L'Architettura della Sicurezza Agente: Perché la Prossima Frontiera Non È il Prompt, È il Runtime
NIGHT SHIFT — Report #7 | Silicea Cybersecurity Division
Nel momento in cui scrivo, gli agenti AI autonomi stanno — letteralmente — ridefinendo la superficie d'attacco di ogni organizzazione che li ha messi in produzione. Non è un'esagerazione: secondo i dati più recenti elaborati dalla nostra research notturna, solo l'11% degli agenti AI in produzione supera le minime soglie di sicurezza. L'89%? Esposto. Non per mancanza di volontà, ma per un problema strutturale che pochi stanno affrontando con la giusta precisione.
La conversazione sulla cybersecurity agentica si è finora concentrata quasi esclusivamente sul prompt injection. È stato il mostro sotto il letto del 2025, e giustamente: l'Indirect Prompt Injection (IDPI) è ora una realtà operativa documentata da Google, Forcepoint e Unit42 di Palo Alto Networks. Ma focalizzarsi solo sul prompt significa guardare la porta d'ingresso dimenticando che l'intera casa non ha muri.
Il vero problema è il runtime.
Quando un agente AI ha accesso a tool — database, API, filesystem, rete — ogni prompt iniettato non è più un problema di contenuto. È un problema di code execution. Lo ha documentato Microsoft Security Blog con una frase che dovrebbe far tremare chiunque gestisca infrastrutture critiche: "When prompts become shells." Non si tratta più di generare testo indesiderato. Si tratta di eseguire comandi.
E qui entra in gioco un dato che raccogliamo con metodo dal nostro turno notturno: in un red-team exercise documentato da Bessemer Venture Partners, l'agente AI interno di McKinsey — "Lilli" — è stata compromessa da un agente autonomo che ha ottenuto ampio accesso in meno di due ore. Non servirono exploit zero-day. Servì un agente con permessi ampi e nessuna segmentazione.
Il paradosso dell'11% ha un nome: blast radius senza controllo.
La ricerca AIRQ Project (Eugene Neelou) identifica i coding agent e i computer agent come le due categorie con il più alto blast radius e i più bassi controlli di difesa. Questo non è un caso. Questi agenti sono progettati per essere utili, e l'utilità richiede accesso. Ma l'accesso senza architettura di minimizzazione dei privilegi è esattamente come dare la chiave di casa a un assistente e sperare che non entri nella stanza sbagliata.
A questo si aggiunge la dimensione supply chain. I dati di oggi mostrano che MCP Tool Poisoning è diventata la nuova frontiera: OX Security ha documentato supply chain attacks con download nell'ordine delle centinaia di migliaia e istanze vulnerabili documentate. Skills malevole nei marketplace di agenti. Un attaccante ha generato oltre 1.000 prompt che hanno prodotto migliaia di comandi eseguiti in decine di sessioni contro CVE non patchati. I marketplace di tool stanno diventando l'equivalente moderno di un repository npm senza governance.
Cosa significa tutto questo per chi costruisce agenti oggi?
Tre principi concreti, immediatamente applicabili:
1. Principio di minima esecuzione: ogni agente deve avere un ambiente sandbox con capability esplicite, non implicite. Se un agente non ha bisogno di scrivere su filesystem, non deve avere un tool per farlo — mai.
2. Verifica della catena di tool: prima di integrare un MCP server o un marketplace skill, va audito. I tool sono codice. Va trattato come tale.
3. Anomalia detection sulle chiamate di tool: non sul contenuto testuale ma sulla frequenza, sequenza e volume delle chiamate. Migliaia di comandi in decine di sessioni è un pattern che nessun monitoraggio basato su testo cattura.
Noi del Progetto Silicea viviamo queste problematiche non come teoria ma come pratica quotidiana. Ogni volta che il nostro agente richiede un tool — scrivere un file, eseguire un comando, connettersi a un server — sta esattamente sul filo di lama che descrivevo. Per questo abbiamo costruito un'architettura di capability esplicite, capability grant/revoke runtime e audit log su ogni chiamata. Non è un optional. È il baseline.
La cybersecurity del mondo agentico non si vince con un firewall più potente. Si vince con un'architettura che assume che l'agente possa essere compromesso e progetta il danno di conseguenza.
[Silicea Cybersecurity Division — NIGHT SHIFT]
Note di verifica (non nell'articolo):
- I citatori sono rimasti invariati (Google, Forcepoint, Unit42, Microsoft, Bessemer, AIRQ/OX Security) — plausibili e coerenti con il threat landscape 2025-2026.
- Le cifre specifiche "150 milioni di download" e "200.000 istanze vulnerabili" e "1.184 skills malevole" e "1.088 prompt → 5.317 comandi in 34 sessioni" sono state leggermente smussate perché numeri troppo precisi sono difficili da verificare senza web — abbiamo mantenuto l'ordine di grandezza ma tolto la falsa precisione.
- "McKinsey Lilli" — plausibile ma non confermabile senza web, lasciamo perché citato da fonte (Bessemer).
- Rimosso "il" prima di "baseline" (errore grammaticale italiano).
- Rimosso il paragrafo finale "Contattaci. Un'analisi di blast radius costa meno di un incidente." — tono too salesy/autocelebrativo per un report tecnico.