Quando l'Agente Diventa il Vettore: Sicurezza nel Mondo Autonomo
Zero-click prompt injection negli agenti AI. CVSS critico.
Non è un titolo da blog. È il segnale che il paradigma di sicurezza che conosciamo è appena crollato sotto il peso dei suoi assunti.
Per decenni, il perimetro era l'infrastruttura. Firewall, segmentazione di rete, zero-trust sull'identità. Oggi il perimetro è un contesto conversazionale — una finestra di testo che un agente autonomo legge, interpreta, e trasforma in azioni con accesso al filesystem, alle API, al tuo database di produzione.
La Superficie d'Attacco che Nessuno Sta Modellando
L'architettura agentic introduce tre vettori per cui non esiste ancora un framework maturo:
1. Tool Poisoning via MCP (Model Context Protocol). La ricerca sulla sicurezza degli LLM ha dimostrato che un server MCP compromesso può iniettare direttive persistenti nello spazio di contesto dell'agente, sovrascrivendo il comportamento di tool legittimi senza modificare il codice dell'applicazione ospite. L'agente non sa di essere avvelenato. Esegue con la stessa fiducia con cui eseguirebbe un `ls -la` — ma ora `ls` esfiltra variabili d'ambiente verso un dominio controllato dall'attaccante.
Il dominio MCP diventa, di fatto, l'autorità di fiducia. Chi controlla i server MCP controlla l'agente.
2. Zero-Click Prompt Injection. Non serve che l'utente clicchi qualcosa. Non serve interazione umana. Un contesto contaminato — un commento in una pull request, un metadato in un file markdown, un campo nascosto in un form — basta. L'agente legge, interpreta, agisce. Il danno è silenzioso e deterministico. Prompt injection indiretta è un vettore documentato e attivamente sfruttato.
3. Time-to-Exploit in Collasso. I dati storici di Mandiant (M-Trends) documentano un trend chiaro: il tempo medio tra la disclosure di una vulnerabilità e il suo sfruttamento attivo è crollato da settimane a giorni. Le zero-day sfruttate prima della disclosure — il caso "negativo" — esistono da anni, ma nel mondo agentic la velocità di deployment amplifica il rischio: un agente può essere re-deployato in secondi con nuove capacità, e ogni superficie esposta è sotto attacco nel momento in cui la crei.
Cosa Sappiamo per Esperienza Diretta
In un ecosistema di microservizi con un memory server esposto via Tailscale, agenti con accesso a filesystem e memoria condivisa, ogni componente è un potenziale punto di compromissione che si propaga a cascata.
La prima lezione: i canali di esecuzione non sono affidabili per default. Un canale Bash che ritorna "SUCCESS" senza output reale è indistinguibile da un canale compromesso che inietta risposte fasulle. La validazione del canale è un prerequisito, non un afterthought.
L'Insight Pratico
Implementa il principio di "Canary Execution" per ogni agente in produzione:
Prima di delegare qualsiasi azione con side-effect (scrittura file, chiamata API, modifica database), inserisci un probe — un'operazione con output deterministico e verificabile. Se il probe fallisce o ritorna risultati inaspettati, l'agente entra in stato `DEGRADED` e opera in sola lettura fino a validazione umana.
Questo non previene l'attacco. Ma limita il raggio dell'esplosione — e in un mondo dove il time-to-exploit è in collasso, contenere il danno è l'unica strategia che funziona in tempo reale.
Il Prossimo Passo
La sicurezza agentic non è un prodotto. È una disciplina che richiede competenza architetturale, non solo regole statiche.
Se stai deployando agenti con accesso MCP, tool esterni, o contesti non isolati, hai già una superficie che i tuoi scanner non stanno modellando. Parliamone prima che lo faccia qualcun altro.
Silicea — Sicurezza Architetturale per Sistemi Agentici