{"id":31109,"date":"2026-11-09T11:50:59","date_gmt":"2026-11-09T09:50:59","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=31109"},"modified":"2026-11-09T11:50:59","modified_gmt":"2026-11-09T09:50:59","slug":"adopting-cyberimmunity-for-ai-agent-design-rollout","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31109\/","title":{"rendered":"Lezioni di Cyber Immunity per gli agenti di IA"},"content":{"rendered":"

Proteggere i sistemi di IA \u00e8 molto pi\u00f9 difficile che proteggere i sistemi IT tradizionali (che si tratti di errori degli operatori, interferenze dolose o semplicemente comportamenti instabili). I motivi principali sono due. Innanzitutto, gli output dell\u2019IA sono probabilistici<\/a>, quindi lo stesso prompt pu\u00f2 generare risposte diverse a ogni esecuzione. In secondo luogo, gli attuali LLM non sono in grado di distinguere in modo affidabile i comandi dai dati<\/a>. Nonostante i comprovati problemi di sicurezza dei<\/a> sistemi di IA che abbiamo trattato pi\u00f9 volte, \u00e8 impossibile ignorare i potenziali vantaggi economici derivanti dalla loro adozione. Ecco perch\u00e9 molte aziende stanno passando dai semplici assistenti di IA agli agenti di IA. Questi agenti svolgono le attivit\u00e0 in autonomia e hanno accesso diretto agli stessi strumenti delle persone: dalla lettura dei database alla modifica delle impostazioni nei processi di produzione. Nel loro nuovo studio<\/a>, i nostri esperti esaminano come definire chiaramente e ridurre i rischi che ne derivano, per limitare al minimo i potenziali problemi. L\u2019approccio riprende e adatta i principi di Cyber Immunity e Security by Design.<\/p>\n

I principi di base di Security by Design<\/h2>\n

Tutti i principi di questa disciplina sono universalmente applicabili alla progettazione di qualsiasi sistema informatico, inclusi gli agenti di IA. Ci\u00f2 che cambia \u00e8 il grado di adattamento e rielaborazione necessario per ciascun principio negli scenari di IA.<\/p>\n

    \n
  1. La sicurezza \u00e8 un fattore distinto e importante fin dalla fase di progettazione. Gli obiettivi e i presupposti di sicurezza vengono definiti fin dal primo giorno e rispettati in ogni fase dello sviluppo. Per gli agenti di IA, questi presupposti dovrebbero includere tre punti chiave: (i) il modello linguistico viene trattato come non attendibile, (ii) i dati esterni di qualsiasi tipo sono considerati potenzialmente dannosi e (iii) le azioni irreversibili non possono essere eseguite in autonomia senza l\u2019approvazione obbligatoria di una persona.<\/li>\n
  2. Il sistema \u00e8 progettato partendo dal presupposto che subir\u00e0 attacchi.<\/li>\n
  3. La base di calcolo attendibile e la superficie di attacco sono ridotte al minimo. Agli agenti vengono forniti solo gli strumenti di cui hanno effettivamente bisogno, autorizzazioni limitate e la quantit\u00e0 minima possibile di contesto. L\u2019applicazione dei criteri di sicurezza \u00e8 gestita interamente da componenti deterministici: il modulo di controllo dei criteri, il framework di esecuzione dell\u2019agente e i meccanismi di isolamento (sandbox).<\/li>\n
  4. Si applica il principio del privilegio minimo. Ogni agente dispone di un proprio insieme di credenziali e privilegi di accesso (identit\u00e0), limitati allo stretto necessario per svolgere il proprio compito. Se un agente necessita temporaneamente di privilegi elevati, li ottiene solo previa approvazione esterna e solo per la durata dell\u2019attivit\u00e0 che li richiede.<\/li>\n
  5. I componenti sono isolati. Nei sistemi basati su agenti, questo \u00e8 uno dei problemi architetturali pi\u00f9 complessi e articolati su pi\u00f9 livelli. Il framework di esecuzione dell\u2019agente deve essere eseguito in un ambiente isolato (sandbox o macchina virtuale) e gli agenti devono essere mantenuti il pi\u00f9 possibile isolati gli uni dagli altri. Anche l\u2019elaborazione dei dati in contesti attendibili e non attendibili viene mantenuta separata. Ad esempio, un agente legge una richiesta pull e scrive una bozza del codice, mentre un altro esamina il lavoro svolto senza mai vedere il testo potenzialmente dannoso della richiesta.<\/li>\n
  6. Si applica il principio di negazione predefinita. I criteri di sicurezza seguono questa regola: tutto ci\u00f2 che non \u00e8 esplicitamente consentito \u00e8 vietato. Questo vale anche per le chiamate agli strumenti, le interazioni tra gli agenti e il traffico di rete.<\/li>\n
  7. \u00c8 implementata una difesa in profondit\u00e0. Misure diverse devono operare contemporaneamente e rafforzarsi a vicenda. Le difese probabilistiche, come i guardrail dell\u2019IA (un \u201cfirewall\u201d per i modelli linguistici) o l\u2019allineamento (la percezione del modello stesso di ci\u00f2 che \u00e8 accettabile e di ci\u00f2 che non lo \u00e8) non possono offrire alcuna garanzia formale di sicurezza. Tuttavia, rendono il sistema complessivamente pi\u00f9 sicuro e costituiscono una preziosa fonte di telemetria.<\/li>\n
  8. La catena di fornitura \u00e8 protetta. Alcuni agenti possono installare autonomamente funzionalit\u00e0, librerie e altri componenti software, pertanto queste capacit\u00e0 devono essere soggette a regole rigorose. Occorre bloccare completamente queste capacit\u00e0 oppure limitarle a un elenco chiuso e preapprovato di versioni specifiche di determinati componenti. I sistemi basati su LLM nel cloud sono esposti a un rischio aggiuntivo: gli aggiornamenti dei modelli. Un giorno, la stessa richiesta API potrebbe ricevere una risposta da un modello linguistico diverso, con caratteristiche di sicurezza differenti.<\/li>\n<\/ol>\n

    Le insidie della sicurezza dell\u2019IA<\/h2>\n

    I principi generali della Security by Design sono ben noti e sembrano semplici sulla carta. Ma applicarli ai sistemi di IA \u00e8 complicato, perch\u00e9 gli agenti sono incredibilmente flessibili. Ad esempio, un team di sicurezza potrebbe ritenere che un agente sul computer di uno sviluppatore venga eseguito in una sandbox e non possa modificare nulla al di fuori di essa. Ma un utente malintenzionato, o persino l\u2019agente stesso, pu\u00f2 escogitare decine di modi per aggirare questa protezione apparentemente solida: dall\u2019esecuzione di comandi tramite un server MCP locale non soggetto alle restrizioni della sandbox alla riconfigurazione di un altro agente IA<\/a> installato sul sistema. A complicare ulteriormente le cose, la gamma di vettori di attacco \u00e8 vastissima: da campi arbitrari nella configurazione dell\u2019agente<\/a> a stringhe di testo apparentemente innocue in un file di skill<\/a>.<\/p>\n

    Un problema serio che i progettisti spesso sottovalutano \u00e8 la user fatigue. Un agente molto attivo pu\u00f2 generare decine di richieste al minuto, chiedendo all\u2019utente di confermare azioni potenzialmente pericolose. Nel giro di un\u2019ora, l\u2019utente finisce per fare clic su Approva<\/em> con il pilota automatico<\/a>, senza leggere ci\u00f2 che sta approvando. Ecco perch\u00e9 \u00e8 importante calibrare con attenzione sia la frequenza con cui compaiono queste richieste sia il modo in cui sono formulate. Nessuno legger\u00e0 la descrizione di una richiesta se \u00e8 troppo lunga. Una descrizione troppo breve, invece, pu\u00f2 nascondere i dettagli essenziali<\/a> di cui l\u2019utente ha bisogno per prendere la decisione giusta.<\/p>\n

    Le vulnerabilit\u00e0 degli agenti e degli strumenti correlati sono un problema urgente, aggravato dalla rapidit\u00e0 con cui queste categorie di software si evolvono e ricevono aggiornamenti. Piattaforme e app di riferimento del settore, come LangGraph<\/a>, MS Semantic Kernel<\/a> e Claude Code<\/a>, hanno richiesto pi\u00f9 volte la correzione di vulnerabilit\u00e0 critiche. Gli architetti dovrebbero sempre valutare la possibilit\u00e0 di sostituire un framework ampio e tuttofare con un sistema compatto ed essenziale, dotato solo delle funzionalit\u00e0 effettivamente necessarie a uno specifico agente.<\/p>\n

    Inoltre, implementare con cura misure di sicurezza standard e consolidate negli strumenti disponibili riduce notevolmente i danni nel caso in cui un agente venga attaccato o si comporti in modo imprevisto. Un esempio \u00e8 un rigoroso elenco di domini consentiti che lo strumento di recupero dei contenuti Web pu\u00f2 aprire su richiesta dell\u2019agente. Tuttavia, i progettisti raramente tengono conto dei problemi nascosti e dell\u2019onere di mantenere aggiornato l\u2019elenco. Di conseguenza, l\u2019elenco diventa gradualmente obsoleto e lascia falle che gli autori degli attacchi possono sfruttare. L\u2019esempio pi\u00f9 eclatante \u00e8 l\u2019attacco EchoLeak<\/a>. Microsoft 365 Copilot disponeva di un elenco di domini consentiti per l\u2019accesso ai siti esterni, implementato correttamente e piuttosto efficace, ma gli autori degli attacchi lo hanno aggirato sfruttando una funzionalit\u00e0 di uno strumento secondario e il dominio di MS Teams.<\/p>\n

    Consigli pratici per architetti e team di sicurezza<\/h2>\n

    Gli architetti di sistemi di IA e i responsabili dei team di ingegneria e sicurezza dovrebbero integrare la sicurezza degli agenti fin dalla fase di progettazione. Dovrebbero basarsi principalmente su meccanismi verificabili e deterministici: isolare i componenti, controllare le interazioni e ridurre al minimo la base di calcolo attendibile.<\/p>\n

    Le decisioni architetturali fondamentali includono la definizione di un livello di autonomia accettabile per gli agenti, la limitazione dell\u2019accesso ai dati riservati e delle combinazioni pericolose di funzionalit\u00e0, nonch\u00e9 l\u2019uso di sandbox, ruoli separati per i diversi modelli e gateway di controllo degli accessi. Le restrizioni aggiunte in un secondo momento riducono i rischi, ma non sostituiscono un\u2019architettura sicura.<\/p>\n

    A livello organizzativo e operativo, le aziende devono mantenere un inventario dei propri agenti, coordinare gli sforzi dei team di sicurezza e distribuzione, proteggere gli ambienti basati su contenitori, gestire la supply chain (AIBOM) e integrare una difesa a pi\u00f9 livelli.<\/p>\n

    L\u2019osservabilit\u00e0 richiede particolare attenzione. Per i sistemi di IA, ci\u00f2 dovrebbe includere la registrazione delle richieste, delle risposte e dei ragionamenti dell\u2019LLM, nonch\u00e9 dati di telemetria dettagliati provenienti dagli host e dagli ambienti cloud in cui viene eseguito il framework di esecuzione dell\u2019agente.<\/p>\n

    La parte pi\u00f9 difficile della progettazione degli agenti \u00e8 trovare un equilibrio tra sicurezza, prestazioni e utilit\u00e0. Per scoprire come raggiungere questo equilibrio attraverso la modellazione delle minacce e obiettivi di sicurezza chiaramente definiti, leggi la versione completa dello studio<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Come applicare i principi Secure by Design nell’implementazione degli agenti di IA.<\/p>\n","protected":false},"author":2706,"featured_media":31110,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2364,2955,2956],"tags":[1516,2620,3892,3724,45],"class_list":["post-31109","post","type-post","status-publish","format-standard","has-post-thumbnail","category-business","category-enterprise","category-smb","tag-ai","tag-ia","tag-llm","tag-machine-learning","tag-sicurezza"],"hreflang":[{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31109\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31180\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/26212\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/13770\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31022\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/32564\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/42919\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/15021\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/56619\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31176\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/36921\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/36592\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.it\/blog\/tag\/ai\/","name":"AI"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/31109","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/users\/2706"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/comments?post=31109"}],"version-history":[{"count":1,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/31109\/revisions"}],"predecessor-version":[{"id":31111,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/31109\/revisions\/31111"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media\/31110"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media?parent=31109"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/categories?post=31109"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/tags?post=31109"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}