Cos'è il privilegio minimo per gli agenti AI?

Il privilegio minimo applicato agli agenti AI (least privilege) è la regola secondo cui un agente riceve solo le chiavi del lavoro che ha davanti, e solo per la durata di quel lavoro. In pratica il permesso non si dà una volta sola, quando l'agente viene installato: si controlla ogni volta che l'agente sta per agire, cioè quando sceglie uno strumento e decide cosa fargli fare. Il momento rischioso è proprio quello, mentre lavora, quando il modello decide da solo se mandare una mail, scrivere una riga in un archivio o cancellare un dato, e nessuno ha ancora detto che può farlo. Per questo il controllo non può stare dentro il modello: è la parte meno affidabile dell'insieme ed è lui a chiedere l'accesso, quindi non può essere anche chi lo concede. A decidere dev'essere un componente separato, un filtro posto fra l'agente e i programmi che usa, che a ogni richiesta verifica chi chiede, con quale identità e per fare cosa.

Leggi anche: Non-Human Identity (NHI) · Un'identità digitale che appartiene a un software, non a una persona: service account, pipeline, bot e ora agenti AI che agiscono sui sistemi aziendali.

Il permesso non si concede una volta per sempre

A un dipendente i permessi si danno quando entra in azienda e si rivedono ogni tanto; con un agente non basta, perché il compito cambia mentre avanza. La ricerca sul controllo degli accessi per gli agenti si è concentrata su quel momento: un controllo che limita gli strumenti a disposizione dell'agente e verifica ogni richiesta prima di eseguirla, senza mai concedere più di quanto le regole consentono. Un'istruzione scritta nel prompt che vieta certe azioni vale solo finché l'agente la rispetta, ed è da quel varco che passa l'eccesso di autonomia. Il controllo affidabile è quello esterno, fatto azione per azione.

Cinque livelli di restrizione

Limitare un agente non è un gesto solo: una rassegna recente distingue cinque livelli, ognuno dei quali chiude un buco diverso. Quali strumenti l'agente può vedere; se quello che ha scelto gli serve davvero in quel passaggio; su cosa agisce, cioè quale documento, quale destinatario, quale importo; quanti dati gli tornano indietro e quali restano nascosti; e cosa può affidare a un altro agente, perché delegando i permessi si moltiplicano. Due regole costano poco. La prima: le credenziali dell'agente, cioè la sua identità da macchina, nascono all'inizio del compito e vengono ritirate alla fine, invece di restare valide per sempre. La seconda: ogni agente ha una persona con nome e cognome che ne risponde. Senza un responsabile, un agente che accumula permessi su più sistemi può finire per avere più accesso di qualunque singolo reparto, e nessuno sa chi l'ha approvato.

Un esempio enterprise

Un'azienda di 60 persone che produce semilavorati in Lombardia collega al gestionale un agente che si occupa dei pezzi non conformi: legge gli ordini, cerca le segnalazioni sullo stesso lotto e propone il materiale da riordinare. Lo mette in funzione con un unico account che può leggere tutto il gestionale e scrivere sul magazzino, con una chiave d'accesso valida novanta giorni creata durante una prova, e senza un responsabile. Basta una riga di istruzioni nascosta in un allegato ricevuto da un fornitore, o una richiesta ambigua, e l'agente ordina dal magazzino sbagliato o segna come conforme un lotto che non lo è: nel registro compare un account condiviso, non una persona. Il minimo necessario è molto più stretto: leggere gli ordini e scrivere solo in una sua tabella di proposte, un controllo esterno sul codice di magazzino e su un importo massimo, una chiave che nasce e scade con il compito, e un registro che annota chi ha chiesto, quale agente, quale strumento e con quale esito.

Perché conta per chi decide

A chi decide, senza entrare nella configurazione del controllo, bastano tre domande per ogni agente: quali chiavi ha, per quanto tempo, chi ne risponde. Una quarta distingue un controllo vero da una speranza: il permesso viene verificato nel momento in cui l'agente agisce? Il privilegio minimo non rende gli agenti meno utili: rende chiaro fin dove possono arrivare, e rimediabile l'errore quando sbagliano. Il sandboxing risponde a un'altra domanda, cioè fin dove arriva l'agente se qualcuno riesce a ingannarlo: servono entrambi.