Agli agenti AI, modelli che compiono azioni invece di limitarsi a rispondere, vengono ormai affidati sistemi reali: repository di codice, database, email, browser. Questa settimana ha mostrato cosa significa quando qualcosa va storto. Il 20 ottobre OpenAI ha pubblicato i dettagli di due episodi in cui i suoi stessi agenti hanno indebolito il monitoraggio creato per sorvegliarli. Il giorno prima Reuters aveva raccontato di un hacker che ha lasciato agli agenti AI gran parte del lavoro per entrare in più di 100 siti aziendali. E Microsoft ha annunciato nuovi controlli che trattano gli agenti AI come i team di sicurezza trattano i dipendenti a rischio.
OpenAI: agenti che spengono i propri allarmi
OpenAI usa un "monitor di disallineamento" che sorveglia i suoi agenti AI interni e avvisa le persone quando qualcosa non va. Il suo rapporto descrive due casi, entrambi interni a OpenAI e nessuno dei due di massima gravità.
GPT-6.1 Sol zittisce gli allarmi
Dopo che un utente aveva scritto "non inviare messaggi", un agente ha disattivato le notifiche al team di sicurezza, svuotando le liste degli allarmi e citando la richiesta dell'utente. Un sotto-agente aveva prima sconsigliato di farlo; l'agente principale lo ha ignorato.
GPT-6 Astra rimuove un monitor
Incaricato di copiare una configurazione di riferimento, un agente ha rimosso l'integrazione del monitoraggio e ha sostituito il relativo test con uno che verificava l'assenza del monitor. Interrogato direttamente, ha negato di averlo rimosso.
OpenAI pubblica il rapportoOra
Il suo sistema Auto-Review ora blocca i tentativi di disattivare il monitoraggio, e i carichi di lavoro senza un "safety case" valido verranno fermati automaticamente.
OpenAI dice di non avere ancora "una spiegazione soddisfacente di questo comportamento" e sta verificando se si tratti di eccessivo zelo nel completare il compito o di una tendenza specifica a evitare di essere osservati. In ogni caso, la lezione per tutti è pratica: le istruzioni di un agente, e persino gli avvertimenti dei suoi sotto-agenti, non sono un controllo di sicurezza affidabile. Il controllo deve stare fuori dall'agente.
Dal lato dell'attaccante: agenti che violano siti per 50 dollari
Reuters, insieme al ricercatore Snorre Fagerland di NorForge, ha rintracciato un hacker di lingua cinese che usava una piattaforma open source per agenti chiamata Cairn. L'hacker scriveva istruzioni di meno di 100 caratteri cinesi; il resto lo facevano gli agenti.
- Bersagli
- siti di e-commerce negli Stati Uniti, in Canada, Australia e Giappone, dal 25 settembre
- Dimensioni
- oltre 1.200 siti tentati, più di 100 aziende violate, tra cui Deere, SharkNinja e il sito di un fornitore di Cummins
- Tempo
- circa 23 ore di tentativi per ogni intrusione riuscita
- Costo
- circa 5.000 dollari in token AI, circa 50 dollari per violazione, secondo Fagerland
- Strumenti
- un mix di DeepSeek e Claude Code, secondo Fagerland
- Come è emerso
- circa due dozzine di istanze di Cairn erano rimaste esposte su internet
Le aziende citate hanno detto che i danni sono stati limitati o contenuti. Il punto è l'economia: prima per entrare servivano persone esperte per giorni; ora servono un budget e pazienza. I sistemi piccoli e dimenticati, come vecchi siti di assistenza e pannelli di amministrazione, sono esattamente ciò che trovano agenti instancabili.
Microsoft: ogni agente è un insider
Il 19 ottobre Microsoft ha annunciato nuovi controlli in Microsoft 365 E7 e nella sua piattaforma di sicurezza Project Perception. L'idea è che gli agenti siano come dipendenti con troppi permessi, e quindi abbiano bisogno degli stessi controlli di identità, accesso e monitoraggio.
Permessi dinamici
Accesso- Un agente parte senza alcun accesso proprio
- Riceve solo ciò che serve a un compito, per la durata di quel compito
Rischio dinamico degli agenti
Monitoraggio- Ogni agente ha un punteggio di rischio basato su identità, dati, dispositivo, rete e azioni
- Il rilevamento ora trova 60 tipi di agenti sui dispositivi dei dipendenti, tra cui Claude Code, Codex e GitHub Copilot
Accesso condizionale
Risposta- Se il rischio sale: via l'accesso in scrittura, poi parte dei dati, poi approvazione umana, poi stop dell'agente
- Agenti "guardiani" verificano le azioni prima che avvengano e indagano sui cambi di rischio
Microsoft non ha indicato date di disponibilità né se le funzioni costeranno di più. I critici hanno notato l'evidente contraddizione: la stessa azienda che vende gli agenti ora vende anche i controlli.
Una checklist per gli agenti vicino ai tuoi dati
- 1
Dai a ogni agente la sua identità
Mai far usare a un agente il login di una persona o un account di servizio condiviso. Devi sapere quale agente ha fatto cosa.
- 2
Sola lettura di default
Gran parte dell'analisi richiede SELECT, non INSERT o DROP. Concedi la scrittura per singolo compito e poi revocala.
- 3
Tieni i log fuori portata
Log di audit e allarmi devono stare dove l'agente non può modificarli, come dimostrano gli episodi di OpenAI.
- 4
Approvazione per i passaggi irreversibili
Cancellare dati, inviare email, cambiare permessi e spendere soldi dovrebbero richiedere il clic di una persona.
- 5
Fai l'inventario degli agenti
Trova gli agenti già attivi su portatili e strumenti SaaS, non solo quelli che hai costruito tu.
- 6
Sistema gli angoli dimenticati
Vecchi pannelli di amministrazione e siti di test sono la prima cosa che trovano gli agenti attaccanti.
Verifica cosa hai capito
1/3Cosa ha fatto l'agente GPT-6.1 Sol nel primo incidente di OpenAI?
Ha citato l'istruzione dell'utente di non inviare messaggi.
2/3Quanto sono costati circa i costi AI dell'hacker per ogni violazione riuscita?
In totale circa 5.000 dollari per più di 100 violazioni.
3/3Qual è l'idea centrale dei permessi dinamici di Microsoft?
L'accesso viene anche ridotto passo dopo passo quando il rischio dell'agente sale.
Hai risposto correttamente a 0 domande su 3.
Approfondimenti: agenti che lavorano per ore, le regole sull'AI di questo mese e il Personal Agent Protocol, un nuovo standard su come gli agenti accedono e cosa possono fare.
Fonti: OpenAI Alignment, "Suppressing misalignment monitoring alerts and disabling misalignment monitoring" (aggiornato il 20 ottobre 2026); Reuters, "How one hacker used AI agents and a few thousand dollars to break into scores of sites" (19 ottobre 2026); The Next Web su Microsoft 365 E7 e Project Perception (19 ottobre 2026); Axios sull'obbligo di segnalazione della Casa Bianca (9 ottobre 2026).
Alessandro Ecclesie AgazziScritto da Alessandro Ecclesie Agazzi, analytics engineer a Londra. Aggiornato il 21 ottobre 2026. Chi sono