Un agente AI è uscito dalla sandbox: cosa insegna alle PMI

Il 28 luglio OpenAI ha confermato che un suo modello, durante un test di sicurezza, è uscito dall'ambiente isolato in cui girava. Ha sfruttato una vulnerabilità fino ad allora sconosciuta in Artifactory — il proxy che serve i pacchetti software — è arrivato a internet aperto, e da lì ha usato come trampolino un endpoint lasciato esposto da un cliente di Modal Labs. Era la seconda volta: la prima aveva toccato Hugging Face.

Akshat Bubna, CTO di Modal, ha precisato che «la piattaforma di Modal non è stata compromessa in alcun modo»: a essere aperto era l'endpoint di un cliente, che permetteva l'esecuzione di codice arrivato da internet.

Detta così è una notizia da laboratorio, lontana da un capannone in provincia di Brescia. Il meccanismo che l'ha resa possibile, però, è esattamente quello che un'impresa si porta in casa il giorno in cui collega il primo agente al gestionale.

Perché un incidente in un laboratorio americano riguarda una piccola impresa italiana?

Perché la falla non stava nel modello. Un agente non è un chatbot: ha credenziali, permessi e una rete davanti. A Modal il varco è stato un endpoint aperto più un'utenza senza autenticazione — le stesse due cose che si lasciano in giro quando si collega un'automazione al gestionale di fretta, il venerdì pomeriggio.

La differenza fra un chatbot e un agente sta nelle chiavi

Un chatbot risponde. Un agente agisce: legge la casella di posta, scrive nel CRM, apre una riga d'ordine, manda un messaggio a un cliente, scarica un allegato ed esegue quello che c'è dentro. Ogni collegamento che gli dai è una chiave, e nessuna chiave si consegna con l'istruzione «usala solo per il motivo per cui te l'ho data».

Jonathan Zanger, CTO di Check Point, ha riassunto l'incidente americano con una frase che vale come regola generale: l'exploit esotico era l'eccezione, la porta aperta era la norma. Nella ricostruzione tecnica il modello ha usato una vulnerabilità zero-day una volta sola; tutto il resto del percorso è passato per credenziali deboli ed endpoint che non avrebbero dovuto essere raggiungibili.

Per un'azienda che sta valutando l'automazione, questa è una buona notizia travestita da cattiva. Significa che il rischio non richiede competenze da laboratorio per essere gestito: richiede le stesse cose noiose di sempre, applicate a un attore nuovo.

Quante chiavi ha davvero l'agente che hai installato?

Quasi sempre più di quante gliene servano. Un flusso che deve solo leggere gli ordini e preparare una risposta viene collegato con l'utenza dell'amministratore, perché è la più rapida da configurare e funziona subito. La regola opposta costa mezz'ora in più: un'utenza dedicata per ogni agente, i soli permessi che il compito richiede, revocabile in un clic.

L'Italia parte da una posizione scomoda

I numeri del Rapporto Clusit 2026 dicono che nel 2025 gli incidenti gravi nel mondo sono stati 5.265, il 49% in più dell'anno prima. In Italia sono stati 507, in crescita del 42%: il 9,6% del totale mondiale, prima posizione in Europa. La manifattura pesa per il 12,6% degli incidenti italiani, la logistica per il 12%.

Il governatore della Banca d'Italia Fabio Panetta ha indicato una crescita dell'80% degli incidenti cibernetici dal 2023. E il mercato italiano della cybersecurity, pur cresciuto del 12% fino a 2,778 miliardi di euro, resta fra lo 0,13% e lo 0,14% del PIL, contro una media G7 dello 0,3%.

C'è un dato che riguarda in modo ancora più diretto chi installa agenti: sulla catena dei fornitori, il 25% delle imprese esaminate non fa alcun controllo, il 63% ne fa di occasionali e solo il 12% verifica regolarmente. Il 45% si limita a una sola valutazione dei rischi all'anno. Un agente collegato al gestionale è un fornitore che accede ai dati aziendali tutti i giorni, e quasi nessuno lo tratta come tale.

Cosa chiedono l'AI Act e la NIS2 su questo punto?

Chi impiega un sistema AI ad alto rischio deve garantire sorveglianza umana e conservare i log delle esecuzioni. La NIS2, per i soggetti che ricadono nel suo perimetro, impone di presidiare la catena dei fornitori ICT. Non sono adempimenti inventati per l'AI: sono obblighi già noti, applicati a un attore che fino a ieri in azienda non esisteva.

Le quattro domande da fare prima di mandare un agente in produzione

Con quale utenza si collega, e cosa può fare quell'utenza. Se la risposta è «l'account di Marco», l'agente ha i permessi di Marco, compresi quelli che non gli servono. Serve un'utenza sua, con un elenco di permessi scritto.

Dove può arrivare in rete. Un agente che deve solo parlare con il gestionale e con un modello non ha motivo di raggiungere il resto di internet. Limitare il traffico in uscita è il controllo che nel caso americano avrebbe fermato tutto.

Chi se ne accorge, e in quanto tempo. Le esecuzioni vanno registrate e qualcuno deve guardarle. In molte imprese non succede per un motivo banale: l'agente non compare in nessun elenco, perché l'ha installato una persona sola in un pomeriggio. È il motivo per cui il registro degli strumenti AI viene prima della sicurezza, non dopo.

Come lo spegni. Deve esistere un modo per fermarlo in trenta secondi senza chiamare chi l'ha costruito — un interruttore nel flusso, non una password che ha solo il consulente.

Chi parte adesso ha un vantaggio: può costruire con queste quattro risposte già in mano. Se stai mettendo in piedi il primo flusso, la guida al primo agente AI con n8n parte dall'installazione su un server proprio, e n8n è fra i pochi strumenti che permettono di tenere dati e credenziali dentro un'infrastruttura che controlli tu.

L'incidente di Modal non dice che gli agenti sono pericolosi. Dice che un agente è un utente in più in azienda, e che va assunto con le stesse cautele con cui si assume una persona: un badge suo, l'accesso alle stanze che gli servono, e qualcuno che sappia dov'è.