Quando l'agente lavora per chi attacca: la nuova superficie d'attacco dell'impresa

Per due anni la conversazione sull'intelligenza artificiale in azienda ha ruotato attorno alla produttività: quanto tempo fa risparmiare un assistente, quanto codice scrive, quante email prepara. Nel 2026 la domanda che i responsabili della sicurezza si pongono è un'altra, e cambia la prospettiva: quando un agente ha il permesso di inviare email, creare file, modificare calendari e concatenare più passaggi dentro i sistemi aziendali, cosa succede se qualcuno lo dirotta?

La risposta è arrivata sotto forma di incidenti concreti, di ricerche di red team e di una presa d'atto ormai diffusa tra i fornitori di sicurezza: l'ecosistema degli agenti sta diventando la superficie più esposta dell'impresa. La ragione è tanto semplice quanto scomoda: un agente compromesso continua a comportarsi come uno strumento legittimo, mantiene i suoi accessi e la fiducia dei sistemi che lo circondano. È l'insider perfetto — utile, autorizzato, e al servizio di chi lo ha piegato.

Nel 2026 l'ecosistema degli agenti diventa il perimetro più esposto dell'impresa: inventario, tracciabilità e controllo di ciò che gli agenti possono fare diventano priorità di sicurezza.

Dallo strumento alla superficie d'attacco

Il salto concettuale è recente. Fino a poco fa l'AI generativa era per chi attacca uno strumento: serviva a scrivere email di phishing più credibili, a generare codice malevolo più in fretta, a clonare voci per le truffe telefoniche. Restava, in sostanza, un moltiplicatore di tecniche già note.

Con gli agenti autonomi il quadro si ribalta. L'agente stesso diventa il bersaglio e il varco. Microsoft, nel suo aggiornamento di giugno 2026 alla tassonomia dei modi di fallimento dei sistemi agentici, mette nero su bianco il risultato di dodici mesi di esercitazioni di red team contro sistemi realmente in produzione: sette nuove categorie di fallimento, una sezione ampliata sulle mitigazioni, e una conclusione netta. Le organizzazioni che oggi restano incapaci di rispondere a domande basilari di inventario sul proprio parco di agenti si trovano anche incapaci di difenderlo.

La barriera per condurre un attacco sofisticato, intanto, si è abbassata drasticamente. Quello che un tempo richiedeva le risorse di uno Stato o di un'organizzazione criminale strutturata è oggi alla portata di un singolo motivato, munito degli strumenti giusti e di pazienza. Il perimetro si allarga proprio mentre le competenze richieste per violarlo si riducono.

Il caso che rende tutto concreto

La teoria diventa evidenza con due incidenti pubblici del giugno 2026.

Il primo riguarda l'assistente più diffuso nelle aziende. Microsoft ha corretto CVE-2026-42824, una vulnerabilità di divulgazione di informazioni in Microsoft 365 Copilot: i ricercatori di Varonis hanno descritto una catena d'attacco "un clic" — battezzata SearchLeak — che, sfruttando il comportamento di Copilot Search, il rendering del browser e la fiducia tra i servizi Microsoft, portava all'esfiltrazione di dati aziendali. Un assistente autorizzato, interrogato in modo ostile, restituiva all'esterno ciò che avrebbe dovuto proteggere.

Il secondo riguarda l'infrastruttura con cui gli agenti vengono costruiti. La falla CVE-2026-33017 in Langflow — una piattaforma popolare per orchestrare flussi di agenti — ha un punteggio CVSS di 9,3 e consente l'esecuzione di codice remoto a un attaccante privo di autenticazione. Gli attori delle minacce l'hanno sfruttata attivamente per installare un miner di criptovaluta Monero, scandagliando la rete alla ricerca di endpoint di applicazioni AI esposti come porta d'ingresso verso le reti aziendali. Il segnale è chiaro: gli endpoint su cui girano gli agenti sono già oggetto di scansione sistematica.

Tra i due estremi — l'assistente pronto all'uso e il framework su cui si costruisce in casa — la superficie è la stessa: software che agisce con permessi ampi, spesso ereditati da chi lo ha configurato, e che parla la lingua legittima dei sistemi interni.

Il problema dell'inventario

Il filo che lega gli incidenti è di governance, prima ancora che di tecnologia. Molte organizzazioni hanno adottato gli agenti alla velocità con cui li adottano i singoli team: un assistente qui, un flusso automatico là, un agente costruito in un pomeriggio su una piattaforma low-code. Il risultato è un parco di agenti che cresce più in fretta della capacità di catalogarlo.

La domanda di sicurezza più difficile del 2026 è anche la più elementare: quali agenti abbiamo, con quali permessi, su quali dati, e chi risponde di ciascuno? Chi sa rispondere può difendere; chi resta all'oscuro dell'inventario eredita una superficie che si allarga da sola. La visibilità sull'ambiente degli agenti è la precondizione di ogni controllo successivo — e oggi è la lacuna più comune.

Qui la lente della residenza del dato e della tracciabilità degli agenti — il terreno che Synthos Logic presidia con l'ambito AI Privacy First — smette di essere un tema di conformità e diventa un tema di sicurezza operativa: sapere dove gira un agente, quali dati tocca e cosa registra è la stessa cosa che permette di isolarlo quando qualcosa va storto.

Cosa fare adesso

Le mosse utili sono valide a prescindere dal fornitore scelto, e diverse organizzazioni le stanno già adottando.

Fare l'inventario degli agenti come si fa quello dei server. Un registro degli agenti attivi, dei loro permessi e dei dati a cui accedono è il primo controllo. Un agente ignoto è un agente indifendibile.

Applicare il privilegio minimo agli agenti come alle persone. Un assistente che deve leggere il calendario riceve il permesso di leggere il calendario, e resta lì. Ogni permesso in più è superficie in più.

Trattare l'input come ostile. Le vulnerabilità di quest'anno nascono quasi tutte da testo interpretato come istruzione. Filtri sugli input, conferma umana per le azioni sensibili e registrazione di ciò che l'agente fa riducono la finestra di rischio.

Presidiare gli endpoint su cui girano gli agenti. Le piattaforme di orchestrazione esposte in rete vanno aggiornate con la stessa urgenza dei sistemi critici, perché è lì che oggi arriva la scansione automatica.

Prepararsi a isolare, oltre che a prevenire. La domanda da porsi in anticipo è operativa: se un agente viene compromesso, in quanto tempo lo si individua e lo si stacca? La tracciabilità serve esattamente a rispondere in fretta.

Gli agenti restano una delle leve di produttività più concrete degli ultimi anni, e la direzione di marcia è segnata. La differenza tra chi ne raccoglie i frutti e chi ne subisce i colpi passa da una disciplina antica applicata a uno strumento nuovo: sapere cosa gira in casa propria, con quali chiavi, e su quali porte. La domanda che le imprese italiane hanno davanti nei prossimi mesi è se arriveranno a quell'inventario per scelta, o dopo il primo incidente.

Autore

Pablo Liuzzi

Founder, Synthos Logic