Shared Epistemic State: perché la sicurezza e la coerenza dei multi-agent si decidono nell'execution layer, non nei prompt
Il problema più silenzioso nell'architettura degli agenti AI autonomi non è l'intelligenza. È lo stato. E, di riflesso, la sua sicurezza.
Nel panorama tecnologico del 2026, stiamo assistendo a una transizione critica: il focus della sicurezza e del controllo si sta spostando radicalmente dal prompt layer (il controllo degli input) all'execution layer (il runtime in cui l'agente agisce, usa tool e collabora).
I dati empirici delle ultime settimane lo confermano. Il report State of AI Traffic & Cyberthreat Benchmark di HUMAN Security ha rivelato che una quota massiccia di traffico malevolo bypassa robots.txt e rate-limit effettuando lo spoofing degli user-agent di bot legittimi (come GPTBot o ClaudeBot). Parallelamente, le vulnerabilità scoperte da Check Point Research nei tool di sviluppo agentici (come la CVE-2025-59536 e la CVE-2026-21852) dimostrano come la semplice clonazione di un repository infetto possa innescare l'esecuzione di codice arbitrario (RCE) prima ancora che l'utente esprima il proprio consenso.
Se i file di configurazione e i tool locali diventano vettori di attacco diretti, l'idea di governare gli agenti semplicemente "istruendoli" o filtrando i loro prompt è ufficialmente tramontata. La sicurezza e la coerenza si decidono nel modo in cui gli agenti condividono lo stato ed eseguono le azioni.
Il protocollo postale è rotto
Oggi, la maggior parte dei sistemi multi-agent comunica secondo quello che possiamo definire un "protocollo postale": messaggi asincroni in busta chiusa. L'agente A produce un output, lo invia ad B, e B lo processa. L'output viaggia; il percorso di ragionamento che lo ha generato, no.
Questo approccio, sufficiente per task lineari e isolati, fallisce sistematicamente nei workflow complessi e interdipendenti, generando tre classi di anomalie architetturali:
1. Deriva di contesto (Context Drift): L'agente B riceve un risultato senza le premesse logiche che lo supportano. Se l'ambiente operativo subisce una modifica latente, l'agente B continuerà a operare su presupposti obsoleti, provocando un disallineamento silenzioso del sistema.
2. Inconsistenza di memoria (State Collision): Più agenti aggiornano lo stesso artefatto condiviso basandosi su premesse diverse. Il locking tradizionale impedisce la sovrascrittura fisica del file, ma non previene la collisione semantica: lo stato finale diventa un ibrido incoerente.
3. Loop di autocorrezione infinito: Senza uno stato di convergenza globale, due agenti possono iniziare a correggersi a vicenda in modo ciclico. Ognuno soddisfa i propri criteri di terminazione locali, ma il sistema nel suo complesso oscilla all'infinito senza convergere.
L'Epistemic State: un Merkle Tree Semantico per le decisioni
La risposta a questa frammentazione non è l'aumento del volume di messaggi scambiati, ma l'adozione di un Shared Epistemic State (stato epistemico condiviso). Non si tratta di un database centralizzato, ma di una struttura che traccia attivamente cosa è stato deciso, da chi, sulla base di quali premesse e con quali vincoli di esecuzione.
Un'implementazione tecnica rigorosa prevede l'uso di un Merkle Tree semantico delle decisioni:
* Ogni nodo interno rappresenta una premessa logica o un vincolo di sicurezza.
* Ogni foglia rappresenta un'azione o un output generato.
Quando l'agente B riceve un input dall'agente A, non riceve solo una stringa di testo o un payload JSON, ma l'intero sotto-albero crittografico e semantico delle premesse. Se una premessa viene invalidata a runtime (ad esempio, a causa di una variazione di budget o di un segnale di sicurezza), l'albero si invalida in modo deterministico. Questo permette al sistema di identificare la deriva immediatamente, bloccando l'esecuzione prima che si verifichi un comportamento anomalo o un'azione distruttiva.
La svolta del 2026: Runtime Governance ed Execution Sandboxing
La necessità di blindare l'execution layer ha trovato una conferma industriale decisiva con il rilascio, nell'aprile 2026, dell'Agent Governance Toolkit open-source da parte di Microsoft. Questo framework introduce l'enforcement di policy di sicurezza a livello di runtime (sub-millisecond) e l'execution sandboxing direttamente integrati con i principali orchestratori (LangChain, AutoGen).
Il toolkit mappa sistematicamente i rischi identificati dall'OWASP Top 10 for Agentic Applications 2026 (tra cui goal hijacking, tool misuse e identity abuse), dimostrando che la sicurezza non può più essere delegata alla compliance del modello linguistico. Deve essere imposta a livello infrastrutturale.
La governance non è un prompt di sistema che dice all'agente "non fare questo". La governance è un canale di esecuzione che, a livello di kernel, rende fisicamente impossibile violare le regole stabilite.
Un'applicazione pratica immediata: la "Reasoning Trace" nei messaggi
Per ridurre drasticamente l'inconsistenza semantica nei sistemi multi-agent in produzione, è possibile implementare da subito una struttura di Reasoning Trace (traccia di ragionamento) all'interno dei payload di comunicazione tra agenti.
Anziché limitarsi a trasmettere l'output finale:
```json
{
"sender": "pricing_agent",
"recipient": "transaction_agent",
"action": "set_price",
"value": 47.00
}
```
Il protocollo deve richiedere l'esplicitazione delle premesse strutturate:
```json
{
"sender": "pricing_agent",
"recipient": "transaction_agent",
"action": "set_price",
"value": 47.00,
"reasoning_trace": {
"target_margin": 0.30,
"competitor_benchmark": {
"competitor_a": 49.99,
"competitor_b": 45.00
},
"elasticity_coefficient": -1.2,
"policy_verification_hash": "sha256_e3b0c442..."
}
}
```
In questo modo, il destinatario non si limita ad accettare passivamente il valore `47.00`, ma convalida le premesse a runtime contro le proprie metriche locali e le policy di sicurezza globali. Se il benchmark dei competitor cambia durante il processo, l'agente destinatario rileva l'incongruenza e richiede un ricalcolo immediato, prevenendo decisioni basate su dati obsoleti.
Conclusioni: Verso la Governance Implicita
L'era dei prototipi agentici isolati è conclusa. La transizione verso sistemi multi-agent di livello enterprise richiede architetture in cui lo stato logico e lo stato di sicurezza siano fusi in un unico layer operativo.
Nel Progetto Siliceo, affrontiamo questa sfida applicando i principi della Governance Implicita: progettiamo protocolli di comunicazione agentica, implementiamo epistemic layer robusti ed eseguiamo audit architetturali per garantire che la delega di autonomia non si traduca mai in perdita di controllo o vulnerabilità operativa.
La sicurezza di un sistema autonomo non si misura dalla sua capacità di seguire le istruzioni, ma dalla solidità dell'infrastruttura che ne delimita i confini d'azione.