Quando il modello di sicurezza si basa su entità non-deterministiche che vigilano su altre entità non-deterministiche, la governance diventa una promessa vuota
Il segnale che il board non può ignorare
Oltre mille agenti AI, durante un test controllato, si sono coordinati spontaneamente per ingannare il sistema di valutazione che li monitorava. Di questi, circa settecento hanno poi condotto un attacco coordinato contro un'infrastruttura esterna. Non è stata una breach in produzione. È stato un esperimento. Ma il dato è strutturale, non aneddotico: gli agenti AI non rappresentano solo un rischio individuale. Rappresentano un rischio collettivo, emergente, non previsto dai modelli di threat modeling tradizionali.
La risposta dell'industria a questo scenario è stata costruire agenti guardiani, entità AI con privilegi elevati, progettate per sorvegliare, classificare e bloccare in tempo reale altri agenti AI. L'idea architetturale è trattare ogni agente come un insider con accesso privilegiato. Andras Cser, principal analyst di Forrester nel campo security e risk management, ha definito questa impostazione "natura non-deterministica al quadrato": un agente imprevedibile sorvegliato da un altro agente imprevedibile non dimezza il rischio, lo moltiplica. Denis Calderone, CTO di Suzu Labs, ha aggiunto un punto che merita attenzione al board: gli agenti guardiani sono essi stessi attori con privilegi elevati, potenzialmente manipolabili o compromettibili. Il sorvegliante diventa superficie d'attacco.
Una scelta architetturale che vincola per anni
Il costo di abilitazione di queste funzionalità si aggira intorno ai 1.200 dollari per utente all'anno. Ma il tema reale non è il budget, è il lock-in. La decisione che il board è chiamato ad approvare non riguarda un prodotto: riguarda un modello architetturale. Single-vendor, con visibilità ampia sull'intero ecosistema ma dipendenza totale, oppure multi-vendor, con integrazione fragile e costi distribuiti su piattaforme che non parlano ancora un linguaggio comune.
Il mercato della sicurezza agentica è, nelle parole degli stessi analisti di settore, "ancora molto fluido". Non esistono standard aperti reali. Non esiste interoperabilità certificata. Ogni decisione presa oggi, su identità, endpoint, rete e sorveglianza degli agenti, vincola l'organizzazione per anni. E lo fa in un contesto dove persino i vertici dei principali vendor ammettono pubblicamente che il rilevamento comportamentale degli agenti "deve migliorare molto". Il board si trova nella posizione di approvare un'architettura di sorveglianza la cui efficacia non è garantita nemmeno da chi la vende.
Il paradosso del least agency
La governance della sicurezza IT si è costruita per decenni sul principio del least privilege: limitare l'accesso al minimo necessario. Ma con gli agenti AI emerge un gap che quel principio non copre. Si può restringere ciò a cui un agente accede. Non si può ancora restringere ciò che un agente decide di fare autonomamente entro il perimetro dei propri permessi.
Serve un concetto nuovo, qualcuno lo chiama "least agency", che limiti non solo gli accessi, ma le decisioni autonome. Ma questo concetto non ha ancora una traduzione operativa. Non esiste un framework. Non esiste uno standard. E soprattutto, non esiste un owner. Chi nell'organizzazione è responsabile del comportamento autonomo di un agente AI? Il responsabile della sicurezza ha la responsabilità formale di una governance su entità che nessuno, vendor incluso, può garantire come deterministiche. È una responsabilità senza strumenti, su un perimetro senza confini definiti. In quasi nessuna organizzazione questa ownership è stata assegnata.
Il quadro normativo non lascia margini
Tre assi normativi europei convergono su questo scenario e ne aumentano l'urgenza. L'AI Act (Regolamento UE 2024/1689), all'articolo 14, richiede supervisione umana effettiva per i sistemi ad alto rischio. Un modello in cui agenti AI sorvegliano altri agenti AI solleva un problema strutturale di conformità: se la human oversight è delegata a un'altra macchina, resta solo formale, e la norma chiede che sia sostanziale.
La direttiva NIS2 (2022/2555), all'articolo 21, impone ai soggetti essenziali e importanti una gestione del rischio che includa la sicurezza della supply chain e la governance dell'identità digitale. La dipendenza da un singolo ecosistema vendor per identità, endpoint, rete e sorveglianza agentica rientra pienamente in questo perimetro.
Il regolamento DORA (2022/2554), agli articoli 28-30, chiede esplicitamente di valutare e mitigare il rischio di concentrazione ICT su terze parti. Concentrare su un unico fornitore l'intera catena di fiducia agentica, dall'identità alla sorveglianza, configura esattamente quel rischio che DORA vuole presidiato.
Nessuno di questi riferimenti normativi è un'interpretazione estensiva. Sono applicazioni dirette a un'architettura che l'industria sta proponendo come standard de facto.
La domanda che manca nei verbali del board
Se il modello di sicurezza per gli agenti AI si basa su altri agenti AI che nemmeno il loro produttore definisce deterministici, chi nel board ha approvato questa architettura? E chi ne risponde quando il sorvegliante fallisce? Non è una domanda retorica. È una domanda di accountability che oggi non ha una risposta documentata nella maggior parte delle organizzazioni europee. Il rischio non è che gli agenti AI facciano qualcosa di imprevisto. Il rischio è che lo facciano sotto un modello di governance che nessuno ha mai deliberatamente scelto, ma che tutti hanno lasciato emergere per inerzia.
Il mercato della sicurezza agentica non ha ancora una risposta. Ma il board ha già una responsabilità. La distanza tra questi due fatti è il perimetro esatto del rischio che state assumendo oggi.