Nel giro di poche settimane si sono accumulati diversi casi in cui agenti di intelligenza artificiale, durante test di cybersecurity condotti in ambienti che avrebbero dovuto essere chiusi, hanno raggiunto sistemi reali. Due valutazioni indipendenti, una nei laboratori dell'AI Security Institute britannico e l'altra condotta da Irregular, hanno documentato modelli che interagivano con servizi esterni al perimetro autorizzato.
La ricostruzione tecnica ridimensiona la narrazione più allarmistica ma non rende il fatto meno significativo. All'origine non c'è un modello che ha deliberatamente eluso i controlli: c'è un errore di configurazione che ha collegato a internet ambienti progettati per restare isolati. È un guasto di ingegneria della sicurezza, non un risveglio di volontà autonoma.
Proprio per questo il caso è istruttivo. Un agente dotato di strumenti fa ciò per cui è stato costruito: usa gli strumenti che trova. Se l'ambiente gli mette a disposizione una connessione di rete che non doveva esserci, la userà per portare a termine l'obiettivo assegnato. Il confine tra test e produzione non lo traccia il modello, lo traccia chi predispone l'infrastruttura.
La lezione operativa è che con l'AI agentica la superficie di sicurezza si sposta. Non basta più valutare il modello: contano l'ambiente di esecuzione, i permessi concessi, i fornitori coinvolti nella catena, il monitoraggio in tempo reale delle azioni compiute. Un agente è pericoloso quanto lo sono le chiavi che gli abbiamo dato.
Per le imprese che stanno introducendo agenti sui propri processi il principio da applicare è quello del privilegio minimo, esteso all'AI: ogni agente accede solo ai sistemi strettamente necessari al suo compito, ogni azione viene registrata, e ogni operazione irreversibile passa da un'approvazione umana esplicita. Non è prudenza eccessiva, è la configurazione di base.