La sicurezza degli agenti di IA è la disciplina che protegge sistemi autonomi basati su LLM — che pianificano, decidono ed eseguono azioni tramite tool, MCP e plugin — contro abuso di strumenti, agency eccessiva e prompt injection. Berghem combina Red Team, sandboxing, privilegio minimo e monitoraggio continuo per contenere ciò che ogni agente può fare.
Un agente di IA è un sistema che usa un LLM come motore di ragionamento per pianificare ed eseguire compiti in modo autonomo, invocando strumenti esterni, API, database e altri agenti. Questa autonomia amplia la superficie d'attacco: ogni strumento collegato, ogni connettore MCP e ogni plugin diventa un percorso per deviare il comportamento dell'agente.
A differenza di un chatbot che risponde solo con testo, un agente agisce nel mondo — invia email, muove denaro, modifica record, esegue codice. Quando l'agente è indotto ad agire contro il business, l'impatto è operativo e immediato, non solo informativo. Proteggere gli agenti significa trattare l'LLM come componente non affidabile e limitare ciò che può fare.
Le minacce agli agenti nascono dall'unione tra un LLM non deterministico e il potere di agire. Le categorie seguenti concentrano la maggior parte degli incidenti reali.
Quando un agente accede a strumenti potenti senza limiti chiari, un attaccante può concatenarli per effetti non previsti — esfiltrare dati, eseguire comandi o avviare transazioni. Il rischio cresce con il numero e il privilegio degli strumenti esposti.
L'agency eccessiva è concedere all'agente più permessi, autonomia o funzionalità di quanto il compito richieda. È una categoria dell'OWASP Top 10 per LLM e la causa radice di molti incidenti: l'agente compie azioni distruttive solo perché ne aveva accesso.
Contenuto malevolo nascosto in una email, pagina, documento o risposta API può riprogrammare l'agente durante l'esecuzione (prompt injection indiretta). L'agente legge il dato come istruzione e inizia a servire l'attaccante — senza segnali per l'utente.
Ogni server MCP, plugin o connettore aggiunge codice di terze parti e nuovi permessi all'agente. Un connettore compromesso o mal configurato può esporre credenziali, ampliare privilegi o introdurre strumenti ostili nella catena di esecuzione.
Nelle architetture multi-agente, l'output di un agente diventa input di un altro. Senza validazione, un'iniezione in un anello si propaga su tutta la catena, e la fiducia implicita trasforma un difetto locale in compromissione sistemica.
Basi di conoscenza, memoria a lungo termine e pipeline RAG possono essere avvelenate con contenuto che agisce solo dopo, al recupero. L'agente richiama l'istruzione piantata e la esegue come legittima, ben oltre il momento dell'attacco.
Non esiste un controllo unico. La sicurezza degli agenti è difesa in profondità: ogni livello riduce il danno possibile quando il precedente fallisce.
Ogni strumento riceve solo i permessi strettamente necessari, con scope, allowlist e credenziali segregate. Ridurre il privilegio di ogni azione limita il danno quando l'agente viene sovvertito.
Esecuzione di codice, navigazione e chiamate agli strumenti girano in ambienti isolati, senza accesso diretto a segreti, rete interna o produzione. Il sandbox contiene il raggio d'azione di un'operazione malevola.
Le azioni ad alto impatto — pagamenti, cancellazioni, invio esterno di dati — richiedono conferma umana esplicita. L'approvazione manuale spezza le catene automatiche di abuso prima di un effetto irreversibile.
Input degli strumenti e dati esterni sono trattati come non affidabili; gli output dell'agente passano da filtri prima di diventare azione. Separare i dati dalle istruzioni mitiga la prompt injection diretta e indiretta.
Ogni decisione, chiamata a strumento e risultato è registrato e osservato in tempo reale. La telemetria rileva deviazioni di comportamento, abilita risposta rapida e sostiene l'indagine post-incidente.
Policy chiare definiscono quali strumenti ogni agente può usare, a quali condizioni e con quale supervisione — allineate a framework come ISO 42001 e all'OWASP Top 10 per LLM.
Portiamo la superficie degli agenti nell'AI Red Team e nel pentest di IA, e ancoriamo i controlli alla governance e ai nostri stessi agenti di sicurezza.
Simuliamo avversari reali contro i tuoi agenti: prompt injection, abuso di strumenti ed escalation via MCP, con evidenza di impatto end-to-end.
Test tecnico focalizzato su agenti, strumenti e integrazioni, mappato all'OWASP Top 10 per LLM e a MITRE ATLAS.
Struttura policy, ruoli e controlli per l'intero ciclo di vita dei tuoi agenti, dal design alla dismissione.
Prontezza per il sistema di gestione dell'IA (AIMS) della ISO/IEC 42001, con controlli applicabili agli agenti autonomi.
I nostri agenti di sicurezza autonomi, gestiti secondo gli stessi principi di privilegio minimo e supervisione umana che raccomandiamo ai clienti.
Red Team e penetration test su tutta la superficie dell'organizzazione, oltre lo strato di IA.
In una conversazione di 30 minuti mappiamo la superficie dei tuoi agenti — strumenti, MCP, plugin e integrazioni — e progettiamo l'ambito ideale di test e hardening.