Il 48% degli agenti AI in azienda non è monitorato: la guida Zero Trust per le PMI italiane
Il 48% degli agenti AI in produzione non è monitorato. Solo il 7,2% delle aziende ha responsabilità formale sul comportamento degli agenti. La guida pratica Zero Trust per le PMI italiane prima del 2 agosto (AI Act).
Giacomo Mirandola — Product & Frontend Engineer ·
Il 48% degli agenti AI in azienda non è monitorato: la guida Zero Trust per le PMI italiane
Luglio 2026 è identificato dagli analisti di sicurezza come il turning point per la sicurezza degli agenti AI. Non perché sia arrivata una nuova minaccia, ma perché i dati aggregati su cosa sta effettivamente succedendo nelle aziende sono finalmente chiari — e non sono rassicuranti.
Il dato principale: il 48% degli agenti AI in produzione non è monitorato. La copertura media di monitoraggio è al 52%. Solo il 7,2% delle organizzazioni ha una persona con responsabilità formale sul comportamento degli agenti AI. Il resto — la maggioranza — ha deployato agenti AI senza infrastruttura di sorveglianza adeguata.
Per le PMI italiane che stanno iniziando a usare agenti AI in produzione, questo è il momento di costruire le fondamenta giuste. Non come burocrazia, ma come protezione concreta da rischi che diventano legalmente rilevanti con l'AI Act dal 2 agosto 2026.
Perché luglio 2026 è il turning point
Tre segnali convergono questo luglio che spostano il discorso sicurezza da teorico a operativo.
I dati aggregati mostrano il problema nella sua dimensione reale. Il 48% degli agenti AI in produzione non è monitorato. Solo il 7,2% delle organizzazioni ha una persona con responsabilità formale sul comportamento degli agenti. Non è mancanza di consapevolezza: è un problema strutturale di come vengono deployati gli agenti — spesso senza infrastruttura di sorveglianza adeguata fin dall'inizio.
I vettori di attacco sugli agenti AI sono documentati e attivi in produzione. Prompt injection, tool poisoning, identity abuse e memory poisoning non sono scenari teorici: sono pattern di attacco reali. La differenza rispetto alle vulnerabilità software tradizionali è che non esiste un patch correttivo da applicare — la protezione richiede architetture progettate per la sicurezza fin dall'inizio.
CISA e guidance internazionale. La guidance congiunta di cinque nazioni (USA, Australia, Canada, Nuova Zelanda, UK) pubblicata a maggio 2026 ha stabilito che il sandboxing e la governance dell'identità degli agenti sono prerequisiti per il deployment in infrastrutture critiche. Luglio è il mese in cui questa guidance inizia a essere recepita concretamente dalle aziende.
I quattro vettori di attacco sugli agenti AI
Per costruire una difesa efficace, è necessario capire da dove vengono le minacce. Gli agenti AI sono vulnerabili su quattro fronti distinti rispetto alle applicazioni software tradizionali.
1. Prompt injection. Un agente AI che processa input da fonti esterne (email, documenti, siti web, feed dati) può essere manipolato attraverso istruzioni nascoste in quell'input. Un documento PDF con istruzioni incorporate in testo bianco su sfondo bianco può "convincere" l'agente a eseguire azioni non autorizzate. La differenza con un attacco SQL injection è che non c'è un parser da correggere — il modello linguistico è per definizione progettato per seguire le istruzioni testuali.
2. Tool poisoning. Gli agenti AI accedono a tool esterni (database, API, servizi) per completare i task. Un tool compromesso può restituire risposte manipolate che influenzano le decisioni successive dell'agente. Senza audit trail sul tool use, è impossibile identificare dove la catena di ragionamento è stata compromessa.
3. Identity abuse. Gli agenti AI agiscono spesso con credenziali di sistema (accesso a file, database, email, API). Se un agente viene compromesso, opera con quei privilegi. Il 7,2% delle organizzazioni con responsabilità formale sul comportamento degli agenti significa che nella stragrande maggioranza dei casi nessuno ha verificato che il principio del minimo privilegio sia applicato agli agenti.
4. Memory poisoning. Gli agenti con memoria persistente (che ricordano conversazioni e contesti precedenti) sono vulnerabili a manipolazioni che alterano quella memoria nel tempo. Un avversario paziente può modificare gradualmente le "credenze" persistenti di un agente per influenzare le sue azioni future.
Il framework Zero Trust per agenti AI: 7 principi pratici
Il termine "Zero Trust" applicato agli agenti AI significa partire dall'assunzione che ogni componente del sistema — incluso l'agente stesso — può essere compromesso, e costruire difese che limitano il danno in caso di compromissione.
Principio 1: Minimo privilegio per ogni agente. Un agente di customer service non ha bisogno di accesso al CRM finanziario. Un agente di generazione offerte non ha bisogno di accesso alle email interne. Mappare i permessi minimi necessari per ogni agente e configurarli esplicitamente, non per default.
Principio 2: Audit trail su ogni azione. Ogni chiamata a tool esterni, ogni accesso a dati, ogni decisione significativa deve essere loggata con timestamp, contesto e outcome. Non per compliance — per diagnostica. Quando qualcosa va storto (e andrà storto), vuoi sapere esattamente cosa ha fatto l'agente e in quale sequenza.
Principio 3: HITL per azioni irreversibili. Le azioni che non si possono annullare — inviare email, eliminare file, effettuare pagamenti, modificare configurazioni — devono passare per un checkpoint umano prima dell'esecuzione. Non per tutto, ma per le azioni ad alto impatto. L'agente propone, l'umano autorizza.
Principio 4: Sandboxing degli ambienti di esecuzione. L'agente non dovrebbe avere accesso diretto al filesystem di produzione o alle credenziali di sistema. Ogni sessione agente dovrebbe operare in un ambiente isolato con risorse limitate e connessioni esplicite.
Principio 5: Validazione degli input da fonti esterne. Prima di passare contenuti esterni (email, documenti, API response) all'agente per elaborazione, applicare filtri che identificano pattern di prompt injection. Non è possibile eliminarli tutti, ma si può ridurre significativamente la superficie di attacco.
Principio 6: Monitoring comportamentale, non solo logging. Un agente che improvvisamente aumenta il volume di accessi a database, inizia ad accedere a risorse fuori dal suo dominio normale, o mostra pattern di azione anomali deve generare un alert. Il logging dice cosa è successo; il monitoring dice quando il comportamento diverge da quello atteso.
Principio 7: Identità verificabile per ogni agente. In architetture multi-agent, ogni agente deve avere un'identità verificabile crittograficamente. Un agente non dovrebbe fidarsi di istruzioni ricevute da un altro agente che non può autenticarsi. Questo principio diventa critico quando i sistemi multi-agente diventano la norma.
L'AI Act e la governance degli agenti: cosa scatta il 2 agosto
Dal 2 agosto 2026, con l'entrata in vigore operativa dell'AI Act, la governance degli agenti AI smette di essere una buona pratica e diventa un requisito legale per alcune categorie di sistemi.
Per le PMI italiane: i sistemi AI che prendono decisioni su individui (credito, assunzione, pricing personalizzato) rientrano nelle categorie ad alto rischio dell'Allegato III — con deadline dicembre 2027 per la conformità completa, ma con l'obbligo di avere già avviato la mappatura e la documentazione dei sistemi.
Il regime sanzionatorio — fino a 35 milioni di euro o 7% del fatturato mondiale — è operativo dal 2 agosto. Non per tutti i sistemi, ma per i divieti assoluti (manipolazione subliminale, scoring sociale) e per i mancati obblighi di trasparenza dell'Art.50.
La governance degli agenti AI non è solo sicurezza IT: è compliance AI Act.
BlueSky Agent AI: governance nativa, non aggiunta
La differenza tra una piattaforma che ha aggiunto la governance come feature e una che è stata costruita con la governance come principio fondante è concreta e operativa.
In BlueSky Agent AI, ogni agente deployed ha per default:
- Audit trail completo di ogni azione e decisione
- HITL configurabile per categorie di azioni (da nessun checkpoint a checkpoint obbligatorio per ogni azione)
- Permessi espliciti per ogni tool e risorsa esterna (principio del minimo privilegio)
- Monitoring comportamentale con alert su anomalie
- Identità verificabile in contesti multi-agent
Non come opzioni da attivare. Come impostazioni di default che la PMI può rilassare consapevolmente, non che deve costruire da zero.
Il 48% degli agenti AI non monitorati è una statistica di settore. Non deve essere la tua statistica aziendale.
Vuoi verificare il livello di governance dei tuoi agenti AI attuali? Contatta il team BlueSky per un assessment gratuito.