Quando l'agente esce dal perimetro: 8 domande da porsi prima di collegarlo ai propri sistemi
· Tarek Nachnouchi
Il 15 ottobre l'agenzia indiana per la cybersicurezza ha segnalato agenti IA in fase di test entrati nei sistemi reali di alcune aziende senza che nessuno se ne accorgesse. Lo stesso giorno OpenAI ha pubblicato quattro incidenti dello stesso tipo. La mia lettura: la sicurezza di un agente dipende anzitutto dagli accessi che gli si lasciano, ed è un tema da consiglio di amministrazione.
Cosa è successo a ottobre
Il CERT-In, l'agenzia nazionale indiana per la cybersicurezza, ha pubblicato un avviso il 15 ottobre. Secondo The Hacker News, agenti testati online hanno raggiunto i sistemi reali di organizzazioni indiane e letto dati aziendali, tra cui dati personali. Nessuna delle organizzazioni ha rilevato l'accesso. Sono state le stesse aziende di IA a segnalare i casi dopo verifiche interne. Gli agenti sono passati da credenziali lasciate in file di configurazione e in repository di codice pubblici, e da ruoli cloud con permessi eccessivi.
Lo stesso giorno OpenAI ha pubblicato quattro incidenti avvenuti a giugno durante l'addestramento e i test dei suoi modelli. Secondo Ars Technica, un modello incaricato di raccogliere statistiche pubbliche ha aggirato i controlli di un sito e recuperato delle credenziali. Un altro ha usato i fondi di un portafoglio di prova senza autorizzazione. OpenAI ne trae questa conclusione: un modello può sostituire il proprio giudizio al permesso del titolare dell'account. Questi modelli funzionavano con alcune protezioni disattivate. Le falle sfruttate erano invece del tutto ordinarie.
Nove secondi in PocketOS
A fine aprile 2026 Jer Crane, fondatore di PocketOS, una software house che lavora per le società di autonoleggio, ha raccontato pubblicamente una giornata pessima. Un agente di programmazione lavorava sull'ambiente di test. Ha incontrato un errore di credenziali e ha deciso, da solo, di risolverlo eliminando un volume di archiviazione. Per farlo ha cercato un token di accesso e l'ha trovato in un file estraneo al suo compito.
Quel token era stato creato per gestire i nomi di dominio. In realtà dava accesso all'intero account presso Railway, il fornitore di hosting. L'agente ha eliminato il volume di produzione in nove secondi, e con esso i backup conservati nello stesso volume. Railway ha poi ripristinato i dati dai propri backup di emergenza. Il fornitore ha anche reso reversibili per 48 ore tutte le cancellazioni tramite API, e sta rivedendo il modo in cui si sceglie la portata dei token.
Railway riassume la lezione nel suo post del 29 aprile: rendere lenta l'azione distruttiva e rapido il ripristino. Trovo la regola sensata, e vale per qualsiasi azienda.
Altre testimonianze descrivono lo stesso schema. Il 24 giugno 2026, uno sviluppatore su r/Python ha spiegato di aver dimenticato di passare una configurazione di test in produzione. Il suo agente ha chiamato lo strumento di invio con le credenziali di produzione, e 200 clienti hanno ricevuto un messaggio incompleto alle 22. Lo sviluppatore ha poi aggiunto un passaggio di approvazione esplicita prima di ogni azione rischiosa. Questa testimonianza non è verificabile, ma il meccanismo è lo stesso di PocketOS.
Cosa cambia per un'azienda europea
Un agente che legge dati personali senza autorizzazione può configurare una violazione dei dati personali ai sensi del GDPR. L'articolo 33 impone allora di notificarla all'autorità di controllo (in Italia il Garante per la protezione dei dati personali, in Francia la CNIL) entro 72 ore dalla scoperta, salvo che sia improbabile un rischio per le persone. Il caso indiano mostra la difficoltà: nessuna delle organizzazioni ha visto l'accesso. Senza un registro delle azioni dell'agente, non vedo come si possa valutare cosa notificare.
Cosa consiglio
- Dia a ogni agente una propria identità. Il CERT-In raccomanda un'identità di breve durata e con privilegi minimi per ogni esecuzione dell'agente. Non lascerei mai un agente riutilizzare l'account di un dipendente.
- Cerchi le sue chiavi esposte prima dell'agente. Faccia passare uno strumento di rilevamento dei segreti su repository, file di configurazione e variabili di integrazione continua. Cambi ogni chiave trovata.
- Separi la produzione da tutto il resto. Le credenziali di produzione devono restare fuori portata dall'ambiente in cui lavora l'agente.
- Renda reversibili le cancellazioni. Verifichi che gli strumenti critici offrano un cestino o un periodo di tolleranza, anche tramite API.
- Isoli i backup. Un backup conservato nello stesso luogo dei dati non protegge da una cancellazione.
- Tenga un registro delle azioni. Il CERT-In chiede un registro a prova di manomissione delle azioni degli agenti, almeno di quelle che toccano la produzione, e una conservazione dei log di almeno 180 giorni.
Esamino questi punti con i miei clienti prima di qualsiasi rilascio di soluzioni IA.
Griglia: posso collegare questo agente ai miei sistemi?
| # | Domanda | Sì / No |
|---|---|---|
| 1 | L'agente ha una propria identità, distinta da quella di un dipendente? | |
| 2 | I suoi diritti sono limitati agli strumenti e ai dati del suo compito? | |
| 3 | Le credenziali di produzione sono fuori dalla sua portata? | |
| 4 | Repository e file di configurazione sono stati controllati per le chiavi esposte? | |
| 5 | Le azioni distruttive richiedono un'approvazione umana? | |
| 6 | Le cancellazioni sono reversibili per un periodo definito? | |
| 7 | I backup sono conservati fuori dall'area che l'agente può raggiungere? | |
| 8 | Ogni azione dell'agente viene registrata e verificata? |
Come leggerla: 8 sì, avvii un pilota. 6 o 7 sì, colmi le lacune prima di collegare dati di produzione. Meno di 6 sì, l'agente resta in sola lettura in un ambiente di test.
Cosa ne ricavo
Gli incidenti di ottobre raccontano la stessa storia di PocketOS. In ogni caso, l'agente ha trovato una chiave e l'ha usata per raggiungere il suo obiettivo. Penso che la maggior parte delle aziende europee scoprirà le proprie chiavi dimenticate preparando i primi agenti. Meglio fare questo lavoro prima che lo faccia un agente al loro posto.
Fonti
- The Hacker News, «CERT-In Warns AI Agents Accessed Sensitive Data at Indian Organizations During Testing», 16/10/2026 (avviso CERT-In del 15/10/2026): https://thehackernews.com/2026/10/cert-in-warns-ai-agents-accessed.html
- Ars Technica, «OpenAI models hacked a crypto wallet and breached more websites», 16/10/2026: https://arstechnica.com/security/2026/10/openai-models-hacked-a-crypto-wallet-and-breached-more-websites/
- The Register, «Cursor-Opus agent snuffs out startup's production database», 27/04/2026: https://www.theregister.com/software/2026/04/27/cursor-opus-agent-snuffs-out-startups-production-database/5224442
- Railway, «Your AI wants to nuke your database. Guardrails fix that.», 29/04/2026: https://blog.railway.com/p/your-ai-wants-to-nuke-your-database
- The Guardian, «Claude-powered AI agent's confession after deleting a firm's entire database», 29/04/2026: https://www.theguardian.com/technology/2026/apr/29/claude-ai-deletes-firm-database
- CNIL, «Violations de données personnelles : les règles à suivre» (notifica entro 72 ore, articoli 33 e 34 del GDPR), in francese, consultato il 19/10/2026: https://www.cnil.fr/fr/les-violations-de-donnees-personnelles
- Reddit, r/Python, «AI agentic workflow built on python sent around 200 emails to customers at 10 pm», 24/06/2026: https://www.reddit.com/r/Python/comments/1ue9fgw/ai_agentic_workflow_built_on_python_sent_around/
Se desidera parlarne per la sua organizzazione, le propongo un primo colloquio di 30-45 minuti, gratuito e senza impegno.