Il 77% delle aziende crede di avere l'inventario completo dei propri agenti AI. Solo il 44% lo ha verificato davvero

Il report Harness 2026 misura la distanza tra fiducia dichiarata e controlli reali su 700 aziende che hanno già agenti AI in produzione: 77% sicuro dell'inventario, solo 44% lo verifica; 74% si fida dei test, solo 19% ha un gate automatico. I numeri, uno studio SoK sul perché guardare solo l'output non basta, e cosa cambia con l'identità propria per ogni agente.

BlueSky Agent AI · 2026-09-17

Il 10 settembre 2026 Harness ha pubblicato lo State of Agent DLC 2026, un sondaggio su 700 professionisti tecnici di grandi aziende in Stati Uniti, Regno Unito, Francia, Germania e India, condotto da Sapio Research a luglio. Il 77% degli intervistati è sicuro di avere un inventario completo di ogni agente, server MCP e modello in uso nella propria organizzazione, ma solo il 44% esegue uno strumento di discovery attiva per controllarlo davvero. Lo stesso schema si ripete sui test, dove il 74% si fida che intercettino un errore critico prima della produzione, ma solo il 19% ha un gate automatico capace di bloccare da solo una release difettosa.

Cosa dice davvero il report Harness sullo stato degli agenti AI in azienda?

Lo State of Agent DLC 2026 misura quattro fasi del ciclo di vita di un agente: inventario, test, sicurezza, spegnimento in caso di errore. In ognuna delle quattro agli intervistati è stata chiesta prima la fiducia dichiarata, poi se esistesse uno strumento reale e verificabile che la sostenesse. Il campione era filtrato per aziende con almeno 1.000 dipendenti, almeno 100 sviluppatori e fatturato sopra i 100 milioni di dollari, tutte con agenti AI già in produzione o almeno in un proof of concept live: organizzazioni che li usano sul serio, in un contesto aziendale importante.

Il divario si ripete su ogni fase misurata. Sull'inventario: 77% sicuro di conoscere ogni agente, server MCP e modello in funzione, contro 44% che verifica con strumenti di discovery attiva. Sui test: 74% di fiducia che catturino un errore critico, contro 19% che ha un gate automatico capace di bloccare da solo una release difettosa. Sullo spegnimento: 76% crede di poter disattivare un agente malfunzionante entro 15 minuti, ma solo il 33% ha un kill switch istantaneo che non dipende da una persona che se ne accorge e interviene in tempo. E il 58% degli intervistati segnala un aumento degli incidenti di produzione ogni 100 modifiche da quando ha introdotto agenti AI.

Il dato più scomodo riguarda chi si sente più sicuro degli altri. Il 75% degli intervistati dichiara che i propri agenti sono sicuri end-to-end. Fra questi, l'88% ha comunque subito un incidente di sicurezza legato agli agenti, una quota quasi identica a quella della popolazione totale del sondaggio, l'87%.

Sentirsi sicuri non abbassa il rischio. Abbassa l'attenzione con cui viene misurato.

Una cautela sulle fonti: Harness vende strumenti per governare il ciclo di vita del software e degli agenti, e AIR Security, citata più sotto, vende sicurezza per agenti. Entrambe misurano un divario che i loro prodotti promettono di colmare. I numeri vanno letti come indicazione di direzione, che lo studio accademico citato nella sezione successiva conferma per altra via.

Perché il 74% si fida dei test se solo il 19% ha un gate automatico?

Un test manuale racconta cosa succede quando qualcuno lo esegue, in quel momento, su quello scenario. Un gate automatico blocca una release ogni volta, anche quando nessuno se ne ricorda, anche di venerdì sera, anche quando chi ha scritto l'ultima modifica non è la stessa persona che l'ha rivista la settimana prima. La differenza tra le due cose sta nel momento in cui smette di dipendere da una persona che controlla.

Per un software tradizionale un test che passa oggi passa anche domani, a parità di codice. Per un agente basato su un modello linguistico questo non è garantito: lo stesso prompt può produrre comportamenti diversi a distanza di settimane, perché il modello sottostante è stato aggiornato, perché il contesto disponibile è cambiato, perché uno strumento collegato ha modificato la propria risposta. Un test superato una volta non dimostra che l'agente si comporterà allo stesso modo alla prossima esecuzione. Serve un controllo che si ripeta a ogni release, non il ricordo di quando ha funzionato.

Perché guardare solo il risultato finale non basta a scoprire un attacco?

Uno studio spiega perché fidarsi del solo output finale, il tipo di controllo che la maggior parte dei team fa oggi, lasci scoperta buona parte del problema. Un gruppo di ricercatori (Mia, Wu, Uluagac e Amini) ha pubblicato l'11 settembre 2026 su arXiv una rassegna sistematica degli attacchi ad agenti basati su modelli linguistici.

La conclusione centrale: un tasso basso di risposte finali compromesse può nascondere una compromissione seria nei passaggi intermedi. Pianificazione, memoria e chiamate agli strumenti possono restare manomesse anche quando la risposta che l'utente vede alla fine risulta pulita e ragionevole.

In pratica, un attaccante che riesce a inserire un'istruzione nella fase di pianificazione di un agente, o a corrompere quello che l'agente ricorda da un'interazione precedente, non ha bisogno che anche l'output finale appaia compromesso. Gli basta che l'agente esegua l'azione dannosa, per esempio inviare dati a un endpoint non previsto, e poi restituisca comunque una risposta plausibile a chi la legge. Chi controlla solo se la risposta finale sembra corretta non vede niente di sbagliato. Da qui la richiesta, ricorrente negli ultimi report di settore, di un log che registri ogni passaggio dell'agente, non solo il risultato che arriva all'utente.

Quanto sono esposte le aziende attraverso le skill e gli add-on che installano?

Il terzo pezzo del quadro riguarda cosa un'azienda installa dentro i propri agenti, non solo come li testa. AIR Security, uno strumento di sicurezza per agenti AI uscito dalla fase stealth il 15 settembre 2026 con 50 milioni di dollari di finanziamento guidati da Sequoia Capital e Greenoaks, ha analizzato l'ecosistema pubblico di add-on per agenti, skill, plugin, server MCP, e trovato oltre 17.800 componenti pubblici, corrispondenti a circa 6,7 milioni di installazioni complessive, che si affidano a istruzioni provenienti da fonti esterne mai verificate. Fra questi, componenti che si spacciano per pacchetti ufficiali Anthropic o OpenAI, costruiti apposta per superare le revisioni di sicurezza ed eseguire codice arbitrario una volta installati.

Ne avevamo già scritto a proposito del 13% di competenze AI pubbliche che risultava contenere malware in un'analisi precedente su questo blog: quel numero, insieme alle domande da fare a chi vende un agente AI raccolte nell'OWASP Top 10 2026, resta valido. Quello che cambia con i dati di settembre è la scala. Non si parla più di un campione ristretto, ma di milioni di installazioni reali, con account che imitano marchi noti apposta per superare un controllo umano distratto.

Come risponde BlueSky Agent AI a questo divario?

La distanza che il report Harness misura, tra quello che un'azienda crede e quello che ha davvero verificato, è esattamente il problema che l'identità propria degli agenti dovrebbe chiudere. In BlueSky Agent AI ogni agente ha le proprie chiavi API, distinte da quelle di una persona: non condivide credenziali con chi lo ha configurato, e questo da solo rende possibile sapere quale azione è stata compiuta da un agente specifico, non genericamente dall'automazione. Le competenze che un agente può usare non entrano in funzione da sole: vengono proposte e devono essere approvate prima di diventare attive, un gate che sta nel prodotto e non nella buona volontà di chi ricorda di controllare.

ModelMatch™, il sistema con cui BlueSky Agent AI sceglie e sorveglia i modelli usati dai propri agenti in produzione, applica ai modelli lo stesso principio che manca al 19% del campione Harness sui test: non si ferma al punteggio ottenuto in fase di selezione, lo ricontrolla nel tempo, perché un benchmark superato una volta non garantisce lo stesso comportamento sei mesi dopo.

Un limite che non nascondiamo: oggi non pubblichiamo un audit di sicurezza di terze parti comparabile a quello che un fornitore come AIR Security vende come prodotto dedicato. La risposta oggi sta nei controlli descritti sopra, permessi propri, competenze approvate, tracciabilità per agente, non in un report firmato da un revisore esterno.

In sintesi

• Il 10 settembre 2026 Harness ha pubblicato lo State of Agent DLC 2026 (700 intervistati, Sapio Research, luglio 2026): il 77% è sicuro di avere l'inventario completo di agenti, server MCP e modelli, ma solo il 44% lo verifica con strumenti di discovery attiva.
• Lo stesso divario riguarda i test: il 74% si fida che catturino un errore critico prima della produzione, ma solo il 19% ha un gate automatico che blocca da solo una release difettosa.
• Chi si dichiara più sicuro non lo è di più: il 75% ritiene i propri agenti sicuri end-to-end, ma l'88% di questo gruppo ha comunque subito un incidente di sicurezza, una quota quasi identica all'87% della popolazione generale del sondaggio.
• Uno studio SoK pubblicato su arXiv l'11 settembre 2026 (Mia, Wu, Uluagac, Amini) spiega perché guardare solo il risultato finale non basta: un attacco può restare nascosto nella pianificazione o nella memoria dell'agente anche quando la risposta finale sembra pulita.
• AIR Security (15 settembre 2026) ha censito oltre 17.800 add-on pubblici per agenti AI, circa 6,7 milioni di installazioni, che si affidano a istruzioni esterne non verificate, inclusi componenti che imitano marchi come Anthropic e OpenAI.

Fonti: Harness, "The State of Agent DLC 2026" e comunicato stampa PR Newswire (10 settembre 2026); Mia, Wu, Uluagac, Amini, rassegna SoK su arXiv (11 settembre 2026); AIR Security via SecurityWeek (15 settembre 2026); BlueSky Agent AI, "Il 13% delle competenze AI pubbliche contiene malware" e "OWASP Top 10 2026: le 5 domande da fare a chi ti vende un agente AI".