La Rivoluzione degli Agenti AI: Oltre l’Autenticazione, la Verifica dell’Autorità

Con l’aumento degli agenti di intelligenza artificiale (AI) che gestiscono transazioni e compiti amministrativi, il tradizionale modello di fiducia digitale è messo a dura prova. Questo modello si basa sull’assunto che dietro ogni accesso ci sia una persona, ma la crescente automazione richiede un ripensamento profondo delle modalità di autenticazione e verifica dell’identità.

Molti sistemi attuali sono progettati per confermare se chi richiede un’azione possiede le credenziali appropriate, ma non per identificare chi ha effettivamente autorizzato quell’azione e quali siano i limiti di tale autorizzazione. La distinzione tra autenticazione, identità e autorità diventa quindi cruciale. Non basta più sapere chi sta accedendo, ma è fondamentale comprendere chi ha dato il permesso, quali azioni può intraprendere e per quanto tempo.

In ambito aziendale, settori come i servizi finanziari e la sanità hanno già implementato controlli di ruolo e di eleggibilità. Tuttavia, l’infrastruttura esistente è più avanzata nella verifica dell’identità rispetto all’applicazione delle deleghe di autorità. In questo contesto, si suggerisce l’adozione del principio del minimo privilegio: agli agenti devono essere assegnate mandate specifiche e limitate, piuttosto che un accesso permanente e illimitato. Questo approccio è fondamentale per ridurre i rischi associati a un agente compromesso o mal configurato.

Per ogni azione intrapresa da un agente AI, è essenziale rispondere a cinque domande chiave: chi o cosa agisce, chi ha autorizzato l’azione, quali sono le azioni consentite, quali vincoli sono in atto e se l’autorità è ancora valida. Questo metodo si basa sui modelli di delega “on-behalf-of” già presenti negli standard di identità.

Strumenti come i portafogli digitali possono svolgere un ruolo cruciale in questo scenario, ospitando mandati verificabili meccanicamente, revocabili e associati a credenziali verificate di individui o organizzazioni. È necessario estendere le autorità e i framework esistenti, incluso il quadro di fiducia per i servizi di verifica digitale, rafforzato dal Data (Use and Access) Act nel Regno Unito, per includere anche i delegati software.

Spostare la verifica dell’autorità prima che l’agente agisca, documentare chi concede i poteri e limitarne l’ambito sono misure fondamentali per ridurre l’esposizione ai rischi. Solo così sarà possibile garantire che le implementazioni di agenti AI non superino i controlli progettati per governarle, assicurando un ambiente digitale più sicuro e affidabile.