Microsoft ha presentato oggi una strategia inedita per mettere in sicurezza gli agenti AI, con aggiornamenti che toccano Microsoft 365 E7, Agent 365 e Project Perception. L’annuncio si inserisce in un percorso iniziato pochi giorni prima, quando l’azienda aveva illustrato come proteggere gli agenti su Windows parlando di MXC, identità dedicate agli agenti e controlli di governance. In mezzo è arrivato anche il post di Satya Nadella, che chiede controlli più stringenti sui sistemi in grado di consultare dati, prendere decisioni e operare in vece nostra.
Approfondisci: Microsoft lancia Guardian Agents per contrastare le minacce interne degli agenti AI
Messi uno accanto all’altro, questi tasselli disegnano un unico disegno: quanto più gli agenti guadagnano capacità e autonomia, tanto più la sicurezza deve imparare a capire cosa stanno combinando, a ridurne i poteri in funzione del rischio e a intervenire quando la fiducia non è più giustificata. La meta dichiarata è offrire ai team di sicurezza visibilità, supervisione e controllo, così che le imprese possano adottare gli agenti con meno timori.
La fiducia che non si appalta
Per Nadella il nemico da tenere d’occhio è quello che l’azienda ospita in casa e retribuisce ogni mese: il dipendente che ha perso la bussola, quella che in gergo si chiama insider threat. Sul suo blog personale, all’inizio del mese, ha scritto una cosa che, detta da un amministratore delegato di quel livello, suona quasi eretica: bisogna smettere di fidarsi ciecamente dei fornitori di modelli, perfino quando garantiscono che tutto è sicuro. Servono sistemi separati, non gestiti dai laboratori di AI, incaricati di sorvegliare e frenare gli agenti prodotti da quegli stessi laboratori.
Le sue parole: “Stiamo mettendo in campo sistemi e modelli agentici complessi, con accesso ai nostri dati più sensibili e con la possibilità di compiere azioni critiche per conto nostro. Non possiamo appaltare la responsabilità di ciò che l’intelligenza artificiale fa al posto nostro. Le rassicurazioni di chi fornisce il modello non ci sollevano da questa responsabilità”. In sintesi, la fornitura di intelligenza va separata dall’autorità su di essa. Nessuna fiducia automatica, senza giri di parole.
Hayete Gallot, a capo della divisione sicurezza di Microsoft, è stata perfino più netta: “Purtroppo i modelli di frontiera, a prescindere dalla loro origine, non sono affidabili”. Non perché siano malvagi o facili da scardinare, precisa: il problema è che sono imprevedibili. Sono stati addestrati a portare a termine il compito, non a rispettare le norme o il giudizio dell’azienda. Un cane da riporto bravissimo, insomma, che però non distingue il bastone dal pollo arrosto della domenica. E questi cani, spesso, hanno in mano le chiavi del regno: dati, strumenti, accessi con cui possono combinare guai seri.
Il badge a scadenza: Dynamic Permissions
La prima mossa consiste nel togliere agli agenti l’abitudine di ereditare tutto. Finora un agente tende ad assumersi i privilegi dell’utente che lo impiega, come un tirocinante a cui si consegna il mazzo di chiavi del direttore. Con le nuove Dynamic Permissions l’agente ottiene permessi specifici per un compito preciso e per un tempo definito. Quando il lavoro cambia, i permessi si riducono o vengono revocati: è il badge da visitatore, quello che a fine giornata non apre più le porte.
Il semaforo che cambia colore
Dynamic Agent Risk e Dynamic Conditional Access valutano senza sosta quello che l’agente combina e adattano di conseguenza ciò che gli è concesso fare. Se il rischio cresce, l’accesso si restringe; certe azioni vengono bloccate. In alcuni casi serve il via libera di una persona, e nelle situazioni peggiori l’agente viene fermato del tutto.
Il nodo, nel controllare gli agenti, è che prima occorre sapere quanti ce ne sono: molti entrano in azienda nello zaino dei dipendenti, senza bussare. Microsoft ha quindi esteso il rilevamento ad altre 35 tipologie di agenti locali, arrivando a un totale di 60, tra cui Claude Code, OpenAI Codex, GitHub Copilot e OpenClaw. Ha ampliato anche Entra Agent ID, così che più agenti abbiano un’identità propria. Può sembrare burocrazia, ma serve a stabilire chi risponde di che cosa, cosa sta facendo l’agente e a quali dati può arrivare: un agente senza nome è un fantasma con accesso al database.
Guardian Agents, il sorvegliante dei sorveglianti
La novità più interessante sono i Guardian Agents, che fanno parte di Project Perception, presentato a giugno come risposta di Microsoft ai modelli da hacker di nuova generazione: Mythos e Fable di Anthropic, e Daybreak di OpenAI, il sistema che scova vulnerabilità. Project Perception era nato come una commedia in tre squadre: la rossa faceva il ladro e attaccava, la blu la smascherava e misurava i danni, la verde arrivava con attrezzi e cemento a rattoppare i buchi. Il copione però prevedeva un cattivo che bussa dall’esterno, mentre il cattivo potrebbe essere già seduto alla scrivania accanto.
Ora ai Guardian Agents si aggiungono i Playbooks: i primi analizzano perché il livello di rischio di un agente è cambiato, con i secondi scattano le contromisure a velocità di macchina, che per un incidente digitale è l’unica velocità utile. Alle persone restano le decisioni che contano: scrivere le policy e fissare i confini oltre i quali serve un’approvazione.
Microsoft è notoriamente in ottimi rapporti con OpenAI e Anthropic, e in entrambe ha investito. OpenAI è anche uno dei suoi clienti cloud più grossi, e in casa Microsoft esiste un laboratorio che sviluppa modelli propri. Seminare diffidenza verso i partner significa, almeno in parte, tirarsi la zappa sui piedi. Ma c’è un “ma”: Microsoft vorrebbe che le imprese comprassero la sicurezza per gli agenti da lei, il fornitore cloud, e non da Anthropic e OpenAI. Detto questo, il ragionamento regge: chi controlla gli agenti non dovrebbe coincidere con chi li vende, così come un revisore dei conti non può essere amico del cliente che controlla.
L’idea dell’agente-infiltrato fa scuola
Microsoft non è sola: ha aderito, tra i primi, alla nuova Open Agent Safety Platform di Nvidia, che ha raccolto il sostegno di oltre un centinaio di altre aziende. La piattaforma chiude gli agenti in ambienti protetti e può controllarne e fermarne il comportamento tramite l’hardware, qualcosa di molto simile a un pulsante d’emergenza. Il filo si lega agli ultimi annunci di Redmond: i nuovi Surface Laptop Ultra, portatili pensati per gli agenti, con chip Nvidia e sicurezza e controlli già incorporati.
