In Breve
- Qual è il ruolo degli agenti AI nella sicurezza?
- Gli agenti AI sono utilizzati per attestare i controlli di sicurezza nelle organizzazioni.
- Quali sono i rischi legati alla governance degli agenti AI?
- La governance inadeguata può portare a un'apparenza di controllo senza una reale efficacia.
- Come possono le organizzazioni migliorare la governance degli agenti AI?
- Implementando visibilità continua, definendo accessi e supervisione umana significativa.
Negli ultimi anni, le organizzazioni hanno iniziato a fare sempre più affidamento su agenti di intelligenza artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, la governance non ha tenuto il passo con questa rapida adozione, generando preoccupazioni riguardo all’efficacia reale di tali attestazioni. In molti casi, queste ultime rischiano di riflettere solo l’apparenza di un controllo senza una sostanziale verifica della loro efficacia.
I team di sicurezza si trovano a dover affrontare un carico di lavoro sempre più gravoso, spesso impegnati in attività di prova episodiche e manuali. Piani di risposta agli incidenti risultano frequentemente non testati e questionari fornitori vengono compilati una sola volta, per poi essere dimenticati, mentre i rischi concreti evolvono silenziosamente.
Secondo un recente studio, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI stiano evolvendo più rapidamente di quanto i loro team possano rispondere. Inoltre, l’80% di questi professionisti dichiara di utilizzare o pianificare l’uso di agenti AI all’interno delle loro strategie di sicurezza. Nonostante ciò, il lavoro di compliance rimane in gran parte manuale, con le organizzazioni che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.
Per colmare questo divario, è fondamentale implementare una visibilità e una governance continue. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, l’identificazione dell’AI integrata nei servizi SaaS e il monitoraggio del cosiddetto “shadow AI”. Ogni agente deve essere considerato come un nuovo attore con una propria identità, accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.
Prima del deploy, è essenziale definire chiaramente quali dati possono essere accessibili dall’agente, dove è necessaria l’approvazione umana e come annullare eventuali azioni. Operazioni ad alto impatto, come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi, devono essere soggette a una supervisione umana significativa.
I controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione, interruttori di emergenza e containment automatico, per ridurre il raggio d’azione in caso di errore.
Inoltre, l’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, accentua il rischio che la compliance si trasformi in un mero “security theatre”. L’automazione, se orientata a checklist statiche, rischia di accelerare questo fenomeno.
La risposta a questa sfida è spostare l’obiettivo: è necessario far diventare la compliance una conseguenza di pratiche di sicurezza efficaci e dinamiche, armonizzando segnali di rischio, controlli e evidenze in tempo reale. L’AI rappresenta sia un nuovo fattore di rischio che uno strumento utile per gestire altri rischi. I programmi di governance efficaci possono rendere il percorso approvato più semplice rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato l’azione.
