Sicurezza dell'agente AI: come dovrebbe l'IT controllare l'accesso non umano alle app aziendali?

La sicurezza degli agenti AI diventa fondamentale quando il software autonomo può accedere alle applicazioni aziendali, recuperare dati sensibili ed eseguire azioni senza un continuo coinvolgimento umano. Per i team IT, la sfida è stabilire quale identità, accesso e ambito fornire loro per combinare efficienza e protezione.

Man mano che le organizzazioni introducono agenti AI nei flussi di lavoro quotidiani, gli amministratori di sistema e i responsabili della sicurezza devono estendere le politiche di accesso oltre gli utenti umani e i tradizionali account di servizio. Questa guida spiega come gestire le identità non umane, applicare il principio del minimo privilegio e proteggere sia le applicazioni moderne che quelle legacy. Fornisco misure pratiche per gli amministratori di sistema, i team IT e i fornitori di servizi gestiti che lavorano per adottare l'AI riducendo al minimo l'esposizione.

Perché l'accesso dell'agente AI crea nuovi problemi di sicurezza?

La gestione tradizionale degli accessi distingue generalmente gli utenti umani dalle applicazioni e dai servizi. Gli agenti AI complicano questo modello perché possono interpretare informazioni, selezionare strumenti e avviare operazioni in base a circostanze mutevoli.

Automazione, ma non come la conosciamo:

A differenza dell'automazione convenzionale, in cui le azioni sono tipicamente predefinite, un agente AI può determinare quali passi intraprendere mentre lavora verso un obiettivo più ampio. Le variabili che questo introduce hanno un ampio raggio d'azione, poiché, sia per errore, mancanza di riferimento o istruzione malevola, l'AI potrebbe facilmente oltrepassare i permessi causando risultati indesiderati. Per i team IT, l'azione iniziale è definire lo scopo di un agente AI e i limiti applicabili prima di concedere l'accesso alla produzione.

Dalla lettura dei dati aziendali all'azione su di essi:

Considera un agente AI distribuito per recuperare i registri delle fatture, confrontare le informazioni sui pagamenti e produrre un rapporto di eccezione. Quali restrizioni e misure di sicurezza possono essere messe in atto per prevenire azioni errate all'interno dell'applicazione contabile?

L'autenticazione non è uguale all'autorizzazione:

Mentre l'autenticazione stabilisce quale identità sta tentando di accedere a una risorsa, l'autorizzazione determina quali operazioni tale identità può eseguire. Per gli agenti AI, queste decisioni devono rimanere separate.

Un agente autenticato con successo dovrebbe comunque ricevere solo le autorizzazioni pertinenti al suo compito, le risorse necessarie e limitate dalle potenziali conseguenze dell'azione.

Nel suo 2026 lavoro su software e identità dell'agente AI NIST evidenzia la necessità di affrontare identità, autorità, audit e responsabilità per gli agenti AI.

L'obiettivo della sicurezza non è solo decidere quali applicazioni un agente può aprire. IT deve controllare cosa può fare l'agente una volta concessi i diritti di accesso.

Quale identità dovrebbe utilizzare un agente AI?

Gli agenti AI hanno bisogno di identità identificabili e gestibili affinché gli amministratori possano assegnare permessi, monitorare l'attività e revocare l'accesso quando necessario.

Identità dedicate e credenziali di carico di lavoro

Dove supportato, crea un'identità di carico di lavoro o agente, legata a un proprietario nominato e a una funzione specifica, per monitorare la responsabilità e bloccare i privilegi al compito richiesto.

Inoltre, aiuta a distinguere l'attività automatizzata da quella umana, applicare politiche di sicurezza dedicate e disabilitare l'agente senza influire sull'accesso di un dipendente, come in Microsoft Entra Agent ID. L'obiettivo è mantenere gli agenti AI con un ambito ristretto, ben documentati e auditabili in modo indipendente.

Accesso delegato versus accesso autonomo

Gli agenti AI possono operare sotto diversi modelli di autorizzazione.

Accesso delegato consente a un agente di agire per conto di un utente umano, entro permessi rigorosi esplicitamente delegati a esso, potenzialmente solo per un periodo di tempo definito.

Accesso autonomo consente a un agente di operare attraverso la propria identità e i permessi assegnati, senza richiedere una sessione umana attiva. È importante, quindi, che le politiche di accesso e i controlli del ciclo di vita siano impostati per gli agenti AI autonomi così come per la proprietà.

Una nota su MFA

Gli account condivisi rendono difficile determinare da dove provenga un'azione: da un dipendente, da un agente AI o da un altro processo automatizzato. Un agente AI non dovrebbe dipendere dalle credenziali di un dipendente, soprattutto non per l'automazione di routine.

Mentre l'autenticazione multi-fattore (MFA) è preziosa per l'accesso umano, i carichi di lavoro autonomi necessitano di meccanismi di identità supportati. Alcuni esempi, secondo l'applicazione e l'infrastruttura dell'identità:

• identità gestite,
• credenziali federate,
• certificati
• o token di breve durata.

Come dovrebbe l'IT limitare l'accesso degli agenti AI?

Qui, il principio del minimo privilegio è essenziale, per concedere accesso solo alle risorse e alle operazioni necessarie per uno scopo approvato.

Minimo privilegio su applicazioni, strumenti e dati

• Permessi degli strumenti: Quali API, script, integrazioni e strumenti di esecuzione può invocare l'agente?
• Permessi dell'applicazione : Quali applicazioni e funzioni aziendali può accedere?
• Permessi dei dati: Quali registri, cartelle, file o database può leggere? Può modificarli?
• Permessi di sistema: Può eseguire comandi, accedere al sistema operativo o eseguire operazioni amministrative?

L'accesso all'agente AI dovrebbe essere considerato a questi livelli e nessun permesso dovrebbe essere esteso su semplice richiesta. Questi livelli dovrebbero anche rafforzarsi a vicenda.

Le autorizzazioni delle applicazioni devono rimanere applicabili indipendentemente dalle impostazioni del modello AI. Un messaggio che dice a un agente di non modificare i dettagli di pagamento non è equivalente a un controllo tecnico che impedisce la modifica.

Per le organizzazioni che rafforzano l'infrastruttura di accesso esistente, il nostro Principi Zero Trust per l'accesso remoto delle PMI affrontare la verifica dell'identità, il principio del minimo privilegio e la restrizione dell'esposizione.

Accesso limitato nel tempo e operazioni sensibili

I permessi dovrebbero riflettere non solo ciò di cui un agente ha bisogno, ma anche quando e perché è necessario l'accesso. L'autorizzazione a tempo limitato può ridurre l'esposizione tra i compiti approvati, così come possono fare controlli aggiuntivi. Potresti imporre determinate azioni attraverso il fornitore di identità, il gateway degli strumenti, l'applicazione o un altro meccanismo di policy fidato piuttosto che fare affidamento solo sull'IA.

Come si differenzia la sicurezza dell'agente AI tra le applicazioni aziendali?

Non tutte le applicazioni forniscono gli stessi meccanismi per controllare l'accesso all'IA. I team IT devono adattare i controlli di accesso al loro ambiente e alle loro esigenze.

applicazioni SaaS e API

Le moderne applicazioni SaaS offrono spesso API che supportano token di accesso limitati, ruoli applicativi e permessi delegati.

Sebbene possano rendere l'autorizzazione degli agenti più precisa, le autorizzazioni API possono comunque essere eccessivamente ampie, quindi gli amministratori dovrebbero rivedere l'ambito, limitare l'accesso e purgare regolarmente le autorizzazioni.

Applicazioni aziendali basate su browser

Le applicazioni basate su browser introducono diverse sfide con l'interazione dell'interfaccia grafica.

Le organizzazioni dovrebbero utilizzare account dedicati, limitare rigorosamente le applicazioni disponibili e applicare l'autorizzazione all'interno del software aziendale stesso. Il nostro articolo su accesso sicuro al browser per applicazioni private spiega come l'assegnazione delle applicazioni, l'autenticazione e i controlli lato server possono ridurre l'esposizione non necessaria.

Applicazioni Windows legacy e desktop remoti

Le applicazioni legacy di Windows presentano una sfida particolare perché i loro controlli di accesso sono stati generalmente progettati attorno agli utenti umani piuttosto che ai processi autonomi.

Accesso

Tuttavia, la tecnologia di accesso ed esecuzione rimarrà separata, qualunque siano i ruoli aziendali, i permessi, gli account Windows, i gruppi di directory o l'accesso a livello di applicazione più ampio. Il tipo di accesso grafico rimane una decisione dell'amministratore e il nostro articolo su Agenti AI e applicazioni legacy di Windows esplora le implicazioni tecniche e architettoniche di diversi ambienti di esecuzione.

Sicurezza

Per motivi di sicurezza, accesso e autorizzazione non possono essere mescolati. Pubblicare un'applicazione Windows specifica significa ridurre l'esposizione di un intero, ma questo è solo l'inizio di una strategia di controllo degli accessi più ampia. Il tuo lavoro da amministratore è definito:

Meccanismo di accesso	Controlli di sicurezza principali	Preoccupazione principale
API SaaS	OAuth scope, token, ruoli API	Permessi eccessivi, uso improprio del token
Applicazione browser	Sessioni, ruoli delle applicazioni	Azioni non autorizzate in una sessione valida
Applicazione Windows pubblicata	Identità di Windows, assegnazione dell'app, autorizzazioni	Accesso oltre il compito previsto
Desktop remoto completo	diritti OS, restrizioni di sessione, indurimento	Maggiore esposizione del sistema e movimento laterale

Quali rischi informatici necessitano di controlli aggiuntivi?

Gli agenti AI possono incontrare istruzioni dannose in ticket di supporto, pagine web, documenti o risposte degli strumenti. Questo iniezione di prompt può deviare un agente dal suo compito legittimo, anche quando l'attaccante non può accedere direttamente. Il OWASP Top 10 per Applicazioni Agentiche 2026 delinea le minacce rilevanti.

Altri rischi includono credenziali esposte in prompt o registri, uso non autorizzato degli strumenti, escalation dei privilegi e dati sensibili inviati a destinazioni non intenzionate. I flussi di lavoro multi-agente aggiungono un'altra preoccupazione: i compiti delegati non devono automaticamente comportare accesso illimitato da un agente all'altro.

Per evitare l'esfiltrazione dei dati e simili, tratta i contenuti esterni come non affidabili, proteggi i segreti attraverso servizi di credenziali supportati, limita le connessioni in uscita e applica le autorizzazioni indipendentemente dal modello AI. Le operazioni sensibili necessitano di controlli a livello di applicazione o strumento, non solo di istruzioni interpretabili che dicano a un agente di comportarsi in modo sicuro.

Come può IT monitorare, revocare e auditare l'accesso degli agenti AI?

La governance degli accessi è incompleta se gli amministratori non possono determinare cosa ha fatto un agente o fermarlo quando il suo comportamento diventa inaspettato.

Tracciamento delle identità, delle decisioni e delle azioni

Un utile registro di audit: identità dell'agente + proprietario responsabile + operazione richiesta + approvazione + invocazione dello strumento + azione risultante + esito.

A seconda degli strumenti coinvolti, i registri varieranno. Nessuna singola fonte racconta l'intera storia, quindi è necessaria una combinazione di eventi di autenticazione, emissione di token di accesso, chiamate API, attività dell'applicazione, approvazioni, modifiche ai file e attività delle sessioni come prova. Ad esempio, combina un registro delle identità con la registrazione delle sessioni, correlando i registri dove possibile.

Inoltre, proteggi le informazioni sensibili ovunque sia possibile. Ad esempio, se sei un MSP, separa i registri di audit per cliente per preservare i loro dati.

Revoca dell'accesso e risposta agli incidenti

Predefinire una procedura di arresto per il deployment dell'agente AI, prima della produzione.

A seconda dell'ambiente, ciò potrebbe richiedere la disabilitazione dell'identità di un agente AI, la revoca delle credenziali, la rotazione dei segreti, la terminazione delle sessioni attive e l'interruzione dei lavori programmati. Una volta terminato, valuta i token emessi in precedenza o le sessioni stabilite: revocare una credenziale non è sempre sufficiente per fermare un processo già attivo.

Puoi includere quanto segue in una procedura pratica di risposta a "comportamenti scorretti":

• contiene accesso,
• preservare i registri,
• indagare le modifiche,
• sostituire le credenziali
• e convalidare che l'incidente non autorizzato sia terminato.

Qual è un elenco di controllo della sicurezza degli agenti AI pratici per i team IT?

Perché non affrontare la sicurezza degli agenti AI in modo incrementale? Inizia con un flusso di lavoro ristretto, preferibilmente in sola lettura, quindi espandi solo dopo aver convalidato i controlli. Prima di dare a un agente accesso alla produzione:

1. Identificare la proprietà. Documentare il suo scopo, operatore/proprietario, ambiente di esecuzione, strumenti e flussi di dati.
2. Assegna un'identità distinta. Evita credenziali umane condivise. Stabilisci una responsabilità separata.
3. Mappa e limita le risorse consentite. Specifica le applicazioni, i registri, i dati, i sistemi, i permessi API richiesti, i periodi di tempo.
4. Limitare le azioni sensibili. Definire i requisiti di approvazione e vietare modifiche ad alto impatto e privilegi non necessari.
5. Proteggi le credenziali. Utilizzare l'autenticazione del carico di lavoro supportata e i segreti gestiti.
6. Convalida l'ambiente di esecuzione. Esaminare l'isolamento delle sessioni, l'accesso alla rete e le impostazioni di sicurezza di Windows pertinenti.
7. Abilita evidenza e recupero: tenere traccia dell'autenticazione, dell'esecuzione degli strumenti, dell'attività delle applicazioni e delle modifiche significative.
8. Scenari di fallimento del test: l'accesso può essere revocato, le sessioni terminate e l'attività sospetta investigata.

Ad esempio, un MSP potrebbe pilotare un agente per leggere i record delle fatture ERP selezionati e preparare un rapporto, senza concedergli il permesso di modificare i dati finanziari. Solo l'affidabilità comprovata e i permessi applicabili dovrebbero giustificare un'autorità più ampia.

Come può TSplus aiutare a proteggere l'accesso alle applicazioni Windows?

Per le organizzazioni che utilizzano software aziendale basato su Windows, l'infrastruttura di accesso remoto sottostante fa parte di tale processo di sicurezza. Le capacità di distribuzione delle applicazioni e di protezione del server di TSplus aiutano gli amministratori di sistema a controllare l'accesso alle applicazioni Windows ospitate centralmente.

TSplus Remote Access: Consegna e Assegnazione delle Applicazioni

TSplus Remote Access pubblica e assegna applicazioni Windows, rendendole disponibili tramite connessioni remote, incluso l'accesso basato sul web. Fornire un'applicazione assegnata piuttosto che un intero desktop può contribuire a ridurre l'esposizione non necessaria dell'interfaccia all'interno di tali flussi di lavoro AI, specialmente quelli che coinvolgono software aziendali esistenti e legacy.

TSplus Advanced Security: Proteggere i server e le sessioni Windows

TSplus Advanced Security aggiunge protezioni per server Windows e sessioni tramite protezione contro attacchi brute-force, restrizioni geografiche, controlli sugli orari di lavoro, gestione delle autorizzazioni, protezione da ransomware, avvisi e registri degli eventi di sicurezza.

Questi controlli possono ridurre l'esposizione attorno all'host dell'applicazione, completando così le misure di identità, autorizzazione e sicurezza in tempo di esecuzione dedicate richieste per gli agenti AI.

Insieme, le capacità rilevanti di TSplus supportano un principio pratico: mantenere un accesso controllato alle applicazioni aziendali e proteggere l'ambiente Windows dietro di esse, lasciando agli amministratori la libertà di introdurre controlli di sicurezza specifici per l'IA e orchestrazione dove i nuovi carichi di lavoro lo richiedono.

Conclusione

La sicurezza dell'agente AI inizia con una semplice distinzione: avere il permesso di accedere a un'applicazione non significa avere l'autorità di eseguire ogni azione al suo interno, se ce n'è.

Per gli amministratori di sistema e i fornitori di servizi gestiti, rendere gestibile l'IA significa combinare agenti IA chiaramente identificati, compiti ristretti, permessi applicabili, ambienti di esecuzione protetti e audit trail affidabili. Questi passaggi consentono alle organizzazioni di esplorare l'automazione dell'IA senza espandere inutilmente la loro superficie di attacco.

Domande Frequenti

Qual è un'identità non umana nella sicurezza degli agenti AI?

Un'identità non umana identifica software, un carico di lavoro automatizzato o un agente AI piuttosto che una persona. Consente agli amministratori di autenticare il carico di lavoro, assegnare permessi e monitorare la sua attività. Le identità degli agenti dedicati possono migliorare la responsabilità rispetto agli account umani condivisi.

Come si differenzia l'identità di un agente AI da un account di servizio?

Gli account di servizio tradizionali supportano generalmente applicazioni predefinite e processi automatizzati. Le identità degli agenti AI potrebbero necessitare di controlli aggiuntivi per il ciclo di vita, la delega e l'autorizzazione poiché gli agenti possono scegliere azioni in modo indipendente. I meccanismi di identità disponibili dipendono dalla piattaforma e dall'ambiente applicativo.

Gli agenti AI possono accedere in modo sicuro alle applicazioni Windows legacy?

Sì, a condizione che siano disponibili tecnologie di esecuzione adeguate e controlli di accesso. Le organizzazioni devono limitare l'account Windows, i permessi delle applicazioni e la sessione remota. Pubblicare un'applicazione individuale può ridurre l'esposizione, ma non sostituisce la sicurezza del sistema operativo o l'autorizzazione a livello di applicazione.

Quali controlli di sicurezza sono necessari quando gli agenti AI risolvono problemi su dispositivi remoti?

Gli agenti di risoluzione dei problemi remoti necessitano di permessi di esecuzione ristretti, autorizzazione per azioni sensibili, registrazione e condizioni di arresto affidabili. La nostra guida complementare sugli agenti AI nel supporto IT spiega come supervisionare la remediation automatizzata, verificare i risultati e escalare le interventi non riusciti.

Come possono gli amministratori IT revocare l'accesso di un agente AI?

Gli amministratori dovrebbero disabilitare l'identità dell'agente, revocare i token e le credenziali applicabili, terminare le sessioni attive e fermare i processi o i compiti pianificati associati. Dovrebbero quindi verificare che l'accesso sia terminato e indagare su eventuali attività non autorizzate.