Gli agenti AI sono entrati nel modo in cui il lavoro viene svolto: scrivono codice, ricercano prodotti, elaborano spese, analizzano ricavi e agiscono sui sistemi che fanno funzionare l’azienda. Per essere utili devono poter accedere a dati, applicazioni e strumenti, ed è proprio questa capacità a trasformarli in una nuova classe di insider. Microsoft lo scrive senza allarmismi nel blog del team sicurezza, firmato da Nadim Abdo: non significa che gli agenti siano malevoli, significa che sono strumenti potenti, che possono sbagliare, essere manipolati o compromessi, che producono output variabili e che il loro contesto cambia mentre lavorano. Un agente che agiva come previsto all’avvio può comportarsi diversamente quando cambiano gli input, e può operare in continuazione, alla velocità e alla scala della macchina.
Separare l’intelligenza dall’autorità
Il punto di partenza è l’architettura di fiducia indicata da Satya Nadella: occorre separare la fornitura di intelligenza dall’autorità che essa esercita, senza chiedere a un modello di essere la propria autorità di sicurezza. I controlli che determinano cosa un agente può raggiungere, quali azioni può intraprendere e se deve continuare a operare devono stare fuori dal modello, dove il modello non può aggirarli né manometterli. La formula ripresa da Nadella è netta: il sistema agentico più affidabile non sarà quello con il modello di cui ci fidiamo di più, ma quello progettato per consentirci di fidarci del modello il meno possibile. Da qui il principio operativo: circondare l’intelligenza non deterministica con controlli deterministici, prove indipendenti e confini di contenimento.
Project Perception e le quattro responsabilità continue
Project Perception, insieme allo stack di sicurezza Microsoft, viene ora esteso all’insider agentico: i Guardian Agents permettono ai team di sicurezza di operare in continuazione, alla velocità e alla scala della macchina, mentre sensori, contesto e attuatori distribuiti nello stack servono a capire come cambia il rischio e ad adeguare di conseguenza la protezione. Perception e Microsoft Agent 365 condividono segnali, contesto e un registro unificato che dà a IT e sicurezza una visione coerente di agenti e rischi. Il sistema ha quattro responsabilità continue, che non sono quattro prodotti né fasi successive: sapere quali agenti esistono, chi li possiede e perché sono stati creati; contenere ciò che ogni agente può raggiungere e fare prima che agisca; proteggere dati, strumenti, runtime e sistemi che si trovano nel suo percorso; adattare continuamente la protezione al mutare di comportamento, contesto e rischio. L’esempio è quello di un agente per la gestione delle spese: può leggere le richieste di rimborso, verificare la policy e approvare i casi di routine, ma non deve ereditare tutti i permessi del dipendente che lo sponsorizza.
Identità, contenimento e portata
Per poter proteggere un agente serve prima vederlo. Microsoft sta estendendo la scoperta a 35 tipi ulteriori di agenti locali, per un totale di 60 supportati, fra cui Claude Code, OpenAI Codex e GitHub Copilot, con la possibilità di portarli in un registro unificato indipendentemente da come sono stati individuati. Ogni agente dovrebbe avere un’identità di prima classe, distinta dalla persona che lo usa o lo sponsorizza: Entra Agent ID viene esteso con tipi di identità per schemi agentici aggiuntivi, così un agente può diventare bersaglio di policy anche quando non è stato integrato inizialmente. Sul contenimento, l’impianto è quello dell’autorità ristretta al compito: in caso di prompt injection o di un’azione fuori perimetro, il sistema deve preservare le letture sicure e bloccare le scritture, restringere le risorse raggiungibili, richiedere un’approvazione umana dimostrabile per un passo consequenziale o isolare e fermare l’agente quando il rischio lo richiede.
Fonte: Microsoft Security Blog
URL sorgente: https://www.microsoft.com/en-us/security/blog/2026/10/19/agents-are-your-newest-insiders-security-must-move-at-their-speed/