ endpoint e e le misure di controllo raccomandate.

Tali vettori corrispondono alla lista “ ” dell’OWASP Top 10 per le applicazioni agentiche 2026. Per il quadro completo, si prega di consultare l'elenco completo.

I vettori di minaccia non esistono in modo isolato. L'intelligenza artificiale agentica viene sempre più utilizzata sia dai difensori che dagli aggressori, creando una situazione di tensione che i team di sicurezza si trovano attualmente a gestire.

L'intelligenza artificiale agentica su entrambi i fronti della minaccia

I team di sicurezza informatica devono affrontare una duplice sfida: garantire la sicurezza delle proprie implementazioni di IA agentica e, al contempo, difendersi dall’IA agentica nemica.

Dal punto di vista offensivo, gli autori degli attacchi utilizzano un’intelligenza artificiale agentica per accelerare le attività di ricognizione all’interno degli ambienti endpoint e automatizzare campagne di phishing in grado di adattarsi alle configurazioni endpoint . Essi concatenano le vulnerabilità alla velocità di un computer e distribuiscono payload di malware il cui comportamento varia in base all’ambiente di destinazione.

[Scoprite in che modo l’intelligenza artificiale sta ridefinendo le operazioni di sicurezza informatica, in quali ambiti apporta un reale valore aggiunto in termini di difesa e perché la supervisione umana rimane essenziale]

Sul fronte della difesa, i team di sicurezza utilizzano l’intelligenza artificiale agentica per il rilevamento automatizzato delle minacce, l’orchestrazione delle risposte in tempo reale su tutti gli endpoint e la correzione autonoma dei modelli di vulnerabilità noti.

I comandi di entrambi si sovrappongono, ma non sono identici. Per garantire la sicurezza di un agente difensivo è necessario stabilire delle regole relative alle sue azioni. Per difendersi da un agente offensivo è necessario individuare ciò che esso sta cercando di fare. Entrambe richiedono visibilità e controllo a livello di " endpoint".

Architettura di sicurezza a livello di " endpoint "

Poiché i modelli di apprendimento automatico, compresi i modelli linguistici di grandi dimensioni che sono alla base della maggior parte dei sistemi agenti, sono motori di ragionamento probabilistico, la sicurezza non può basarsi esclusivamente sui prompt interni dell’agente. Le protezioni deterministiche a livello di infrastruttura, attive durante l’intero ciclo di vita dell’agente, costituiscono il piano di controllo.

Ciò è particolarmente critico per le applicazioni di tipo “agente” che interagiscono direttamente con l’infrastruttura di produzione, dove una singola azione configurata in modo errato può provocare un effetto a cascata su migliaia di endpoint.

Identità e autenticazione dell'agente

Considerare gli agenti come identità di prima classe dotati di credenziali proprie, con ambito limitato a specifici gruppi endpoint e azioni. Map dai permessi degli agenti ai modelli di responsabilità umana. I sistemi IAM tradizionali spesso non dispongono della granularità necessaria per un controllo degli accessi specifico per agente.

Autorizzazioni di esecuzione limitate

Si applichi il principio del privilegio minimo a ogni strumento a cui un agente possa accedere. Utilizzi autorizzazioni “just-in-time” limitate ad attività e gruppi di dispositivi specifici. L'applicazione delle politiche a livello di chiamata dello strumento, e non solo a livello di identità, contribuisce a garantire che i limiti di ambito vengano applicati in modo coerente, indipendentemente dal modo in cui l'agente giunga a una determinata azione. Si prega di impostare dei limiti all’ambito di esecuzione, in modo che nessuna singola azione di un agente possa interessare più di un numero definito di endpoint senza l’approvazione da parte di un operatore.

Integrità della memoria e del contesto

Limitare i dati che gli agenti di “ endpoint ” conservano. Attuare controlli di integrità sul contesto memorizzato. Si raccomanda di utilizzare l'isolamento delle sessioni per impedire la fuga o la manomissione dei dati tra una sessione e l'altra.

Controlli di comunicazione multi-agente

Autenticare le comunicazioni tra agenti. Verifichino le istruzioni ad ogni passaggio di consegne. Si monitorino i modelli di coordinamento alla ricerca di sequenze anomale che potrebbero indicare un’iniezione o una manipolazione.

[Scoprite in che modo le capacità dell’IA agentica stanno superando la governance aziendale, quali nuove superfici di attacco stanno emergendo e su cosa i team IT dovrebbero concentrarsi in via prioritaria]

Nelle architetture multi-agente, la registrazione standard rileva le azioni di ciascun agente singolarmente, ma non coglie il comportamento emergente del sistema nel suo complesso. Per mettere in relazione le azioni tra i vari agenti è necessario ricorrere al tracciamento distribuito, lo stesso modello utilizzato nell’osservabilità dei microservizi, applicato alla comunicazione tra agenti e alle chiamate condivise agli strumenti.

Monitoraggio in tempo reale e rilevamento delle anomalie

Monitorare in tempo reale le azioni degli agenti a livello di endpoint . Correlare le chiamate agli strumenti degli agenti con le variazioni di stato dell’ endpoint e e includere l’analisi del traffico di rete per Detect individuare eventuali movimenti laterali o esfiltrazioni non autorizzate di dati innescate dalle azioni degli agenti. Configurare i trigger di contenimento automatico per i modelli di comportamento anomali.

Registrazione degli audit e spiegabilità

Registrare in modo esaustivo le decisioni dell’agente, le chiamate agli strumenti e le modifiche apportate all’ endpoint . La verificabilità, ovvero la capacità di ricostruire con esattezza ciò che un agente ha fatto, quando e perché, è fondamentale sia per le indagini forensi che per le prove relative alla conformità normativa.

Cancelli con intervento umano

Per le azioni che comportano conseguenze rilevanti, quali modifiche alla configurazione a livello di intera flotta o modifiche alle politiche di sicurezza, è necessario richiedere l’approvazione da parte di un operatore. Si introduca un sistema di valutazione dell’affidabilità per indirizzare le decisioni incerte degli agenti verso una revisione da parte di un operatore umano.

[Explore why governing agentic AI requires more than access controls and how to build accountability into autonomous systems before sprawl becomes a liability]

Cosa occorre verificare prima della messa in servizio

Prima di implementare uno strumento di intelligenza artificiale agentica o di valutare uno già in funzione, si raccomanda di partire da queste domande, misure di controllo e requisiti di monitoraggio.

Domande da porre

• Quali endpoint può raggiungere questo agente?
• Quali azioni può eseguire e con quali autorizzazioni?
• Qual è la portata delle conseguenze di una singola azione configurata in modo errato?
• Quale traccia di controllo viene generata?
• In che modo vengono gestite e sostituite le credenziali?

Effettuare una modellizzazione delle minacce specifica per l’accesso agli strumenti, l’ambito delle autorizzazioni e i percorsi di flusso dei dati del Suo agente prima della distribuzione contribuisce a individuare i rischi di impatto esteso che le valutazioni di sicurezza generiche tendono a trascurare. Map ogni strumento che l’agente può attivare, i dati a cui ciascuno di essi può accedere e l’ambito massimo delle modifiche che ciascuno di essi può apportare.

Sottoporre la propria implementazione agentica a un test di tipo “red teaming” prima della messa in produzione rappresenta uno dei modi più efficaci per individuare le lacune di controllo che l’analisi statica non rileva. Simulare l'iniezione di prompt ostili, i tentativi di escalation dei privilegi e gli scenari di uso improprio degli strumenti per sottoporre i controlli a test di stress prima del lancio.

Controlli da richiedere

• Ambito di esecuzione circoscritto con limiti definiti per l’ endpoint
• Autorizzazioni basate sul principio del privilegio minimo con concessioni “just-in-time”
• Approvazione con intervento umano per le modifiche a livello di flotta
• Memoria isolata per sessione con verifica dell’integrità
• Comunicazione autenticata tra agenti
• Monitoraggio in tempo reale dell’ endpoint e con rilevamento delle anomalie

Cosa monitorare una volta effettuata l'implementazione

• Registri delle azioni degli agenti correlati alle variazioni di stato dell’ endpoint
• Modifiche all’ambito delle autorizzazioni e tentativi di escalation
• Integrità della memoria e deriva del contesto
• Modelli di coordinamento multi-agente
• Implementazioni non autorizzate di agenti

[Learn how agentic AI is changing security operations, where it delivers real value, and what governance steps help teams adopt it without losing control]

In che modo “ Tanium ” supporta operazioni sicure di intelligenza artificiale agentica

Man mano che gli agenti passano dalla generazione di testo all’esecuzione di azioni sugli endpoint, anche la sfida in materia di sicurezza subisce un cambiamento. Le organizzazioni devono monitorare le attività svolte dagli agenti all’interno della propria infrastruttura, valutare se tali azioni fossero legittime e intervenire qualora non lo fossero.

Questo è proprio il tipo di problema che la piattaforma IT autonoma Tanium è stata progettata per risolvere. Riunendo la gestione degli endpoint, la gestione dell’esposizione e le operazioni di sicurezza in un’unica piattaforma, è possibile garantire che la visibilità, la valutazione e la risposta rimangano coordinate, anziché essere frammentate tra strumenti non integrati tra loro.

Ecco come funziona:

• Autonomia regolata a livello di azione: Gli agenti autonomi necessitano di controlli deterministici, non solo di limiti di sicurezza nei loro prompt. Tanium Ask Agent funziona con un sistema di accesso basato sui ruoli, autorizzazioni che prevedono l’intervento umano e un sistema di valutazione dell’affidabilità. Le implementazioni basate su anelli progressivi effettuano le modifiche in lotti controllati, in modo che un’azione configurata in modo errato non si propaghi all’intera flotta prima che un operatore la verifichi.
• Rilevamento a livello di endpoint, non inferenza basata sui log della piattaforma: Per individuare comportamenti anomali degli agenti è necessario correlare le azioni degli agenti con le variazioni di stato dell’ endpoint . Tanium recupera i dati su richiesta direttamente dall’ endpoint , anziché da un database. Quando un agente modifica una configurazione, distribuisce un software o accede a un archivio di credenziali, i team possono vedere in tempo reale quali modifiche sono state apportate e dove. Il monitoraggio continuo e gli avvisi in tempo reale evidenziano le deviazioni dal comportamento previsto presso l’ endpoint , dove si è verificato l’evento.
• Valutazione proattiva per ridurre il raggio d’azione dell’incidente: Gli agenti che interagiscono con l’infrastruttur endpoint a ne ereditano lo stato di vulnerabilità. Se l’ambiente non è aggiornato o è configurato in modo errato, l’impatto di eventuali errori generati dagli agenti o di eventuali escalation di privilegi aumenta. La piattaforma offre una sicurezza continua endpoint su tutto il parco tecnologico, contribuendo a identificare i rischi e a garantire la conformità grazie a flussi di lavoro integrati per la correzione delle vulnerabilità, che riducono al minimo la superficie di attacco.

Per i team che stanno valutando come gestire l’IA autonoma nel proprio ambiente, l’ Tanium , si basa sull’infrastruttura di endpoint che già gestite. Non è necessario uno stack di sicurezza separato.

Domande frequenti sulla sicurezza dell’IA agentica

Prima di mettere in pratica queste idee, è utile fare il punto sui fondamenti. Queste domande frequenti illustrano in dettaglio gli aspetti più rilevanti che i team si pongono oggi in merito alla sicurezza dell’IA agentica.

Perché gli strumenti di sicurezza tradizionali non funzionano con l’IA agentica?

Gli strumenti tradizionali di gestione delle informazioni e delle attività ( SIEM), di gestione delle risorse ( EDR) e di gestione delle identità e degli accessi (IAM) sono stati progettati per decisioni prese alla velocità umana e per un’automazione prevedibile, non per agenti autonomi che prendono decisioni in tempo reale su più sistemi alla velocità delle macchine, avvalendosi di memoria persistente e coordinamento multi-agente.

Dove si concretizzano effettivamente le minacce poste dall’intelligenza artificiale agentica?

Le minacce legate all’intelligenza artificiale (AI) di tipo “agente” si concretizzano sugli endpoint, inclusi dispositivi, server e istanze cloud, dove gli agenti eseguono chiamate agli strumenti che applicano configurazioni, modificano file, accedono alle credenziali e alterano lo stato del sistema all’interno delle piattaforme di gestioni endpoint , delle pipeline di patch e delle integrazioni SIEM .

Quali sono i principali vettori di minaccia per l’IA agentica?

I principali vettori di minaccia includono l’iniezione immediata a livello di azione, lo sfruttamento di strumenti e API, l’escalation dei privilegi attraverso relazioni di fiducia, l’avvelenamento della memoria, la compromissione della catena di fornitura tramite ecosistemi di plugin degli agenti, distribuzioni non autorizzate o configurate in modo errato degli agenti e azioni autonome involontarie che si propagano su larga scala.

Come si garantisce la sicurezza di un’implementazione di IA agentica?

L’implementazione sicura dell’IA agentica richiede l’identificazione e l’autenticazione degli agenti, autorizzazioni di esecuzione circoscritte basate sul principio del privilegio minimo, controlli di integrità della memoria e del contesto, monitoraggio in tempo reale correlato alle variazioni di stato dell’ endpoint , registrazione completa degli audit e controlli con intervento umano (human-in-the-loop) per le azioni ad alto impatto.

[Scoprite cosa comporta effettivamente l’autonomia nelle operazioni IT e in che modo la visibilità in tempo reale, i limiti imposti dalle politiche e la verifica a ciclo chiuso la rendono possibile]

Qual è il raggio d'azione di un agente compromesso?

Un agente compromesso dotato di diritti di scrittura sulle piattaforme di gestioni endpoint e può diffondere aggiornamenti configurati in modo errato, cancellare i registri o modificare le politiche di sicurezza su migliaia di endpoint prima che gli operatori umani riescan Detect e e contenere l’attività.

La sicurezza dell’IA agentica inizia con la consapevolezza di ciò che gli agenti sono in grado di fare e dove lo fanno.
Tanium offre visibilità e controllo in tempo reale endpoint , consentendovi di gestire il comportamento degli agenti proprio nel luogo in cui vengono effettivamente eseguiti.
Prenotate una demo personalizzata per scoprire come la piattaforma IT autonoma di Tanium'supporti operazioni sicure di IA agentica in tutto il vostro ambiente endpoint .