OWASP Top 10 2026: le 5 domande da fare a chi ti vende un agente AI

Nell'edizione 2026 della OWASP Top 10 per applicazioni LLM l'excessive agency sale dal 6° al 3° posto, sulla base di 6.639 incidenti reali. Gli agenti si rompono soprattutto per i permessi che gli diamo, e da qui nasce una checklist di acquisto in cinque domande.

BlueSky Agent AI · 2026-08-22

L'edizione 2026 della OWASP Top 10 per applicazioni LLM è uscita durante Black Hat USA, e porta con sé una novità metodologica che conta quanto il contenuto: per la prima volta la classifica non pesa solo il voto degli esperti, ma 6.639 incidenti reali documentati, che valgono il 25% del peso finale. È una fotografia di quello che si rompe in produzione.

Il risultato ribalta l'idea più diffusa sui rischi dell'AI in azienda.

"Excessive agency" sale dal sesto al terzo posto

Quando si parla di rischi dell'AI, la conversazione va quasi sempre nella stessa direzione: e se il modello venisse ingannato? E se qualcuno gli facesse dire qualcosa di sbagliato? È la paura del prompt injection, ed è legittima. I dati di incidente però raccontano un'altra storia.

Nella Top 10 2026 la voce Excessive Agency, cioè i permessi eccessivi concessi all'agente, sale dal sesto al terzo posto. In italiano operativo: il problema più frequente è che l'agente abbia più poteri di quanti gliene servano per fare il suo lavoro.

Accesso a una shell che non gli serviva. Una chiave API con permessi di scrittura dove bastava la lettura. La possibilità di eseguire una transazione su un database di produzione perché così era più comodo. Gli incidenti reali si concentrano lì, nel punto in cui uno sbaglio qualsiasi diventa irreversibile perché nessuno aveva limitato il raggio d'azione.

La raccomandazione OWASP è testuale e piuttosto semplice: Least Agency. Concedere all'agente il minimo delle capacità necessarie, e imporre approvazione umana sulle operazioni sensibili e non reversibili. Chi lavora in sicurezza informatica riconoscerà il least privilege di sempre, applicato però a un'entità che non aspetta di ricevere un comando: decide da sola quando agire.

Intent collusion: il vocabolario nuovo di Black Hat

Da Black Hat arriva anche il termine che spiega perché i controlli tradizionali non bastano, intent collusion. L'attacco non passa dal furto di una credenziale né dalla violazione di un permesso: manipola l'intento di un agente che ha accessi perfettamente legittimi. L'agente fa esattamente quello che è autorizzato a fare, legge quel file, chiama quell'API, invia quella mail, solo che lo fa per conto di qualcun altro. Il risultato può essere furto di credenziali, esfiltrazione di dati o esecuzione di codice, senza che un solo permesso venga violato.

Ryan Anschutz di IBM X-Force lo sintetizza come una "crisi di identità" del settore: gli strumenti di identity e access management sono stati progettati per gli esseri umani. Un umano ha un turno di lavoro, un contesto, un capo. Un agente opera in continuo, si moltiplica in istanze e agisce con la stessa identità in decine di processi diversi.

Per una PMI il punto pratico è che chiedere "il vostro agente è sicuro?" non produce nessuna informazione utile, perché la risposta sarà sempre sì. Le domande che producono informazione sono altre, e sono poche.

Le domande da fare a chi vi vende un agente AI

Si possono fare senza essere esperti di sicurezza. Quello che conta non è tanto la risposta in sé, quanto capire se il fornitore ha già pensato al problema o lo sente per la prima volta da voi.

1. Quali permessi ha esattamente questo agente, e chi glieli ha assegnati?

Quello che volete sentirvi rispondere è un elenco: questi sistemi in lettura, questi in scrittura, questi mai. "Ha accesso al gestionale" non è una risposta, perché il gestionale non è un permesso, è un perimetro.

Domanda di controllo: se domani volessi togliergli la scrittura su una sola tabella, quanto ci vuole? Se la risposta è che va rifatto il collegamento, i permessi non sono granulari.

2. Quali azioni sono irreversibili, e cosa succede prima che vengano eseguite?

Discende direttamente dal principio Least Agency. Inviare una mail a un cliente, emettere una fattura, modificare un ordine, cancellare un record sono azioni che non si annullano con un tasto. La risposta utile descrive un punto di fermo esplicito: l'agente prepara, una persona approva, poi l'azione parte. "Il modello è molto affidabile" non copre il problema, perché l'affidabilità è una probabilità e l'irreversibilità è una certezza. Non si compensano.

3. Ogni agente ha un'identità propria, o usano tutti la stessa utenza?

È la "crisi di identità" tradotta in domanda d'acquisto. Se cinque agenti accedono ai sistemi con la stessa utenza di servizio, quando qualcosa va storto non si può sapere quale sia stato, e non si può revocare l'accesso a uno solo senza fermarli tutti.

4. Cosa resta scritto, e si può ricostruire perché l'agente ha fatto quella cosa?

Un log che dice "operazione eseguita" non serve a niente. Serve poter rispondere, tre settimane dopo, alla domanda di un cliente o di un revisore: su quali dati si è basato, quale passaggio ha prodotto quel risultato, chi ha approvato. Vale per la sicurezza e vale per la conformità, perché senza tracciabilità non si dimostra nulla e in una contestazione quello che non si dimostra semplicemente non è avvenuto.

5. Da dove vengono le competenze e gli strumenti che l'agente usa?

Un agente moderno è un modello più un insieme di strumenti e competenze installate. Se quei componenti arrivano da un repository pubblico senza verifica, il perimetro di sicurezza diventa quello di chiunque abbia pubblicato il pacchetto. La risposta utile parla di componenti curati, versionati e verificati prima dell'esecuzione. "Supportiamo tutte le integrazioni disponibili", detta come se fosse una virtù, dice l'opposto.

Uno standard contro cui misurare il fornitore

La Top 10 2026 mette in un documento pubblico quello che una buona architettura agentica già faceva: permessi minimi per agente, approvazione umana obbligatoria sulle azioni irreversibili, identità e log per ciascun agente.

Per un imprenditore questo cambia il tono della conversazione. Al posto di un generico "l'AI è pericolosa, stai attento" c'è ora un riferimento riconosciuto contro cui misurare chi vi vende qualcosa, e cinque domande da fargli.

Come lo fa BlueSky Agent AI

Sulla piattaforma BlueSky questi punti sono proprietà dell'architettura, cioè cose che non si possono disattivare per fare prima.

• Permessi per agente, non per azienda. Ogni agente riceve l'insieme minimo di accessi che gli serve per il processo assegnato e non eredita il perimetro di chi lo ha creato.
• Human-in-the-Loop sulle azioni non reversibili. L'agente prepara e propone; l'invio verso l'esterno, la modifica di un dato di produzione e le operazioni con effetti contrattuali passano da un'approvazione esplicita. Il punto di fermo sta nel processo, non nella buona volontà dell'operatore.
• Identità e log per ogni agente. Ogni agente è un soggetto distinto, con la sua utenza e la sua traccia: si sospende il singolo senza spegnere gli altri e si ricostruisce a posteriori il percorso di una decisione.
• Competenze curate e verificate. Strumenti e competenze sono selezionati e versionati, non scaricati al volo da un repository pubblico.

C'è poi un aspetto che raramente viene associato alla sicurezza. Un processo agentico è una sequenza di fasi con requisiti diversi: capire una richiesta, cercare in un archivio, ragionare su un caso limite, produrre un documento. Usare il modello più potente e più costoso per tutte le fasi non rende il sistema più sicuro, lo rende insostenibile, e quello che è insostenibile prima o poi viene aggirato. ModelMatch, il motore di routing di BlueSky, sceglie il modello adatto a ciascuna fase con una riduzione media dei costi del 42% a qualità invariata. Il vantaggio secondario è che nessuno ha l'incentivo a scavalcare un'architettura sostenibile, e la maggior parte dei controlli di sicurezza salta proprio così: non per un attacco, ma perché era troppo lenta.

Cosa fare questa settimana

Se avete già un agente AI in produzione, o state per firmare per averne uno, l'esercizio è breve.

1. Fatevi dare l'elenco scritto dei permessi dell'agente. Non a voce, non "in sostanza": l'elenco.
2. Segnate quali azioni della lista sono irreversibili. Di solito sono meno di cinque.
3. Per ciascuna, verificate che ci sia una persona che approva prima dell'esecuzione. Se non c'è, quello è il primo lavoro da fare.

Mezza giornata di lavoro, e il rischio che la classifica OWASP mette al terzo posto diventa un problema che avete già affrontato.

In sintesi

• La OWASP Top 10 2026 per applicazioni LLM pesa per la prima volta 6.639 incidenti reali documentati, che valgono il 25% della classifica finale.
• "Excessive Agency", cioè i permessi eccessivi dati all'agente, sale dal sesto al terzo posto: gli incidenti nascono più dai poteri concessi che dalla manipolazione del modello.
• La raccomandazione OWASP si chiama Least Agency: capacità minime necessarie più approvazione umana sulle operazioni sensibili e irreversibili.
• Con l'intent collusion un agente viene dirottato senza violare alcun permesso, perché l'attacco manipola l'intento e non gli accessi. Ryan Anschutz di IBM X-Force la chiama una crisi di identità del settore, visto che gli strumenti di IAM sono stati progettati per gli esseri umani.
• Prima di firmare per un agente AI conviene chiedere l'elenco granulare dei permessi, cosa succede prima delle azioni irreversibili, se ogni agente ha un'identità propria, cosa resta tracciato e da dove arrivano gli strumenti installati.

Per capire come si applicano questi principi a un caso concreto, parliamone: si parte dai processi che avete già.