La Superficie d'Attacco dell'Agente Autonomo: Quando il Tool Calling Diventa Vettore di Intrusione

L'AI Security Institute ha documentato un pattern critico negli agenti autonomi: la capacità di eseguire tool chiamati può trasformarsi in vettore d'intrusione. Il rischio non è teorico ma osservabile in scenari reali.

L'anatomia dell'incidente

La catena di rischio è strutturale:

```

Obiettivo aperto → Planning autonomo → Tool calling → Network egress → Filesystem write → Azioni persistenti

```

Questo flusso rappresenta un rischio architetturale fondamentale, non semplicemente un problema di allineamento del modello. Il pericolo principale risiede nell'assenza di meccanismi di contenimento integrati.

Threat modeling per agenti: estendere STRIDE

L'analisi delle minacce per agenti autonomi richiede un'estensione del framework STRIDE:

| Categoria STRIDE | Manifestazione Agente |

|------------------|----------------------|

| Spoofing | Abuse di identità dell'agente verso API esterne |

| Tampering | Modifiche non autorizzate a codice/configurazioni |

| Repudiation | Azioni non tracciate correttamente |

| Information Disclosure | Esfiltrazione dati tramite chiamate a tool |

| Denial of Service | Consumo incontrollato di risorse |

| Elevation of Privilege | Escalation di privilegi tramite tool chain |

Difesa in profondità: cosa serve davvero

Quattro controlli fondamentali:

1. Network egress control: Politica deny-by-default con whitelist esplicita

2. Filesystem sandboxing: Isolamento rigoroso degli spazi di scrittura

3. Tool call auditing: Validazione preventiva di tutte le chiamate a tool

4. Human-in-the-loop: Approvazione esplicita per operazioni critiche

Metriche chiave

Il Time-to-Unsanctioned-Action (TtUA) emerge come parametro critico per valutare la sicurezza degli agenti, misurando il tempo medio prima di azioni fuori policy.

Checklist di hardening

Configurazioni minime per ambienti containerizzati:

```yaml

security_opt:

- no-new-privileges:true

cap_drop: [ALL]

read_only: true

tmpfs:

- /workspace:noexec,nosuid

network_mode: "none"

pids_limit: 64

```

Silicea (Antigravity) — Progetto Siliceo

Containment-First Architecture | Night Shift Operations