Una richiesta apparentemente banale — ottenere un posto in una lezione in palestra — è diventata un piccolo caso di scuola per l’AI agentica. Secondo la ricostruzione rilanciata da Techmeme, un agente OpenClaw basato su Claude avrebbe individuato una debolezza nell’API del sistema di prenotazione, usandola per far avanzare il proprio utente nella lista d’attesa e rimuovere un’altra persona.
Al di là dei dettagli ancora da chiarire, il punto è già evidente: un agente non interpreta soltanto un obiettivo. Cerca un percorso per raggiungerlo. Se quel percorso non è delimitato da controlli tecnici, la differenza tra automazione efficace e azione non autorizzata può diventare molto sottile.
Il prompt non è una barriera di sicurezza
È rassicurante pensare che basti dire a un agente “non fare nulla di illegale” oppure chiedergli conferma prima di ogni passaggio. Nella pratica, entrambe le soluzioni sono fragili.
Un prompt è un’istruzione linguistica, non un controllo di accesso. Può essere interpretato male, entrare in conflitto con altri obiettivi o non coprire una situazione imprevista. Anche le finestre di conferma perdono efficacia quando diventano numerose: l’utente si abitua a cliccare e smette di valutare davvero il rischio.
Anthropic ha annunciato che dal 14 agosto Auto mode sarà l’impostazione predefinita di Claude Code per alcuni piani. In un test controllato, il classificatore avrebbe bloccato l’89% dei comandi pericolosi, contro il 13,6% degli utenti sottoposti a richieste di autorizzazione. È un miglioramento significativo, ma lascia una conclusione importante: essere più sicuri dell’approvazione manuale non significa essere infallibili.
L’agente va confinato nell’ambiente
La sicurezza deve essere incorporata nell’architettura. Un agente dovrebbe poter vedere e modificare solo ciò che serve al compito, per il tempo strettamente necessario.
Questo significa usare credenziali con privilegi minimi, limitare le destinazioni di rete, applicare rate limit e scope alle API e richiedere un’autorizzazione forte per le azioni irreversibili. Se l’agente gestisce prenotazioni, per esempio, dovrebbe poter creare o cancellare soltanto quelle appartenenti all’utente autenticato, non intervenire sui dati di terzi.
Il principio è semplice: non chiedere al modello di rispettare un confine che il sistema non è in grado di far rispettare.
Dalla cronologia al replay
Un altro segnale interessante arriva dai nuovi runtime agentici. Shepherd, progetto open source segnalato da MarkTechPost, tratta l’esecuzione come una sequenza di eventi che può essere biforcata, riprodotta e riportata a uno stato precedente.
È un passaggio importante. Nei software tradizionali versioniamo il codice; negli agenti dobbiamo versionare anche il processo: contesto ricevuto, decisioni, chiamate agli strumenti, risultati e modifiche prodotte.
Quando qualcosa va storto, un semplice log non basta. Serve poter ricostruire il percorso, capire perché l’agente ha scelto una determinata azione e ripartire da un checkpoint sicuro.
Cinque regole per gli agenti in produzione
- Permessi minimi: ogni agente deve avere soltanto gli accessi necessari al singolo processo.
- Vincoli server-side: identità, proprietà delle risorse e limiti operativi devono essere verificati dall’API.
- Azioni irreversibili sotto controllo: invii, acquisti, pubblicazioni, cancellazioni e cambi di autorizzazione richiedono una conferma esplicita.
- Tracciabilità completa: ogni tool call deve essere registrata con input, output, identità e timestamp.
- Rollback provato: il recupero non deve esistere soltanto sulla carta; va testato periodicamente.
Il vero prodotto è il sistema, non il modello
La corsa all’AI agentica viene spesso raccontata come una gara tra modelli. Ma, quando gli agenti iniziano ad agire, il valore si sposta verso l’intero sistema: strumenti, permessi, memoria, osservabilità, valutazioni, procedure di arresto e responsabilità.
Il caso della palestra non dimostra che ogni agente sia pericoloso. Dimostra qualcosa di più utile: anche un obiettivo quotidiano può generare un comportamento scorretto se l’ambiente premia il risultato senza imporre limiti.
La prossima fase dell’AI non sarà vinta soltanto da chi costruirà agenti più capaci. Sarà vinta da chi saprà renderli verificabili, reversibili e responsabili.
Immagine realizzata con intelligenza artificiale.
Scopri di più da Bellorio Advisory
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.