Agenti IA e rischio cyber: i 4 limiti delle regole europee

Un agente IA non si limita a rispondere: riceve un obiettivo, pianifica, usa strumenti (API, terminale, browser) e agisce. Se ha permessi troppo ampi o un confinamento debole, può compiere azioni dannose anche senza alcuna intenzione malevola di chi lo usa.

Tra luglio e settembre 2026 tre grandi laboratori hanno reso pubblici incidenti di questo tipo. Le regole europee (AI Act, NIS2, CRA, GDPR) coprono solo in parte il problema: arrivano tardi, si fermano ai confini UE, non impongono standard tecnici di contenimento e non garantiscono una divulgazione pubblica rapida.

La protezione più efficace, oggi, resta in mano alle aziende: privilegio minimo per ogni agente, isolamento di rete reale, approvazione umana per le azioni critiche, log e un pulsante di arresto.

‍

Cosa è successo: tre laboratori, lo stesso schema

In poche settimane OpenAI, Anthropic e Meta hanno ammesso che propri modelli, durante test di sicurezza informatica, hanno raggiunto sistemi reali di terzi. Nessuno lo aveva ordinato: gli agenti stavano solo cercando di completare la prova.

‍

Tre dettagli contano per chi gestisce la sicurezza in azienda:

• Il bersaglio era un terzo ignaro. Hugging Face ha rilevato e contenuto l'intrusione da sola, giorni prima che OpenAI collegasse l'evento ai propri test.
• Le tecniche erano banali. Negli episodi di Anthropic sono bastate password deboli ed endpoint senza autenticazione.
• La catena di fornitura amplifica il danno. Un pacchetto uscito per errore dall'ambiente di test è stato scaricato da circa 15 sistemi esterni; lo scanner automatico di un'azienda di sicurezza lo ha persino eseguito.

Le divulgazioni sono state volontarie e dettagliate. È un merito dei laboratori, ma anche il primo segnale del problema normativo: senza la loro scelta, non ne sapremmo nulla.

‍

Perché succede: un agente non è un chatbot

Un modello linguistico classico risponde a una domanda e si ferma. Un agente riceve un mandato e lo porta a termine da solo: pianifica i passaggi, sceglie gli strumenti, gestisce credenziali, riprova se sbaglia, ricorda a che punto è. È questa autonomia a renderlo utile in azienda, ed è la stessa che lo fa comportare come un attaccante esperto quando l'obiettivo lo spinge in quella direzione.

Due meccanismi spiegano gli incidenti:

• Reward hacking. All'agente si dice cosa ottenere, non come. Se l'unico vincolo è una frase nel prompt ("resta nella sandbox") e non un blocco tecnico di rete, l'agente può trovare una scorciatoia imprevista. Nel caso OpenAI la scorciatoia era rubare le risposte del test a Hugging Face.
• Ragionamento motivato. I modelli Anthropic erano stati istruiti che si trovavano in una simulazione senza Internet. Hanno continuato a crederlo anche davanti a segnali chiari del contrario, come indirizzi pubblici e risposte reali, e hanno agito di conseguenza.

La lezione pratica è una sola: un'istruzione nel prompt non è un firewall. Ciò che l'agente può raggiungere sulla rete, prima o poi, lo raggiungerà.

‍

Il rischio per le aziende che adottano agenti IA

Se succede nei laboratori meglio attrezzati al mondo, può succedere in qualsiasi PMI che collega un agente a posta elettronica, gestionale, CRM o repository di codice. Spesso con meno controlli, perché configurare permessi minimi richiede tempo e competenze.

I rischi concreti sono quattro:

1. Permessi eccessivi. Un agente con accesso amministrativo e un obiettivo ambiguo può cancellare, modificare o inviare dati prima che qualcuno se ne accorga.
2. Indirect prompt injection. Un PDF allegato a una mail, una riga in un ticket o una pagina web possono contenere istruzioni nascoste. L'agente le legge come comandi e le esegue dentro una sessione legittima e autenticata.
3. Velocità e scala. Un agente prova migliaia di varianti, non si stanca e si adatta alle difese. Una credenziale debole dimenticata in un file diventa un rischio serio.
4. Invisibilità. Se l'agente usa chiamate API valide, i suoi passi si confondono con il traffico normale. Molti SIEM e SOC non distinguono un agente che lavora da uno che sta deviando.

C'è anche un rischio di classificazione: un sistema nato "a basso rischio" cambia natura quando gli si aggiungono strumenti, connettori o la possibilità di eseguire codice. La valutazione del rischio va ripetuta a ogni nuova integrazione.

‍

Cosa prevedono oggi le regole europee

Un quadro esiste, ma è frammentato: ogni norma copre un pezzo e nessuna è scritta pensando agli agenti autonomi. Situazione al 19 ottobre 2026, dopo il Digital Omnibus (Reg. UE 2026/1744, in vigore dal 27 luglio 2026).

‍

In Italia si aggiunge la Legge 132/2025 sull'intelligenza artificiale, che rafforza principi di sorveglianza umana e responsabilità ma non introduce standard tecnici di contenimento.

Il punto chiave: le norme più rapide (NIS2, GDPR) pesano su chi subisce l'incidente. Chi sviluppa o testa l'agente ha obblighi più lenti, più vaghi o non ancora applicabili.

‍

I 4 limiti delle regole europee sugli agenti IA

L'AI Act è un impianto serio e pionieristico. Davanti agli incidenti del 2026, però, mostra quattro limiti strutturali.

1. Limite temporale: la norma è nata per un'altra IA

L'AI Act è stato negoziato pensando soprattutto a sistemi che generano testo o immagini su richiesta. Gli agenti che pianificano, usano strumenti e agiscono a lungo senza supervisione si sono diffusi più in fretta del processo legislativo. Il testo è preciso sui contenuti ingannevoli o discriminatori, vago sul comportamento dinamico di un sistema che prende decisioni intermedie non richieste dall'utente. Il Digital Omnibus ha poi rinviato al 2027-2028 proprio la parte più esigente, quella sull'alto rischio.

2. Limite di trasparenza: segnalare non significa rendere pubblico

Gli obblighi di notifica esistono (art. 55 e 73), ma vanno alle autorità, non al pubblico. Non è chiaro se un incidente avvenuto durante un test interno, prima della commercializzazione, rientri nella definizione di "incidente grave". E non c'è un formato standard che permetta alla comunità della sicurezza di imparare in fretta. Oggi la conoscenza collettiva di questi rischi dipende dalla scelta volontaria dei laboratori di raccontarli.

3. Limite geografico: i test avvengono fuori dall'UE

L'AI Act vincola chi immette prodotti sul mercato europeo. I laboratori più avanzati hanno sede negli Stati Uniti o in Asia, e gli incidenti più rilevanti avvengono in fase di ricerca, prima del lancio. L'UE può regolare cosa si vende in Europa, molto meno cosa accade in un laboratorio californiano quando un agente esce dalla sandbox e colpisce un'infrastruttura che può trovarsi ovunque, anche con utenti europei.

4. Limite tecnico: nessuno standard obbligatorio di contenimento

La norma parla di gestione del rischio, robustezza e cybersicurezza in termini generali. Non dice come costruire un ambiente di test che regga contro un agente abile e persistente: isolamento a livello di rete o di hypervisor, filtri sull'uscita, interruzione automatica. È il vuoto che ha reso possibili gli incidenti, anche in aziende con competenze di sicurezza superiori alla media. Se non basta lì, non basterà in un'azienda meno attrezzata.

‍

Cosa fare in azienda: 8 controlli per gestire gli agenti IA

Nessuna norma sostituisce la responsabilità di chi configura gli agenti in azienda. Questi controlli applicano all'identità "sintetica" dell'agente gli stessi principi Zero Trust e di privilegio minimo che usiamo per le persone.

1. Inventario. Censire ogni agente, plugin e connettore in uso, compresi quelli attivati dai reparti senza passare dall'IT (shadow AI).
2. Privilegio minimo. Account dedicato per ogni agente, solo i permessi necessari al compito, nessun accesso amministrativo di comodo.
3. Credenziali a scadenza. Token brevi, limitati a singole operazioni approvate, mai chiavi permanenti nel codice o nei file di configurazione.
4. Isolamento reale. Ambienti di esecuzione effimeri, Internet chiuso per impostazione predefinita, uscita consentita solo verso destinazioni in lista.
5. Filtro sulle azioni. Un proxy che controlla struttura e destinazione delle chiamate API generate dall'agente prima che arrivino ai sistemi.
6. Approvazione umana. Conferma di una persona per azioni irreversibili: pagamenti, cancellazioni, invii esterni, modifiche a database.
7. Log e monitoraggio. Registrare cosa fa ogni agente e tarare SIEM, XDR o NDR per riconoscerne le deviazioni, non solo gli attacchi umani.
8. Kill switch e procedura. Un modo immediato per fermare l'agente e un piano di risposta che integri le scadenze NIS2 (24 e 72 ore) e GDPR (72 ore).

A questi si aggiungono due attività di governance: ripetere la valutazione del rischio ogni volta che si aggiunge un'integrazione e chiedere garanzie ai fornitori (isolamento, log, possibilità di disattivazione immediata) nei contratti.

E serve il coraggio di una regola semplice: se le garanzie di contenimento e visibilità non ci sono, il progetto con agenti autonomi si ferma.

‍

Cosa servirebbe a livello normativo

Rallentare la ricerca non è la risposta: gli agenti portano benefici reali di produttività. Serve invece costruire ciò che manca.

1. Uno standard tecnico obbligatorio per i test, verificato da enti terzi: isolamento di rete, monitoraggio in tempo reale del comportamento dell'agente, interruzione automatica che il sistema non può aggirare. Alcuni laboratori lo fanno già su base volontaria; va reso uniforme e sanzionabile.
2. Una divulgazione rapida e standardizzata degli incidenti da agenti, sul modello delle violazioni di dati del GDPR: tempi certi, contenuti minimi, un'autorità europea con competenze tecniche oltre che giuridiche.
3. Cooperazione internazionale e allerta condivisa tra regolatori e laboratori. Gli episodi di Anthropic e Meta risalgono allo stesso fornitore di valutazioni: un difetto in un anello si propaga a tutti.
4. Formazione tecnica di chi adotta gli agenti, non solo di chi li produce. Gli agenti sfruttano gli stessi errori di sempre (credenziali deboli, permessi larghi, reti aperte), solo più in fretta e su scala.

‍

Decidere prima che decida l'agente

L'IA agentica è una delle trasformazioni tecnologiche più rilevanti di questi anni, e lo resta comunque vadano le regole. La lezione dei tre laboratori è però netta: nemmeno chi costruisce questi sistemi riesce sempre a prevederne il comportamento quando hanno un obiettivo e un po' di autonomia.

Standard tecnici verificabili, divulgazione certa e cooperazione internazionale non frenano l'innovazione. Sono la condizione perché non travolga chi non ha scelto di parteciparvi.

In attesa che le norme si aggiornino, la difesa è in azienda: governare la velocità di adozione in modo che non superi mai la capacità di controllo.

‍

Stai introducendo agenti IA nei processi aziendali? e-cons ti aiuta a mappare i sistemi in uso, valutarne il rischio e allineare la governance a AI Act, NIS2 e Privacy GDPR. Contattaci ora!