La Sicurezza delle Identità nell’Impresa: Affrontare la Sfida degli Agenti Autonomi

L’emergere di agenti software autonomi, assistenti di codifica e workflow automatizzati sta mettendo in crisi i modelli tradizionali di Identity and Access Management (IAM), concepiti sull’assunto di un utente umano che si autentica e agisce all’interno di una singola sessione. Questi agenti operano a velocità e con autonomia che i controlli statici non sono progettati per gestire, rendendo cruciale la capacità delle organizzazioni di vedere, governare e contenere ciò che avviene dopo la concessione dell’accesso.

I sistemi di IAM legacy validano l’accesso in un punto temporale, ma non valutano il comportamento in esecuzione: le AI non si autenticano e si fermano, invocano strumenti e modificano sistemi in tempo reale. Questa mancanza di visibilità e gli inventari incompleti di agenti AI, insieme ad accessi ai dati non tracciati e credenziali a vita o condivise, amplificano le superfici d’attacco. Il fenomeno della shadow AI, credenziali di breve durata e azioni guidate da macchine introducono ulteriori punti ciechi.

Gli attaccanti sfruttano sempre più spesso vie semplici come credenziali rubate o compromesse, evitando tecniche sofisticate e apparendo legittimi agli strumenti di verifica tradizionali. Per rispondere a queste minacce, è necessario evolvere verso un modello che integri governance degli agenti, fiducia in esecuzione e operabilità programmabile oltre la console amministrativa.

In particolare, la governance degli agenti implica l’identificazione, l’assegnazione di proprietà e la definizione di confini e permessi. La fiducia in esecuzione richiede una valutazione contestuale degli accessi e un contenimento rapido dei comportamenti rischiosi. Ridurre l’esposizione delle credenziali, migliorare l’attribuzione e preservare una chiara catena di responsabilità fino a un proprietario umano o a una decisione di policy sono passaggi fondamentali.

Russ Kirby, CISO di Ping Identity, sottolinea che la vera sfida non è proibire l’uso di sistemi AI, ma garantire il loro funzionamento sicuro, responsabile e regolato da guardrail aziendali. Le organizzazioni che integreranno identità, responsabilità e controllo in tempo reale nella loro struttura operativa saranno quelle in grado di sfruttare l’AI con maggiore fiducia, senza soffocare l’innovazione.