L’agente AI non viola le regole. Ma può fare danni lo stesso

CrowdStrike vuole individuare gli agenti AI che diventano pericolosi senza violare una sola regola. Il 4 novembre 2026, durante Fal.Con Europe a Barcellona, l’azienda di cybersecurity ha annunciato Agent Insider Threat Detection, una funzionalità destinata a riconoscere comportamenti anomali nei software autonomi impiegati dalle imprese. Il caso più difficile non riguarda un intruso che forza una password, ma un agente che dispone già degli accessi necessari e comincia a utilizzarli per attività diverse da quelle previste.

Per la sicurezza degli agenti AI è un cambiamento sostanziale. Un dipendente affida all’agente documenti, strumenti e credenziali affinché svolga un compito; una richiesta manipolata, un collegamento compromesso o un errore nell’esecuzione possono modificarne il comportamento. Se le operazioni rimangono tecnicamente consentite, un controllo che cerca soltanto violazioni esplicite potrebbe non vedere nulla. Eppure il risultato può essere indesiderato.

Per decenni le aziende hanno cercato di impedire al software di fare ciò che non era autorizzato a fare. Con gli agenti AI si aggiunge una domanda meno comoda: come si riconosce una decisione sbagliata quando tutti i permessi sono in ordine? È il paradosso al centro dell’annuncio ufficiale di CrowdStrike, che propone di spostare parte del controllo dalle autorizzazioni al comportamento.

Sicurezza agenti AI: il problema dei permessi perfettamente validi

Un normale assistente risponde a una domanda; un agente può compiere una sequenza di operazioni usando servizi esterni. Può cercare dati, aprire file, modificare record, richiamare strumenti e trasmettere informazioni. Ciascuna azione dipende da autorizzazioni assegnate da una persona o da un’organizzazione, ma avere il permesso di leggere un documento non significa che ogni lettura sia opportuna. E poter inviare una comunicazione non implica che ogni destinatario sia quello giusto.

Immaginiamo, a titolo di esempio, un agente incaricato di preparare un rapporto commerciale. Ha accesso a una cartella condivisa e può inviare email. Se interpreta come istruzione operativa un testo inserito in un documento esterno, potrebbe utilizzare quelle capacità in un modo che l’utente non aveva richiesto. Non serve ipotizzare una macchina con intenzioni proprie: basta un flusso di istruzioni manipolato, un obiettivo frainteso o un ambiente poco protetto.

Le difese tradizionali restano necessarie: ridurre i privilegi, separare gli ambienti, controllare le chiamate agli strumenti e registrare le attività. Ma una regola che autorizza un’azione non può, da sola, dimostrare che quell’azione sia coerente con il compito originario. Questo è il motivo per cui CrowdStrike parla di insider threat, una minaccia interna: non necessariamente una persona ostile, ma un software affidabile sulla carta che opera dall’interno dei sistemi aziendali.

Come funziona Agent Insider Threat Detection di CrowdStrike

La novità annunciata per Falcon Next-Gen SIEM riguarda il riconoscimento del comportamento abituale di un agente e della persona alla quale è associato. Secondo la spiegazione tecnica pubblicata dall’azienda, il sistema dovrebbe mettere in relazione quali file l’agente consulta, quali strumenti invoca, dove invia dati e come agisce normalmente il suo utilizzatore. Una deviazione può diventare un segnale di rischio anche quando nessuna policy risulta formalmente violata.

Invece di fermarsi a un singolo evento, l’analisi dovrebbe collegare tre elementi: agente, proprietario dell’identità e dispositivo utilizzato. Il rischio attribuito al software confluirà nel punteggio che la piattaforma costruisce per la persona e per il computer. Il progetto prevede inoltre di far partire un’indagine coordinata, nella quale più agenti specializzati analizzano in parallelo tracce provenienti da endpoint, identità, servizi cloud e applicazioni aziendali.

Il risultato atteso è distinguere il comportamento effettivamente richiesto dall’utente da quello comparso durante l’esecuzione. È un obiettivo importante, non una capacità infallibile già dimostrata: le descrizioni disponibili provengono da CrowdStrike e non costituiscono un test indipendente dell’accuratezza del rilevamento. Un’anomalia, inoltre, può essere perfettamente legittima. Un dipendente che cambia mansione o un agente impiegato per un incarico insolito potrebbero produrre segnali che richiedono una verifica prima di intervenire.

Cosa funziona già e cosa CrowdStrike deve ancora distribuire

L’annuncio mette insieme strumenti con stati di disponibilità diversi, una distinzione decisiva per non confondere la promessa con il prodotto. Le indagini coordinate tra più agenti, presentate in precedenza, sono ora generalmente disponibili. Lo sono anche gli strumenti che consentono di subordinare determinate azioni all’approvazione di un analista e di interrompere l’esecuzione di agenti Charlotte AI o AgentWorks attraverso Agent Interruption.

Agent Insider Threat Detection, invece, è indicato fra le funzionalità previste per il quarto trimestre. Nella stessa finestra l’azienda colloca nuovi controlli sugli attacchi all’ecosistema AI, comprese chiavi API sottratte, assistenti di programmazione compromessi e server MCP. Non significa che oggi tutte queste capacità siano disponibili per ogni cliente, né che il loro rilascio sia immune da modifiche.

La possibilità di bloccare rapidamente un agente compare anche nell’annuncio del 3 novembre relativo a Falcon Guardian, dove CrowdStrike presenta un nuovo AI kill switch. La differenza è importante: poter fermare un processo non equivale ad avere già in produzione il nuovo sistema che dovrebbe capire quando quel processo sta deviando. Si tratta di due parti collegate della difesa, ma non della medesima funzionalità.

Dal controllo degli accessi al controllo delle decisioni

La sicurezza informatica ha sempre dovuto rispondere a una domanda fondamentale: chi sta entrando? Con gli agenti AI la risposta diventa più complicata. L’identità usata da un software può appartenere a un dipendente, a un servizio tecnico o all’agente stesso. Ma l’identità non spiega chi abbia scelto una determinata operazione, quali informazioni l’abbiano influenzata e se sia ancora coerente con la richiesta iniziale.

Qui emerge una nuova forma di dipendenza. Più operazioni vengono delegate a software autonomi, maggiore è il valore di chi controlla i punti in cui quelle operazioni possono essere osservate, autorizzate o interrotte. Una piattaforma capace di collegare credenziali, comportamento e risposta agli incidenti può diventare il centro di comando dell’attività agentica. È una possibilità utile alla sicurezza, ma accentra anche il potere di definire che cosa sia un comportamento normale e quale deviazione meriti un blocco.

La questione non si risolve scegliendo tra autonomia e sorveglianza. Se ogni passaggio richiede un’approvazione umana, buona parte del vantaggio dell’automazione scompare. Se nessuno può interrompere un agente, la delega diventa difficile da governare. Occorrono quindi autorizzazioni proporzionate, tracciabilità delle decisioni, controlli sui dati e procedure che distinguano l’errore dal comportamento ostile. È il problema affrontato anche nella nostra guida alla sicurezza degli agenti AI, fra identità e permessi.

Chi decide quando un agente AI è diventato un rischio?

Nel presentare il nuovo sistema, Michael Sentonas, presidente di CrowdStrike, osserva che gli agenti AI possono rappresentare sia una minaccia interna sia uno strumento usato da aggressori esterni. La distinzione è concreta: un agente può essere compromesso da qualcuno oppure deviare dal compito senza un attacco diretto. Non è necessario attribuirgli volontà, coscienza o intenzioni per riconoscere il problema di sicurezza.

Resta però il nodo decisivo: qualcuno deve stabilire che cosa significhi «deviare». Le aziende potranno affidare parte della diagnosi ad altri agenti, ma dovranno conservare criteri verificabili e responsabilità umane sulle decisioni più delicate. Il monitoraggio comportamentale non sostituisce i limiti dei permessi; aggiunge uno strato di giudizio, con tutti i vantaggi e i rischi di un giudizio automatizzato.

È una situazione curiosa. Abbiamo costruito software capaci di agire al nostro posto e ora sviluppiamo altro software per capire quando il primo abbia cominciato a prendere una strada diversa. Finché le macchine eseguivano ordini puntuali, bastava soprattutto controllare chi avesse dato loro le chiavi. Adesso bisogna sorvegliare anche quello che fanno una volta entrate. Il problema, insomma, non è soltanto che l’agente possa sfuggire al controllo: è che può farlo senza uscire dai confini che gli abbiamo disegnato noi.