L’Impatto degli Agenti AI sulla Sicurezza: Tra Adozione e Governance

Negli ultimi anni, le organizzazioni hanno cominciato a fare ampio uso di agenti AI per attestare i controlli di sicurezza. Tuttavia, la governance non ha tenuto il passo con questa rapida adozione, creando un rischio significativo: le attestazioni fornite dagli agenti AI potrebbero riflettere solo un’apparenza di controllo, senza garantire la loro reale efficacia.

I team di sicurezza si trovano spesso a dover affrontare attività di prova episodiche e manuali, mentre i piani di risposta agli incidenti rimangono frequentemente non testati. Inoltre, questionari fornitori vengono compilati una sola volta e poi dimenticati, mentre i rischi concreti cambiano nel tempo, rendendo le organizzazioni vulnerabili.

Stando a recenti dati, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI evolvano più rapidamente di quanto i team possano rispondere. Inoltre, l’80% di questi professionisti dichiara di utilizzare o pianificare l’uso di agenti AI nella propria strategia di sicurezza. Questo scenario pone in evidenza un paradosso: mentre l’adozione dell’AI cresce, il lavoro di compliance rimane prevalentemente manuale, con le organizzazioni che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.

Per affrontare il divario tra adozione e governance, è essenziale garantire visibilità e governo continui. Ciò implica la creazione di un inventario completo dei sistemi AI e delle API in uso, l’identificazione dell’AI integrata nei servizi SaaS e il monitoraggio del cosiddetto “shadow AI”. Ogni agente deve essere trattato come un nuovo attore con un’identità propria, accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.

Prima di implementare un agente AI, è fondamentale definire chiaramente quali dati può accedere, quali informazioni può visualizzare e dove è necessaria l’approvazione umana. Operazioni ad alto impatto, come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi, devono essere soggette a una supervisione umana significativa.

Inoltre, i controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione, interruttori di emergenza e containment automatico, per ridurre il raggio d’azione in caso di errore.

L’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, accentua il rischio che la compliance si trasformi in “security theatre”. L’automazione, se orientata a checklist statiche, rischia di accelerare questo fenomeno. Per questo motivo, è necessario spostare l’obiettivo: la compliance dovrebbe diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche, armonizzando segnali di rischio, controlli e evidenze in tempo reale.

Infine, l’AI rappresenta sia un nuovo fattore di rischio sia uno strumento per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso approvato rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare ciò a cui hanno accesso, il motivo e chi ha autorizzato l’azione, garantendo così un approccio più sicuro e responsabile nell’uso della tecnologia.