Agenti AI: la nuova superficie d'attacco enterprise

La tesi che il mercato rifiuta di prezzare

Gli agenti AI diventeranno la più grande superficie d'attacco del software enterprise entro il 2027. Questa è una traiettoria documentata, radicata nel crollo del costo di esecuzione agentica. Il consenso guarda i modelli e discute allineamento etico.

Il vero rischio vive altrove: nel layer che concede agli agenti l'accesso a strumenti, credenziali e API.

Questo è un cambio di regime, altro che semplice trend. Ogni agente autonomo che esegue azioni riceve permessi. Ogni permesso apre una porta.

Il mercato prezza la conversazione sbagliata. La disciplina finanziaria della sicurezza segue ancora il perimetro di rete, mentre il baricentro del rischio migra verso l'autonomia esecutiva.

Il consenso ha il frame sbagliato

Il 90% degli analisti ha ragione sul presente. Ha torto sul ritmo del cambiamento. La discussione dominante riguarda la sicurezza dei modelli: bias, prompt injection, contenuti proibiti.

Quel dibattito misura il dato sbagliato. Anthropic ha appena annunciato Claude Fable 5.1, con prezzo ridotto e safeguard più precisi per le domande di biologia, come riporta The Verge^[1].

La conversazione pubblica si concentra sul contenuto generato. La superficie che conta è operativa: cosa un agente può eseguire, quali sistemi tocca, quali segreti detiene in memoria.

Air ha raccolto 50 milioni di dollari per aiutare le aziende a verificare skill e add-on usati dagli agenti AI, secondo TechCrunch^[2]. Il capitale segue il rischio reale.

La curva di costo dice tutto

Il costo di eseguire un agente autonomo sta crollando lungo una curva ripida. Anthropic dichiara che Claude Fable 5.1 costa circa il 25% in meno del predecessore per l'uso tipico, e fino al 45% in meno per i compiti agentici complessi, grazie al prezzo ridotto sui dati in cache, come documenta The Verge^[1].

Tre punti sulla traiettoria: il prezzo per token dei modelli frontier è sceso di oltre un ordine di grandezza in due anni; la cache riduce il costo marginale delle chiamate ripetute; l'efficienza dei token per compito migliora a ogni release.

La conclusione è diretta: eseguire mille agenti costerà quanto eseguirne uno oggi.

Quando il costo di un'azione autonoma tende a zero, il numero di azioni autonome esplode. La superficie d'attacco scala con il numero di agenti attivi. Ogni release comprime il costo, e la compressione abilita pattern di deployment prima economicamente proibitivi.

Cliff event: quando l'adozione salta

L'adozione degli agenti smetterà di crescere in modo lineare e salterà. Cliff event: costo agentico sotto la soglia psicologica, 2027, deployment di massa in produzione.

A quel punto ogni funzione aziendale delega esecuzione a un agente. Vendite, finanza, IT, supporto. Ogni delega richiede credenziali con privilegi.

The Register ha documentato una CVE di Artifactory sotto attacco attivo, con incertezza esplicita su un punto: l'attaccante era un agente AI oppure un umano, come riporta The Register^[3]. Quell'ambiguità è il segnale.

La distinzione tra attaccante umano e agente autonomo sta svanendo. Gli exploit diventano scriptabili, ripetibili, scalabili al costo di una chiamata API.

I team di sicurezza affrontano avversari che clonano tattiche vincenti in tempo reale. Un exploit riuscito diventa un template distribuibile a migliaia di istanze parallele.

Tre categorie che cambieranno forma entro il 2028

Tre pilastri del software di sicurezza cambieranno forma sotto questa pressione, e il cambiamento sarà strutturale.

Identity and access management si riscrive per gli agenti. I sistemi progettati per identità umane gestiscono male entità che nascono, agiscono e muoiono in millisecondi. Il mercato IAM tradizionale affronta obsolescenza strutturale.

La sicurezza applicativa migra dal perimetro all'azione. Conta cosa un agente esegue, altro che da dove si connette. I vendor firewall legacy vendono la mappa di un mondo in dissoluzione.

Il layer di verifica delle skill diventa infrastruttura critica. Il round di Air lo conferma: le aziende pagheranno per sapere quali add-on un agente invoca. Questo è il vantaggio del prossimo decennio.

La mia posizione, e cosa la ribalterebbe

La mia posizione è netta: il valore della sicurezza AI migrerà dal layer modello al layer azione, e le aziende che comprano "sicurezza del modello" comprano una commodity in arrivo.

Il ragionamento poggia sulla curva di costo e sul meccanismo di delega dei privilegi. Ogni agente economico moltiplica le porte aperte.

Osservo i patent filing e l'attività su GitHub attorno all'isolamento runtime degli agenti. Il volume cresce, la maturità resta bassa. Quella distanza definisce la finestra di rischio.

Cosa cambierebbe la mia tesi: un'architettura di runtime che isola gli agenti per default, adottata dai tre provider principali entro il 2027, ridurrebbe la superficie prima del cliff event. Quell'evidenza mi farebbe rivedere l'orizzonte.

La previsione, con kill signal

Previsione esplicita: entro la fine del quarto trimestre 2027, un incidente pubblicamente confermato coinvolgerà un agente AI compromesso che esegue azioni dannose attraverso accessi a strumenti concessi, causando una violazione dati di scala enterprise.

Confidence: 70 su 100. Orizzonte: fine 2027. Il meccanismo causale è la delega dei privilegi a costo marginale prossimo allo zero.

Kill signal: l'assenza, al 31 dicembre 2027, di qualsiasi violazione enterprise pubblicamente attribuita a un agente AI compromesso. Quel fatto renderebbe la tesi errata.

Cosa significa per chi decide adesso

Per il CTO: rivaluta lo stack di identità e la gestione dei segreti prima che il deployment agentico diventi ovvio. Il debito architetturale accumulato ora diventa una breccia domani.

Per il venture capital: il layer di verifica delle skill agentiche sembra una scommessa di nicchia oggi. I dati la rendono infrastruttura entro tre anni. Il round di Air è il primo prezzo.

Per il Chief Strategy Officer: ogni piano triennale che assume perimetri di sicurezza statici assume un mondo in dissoluzione.

Per il procurement: un contratto pluriennale su firewall perimetrali legacy blocca capitale su una tecnologia in via di superamento. Rileggi le clausole di uscita adesso.