In Breve
- Cosa sono gli agenti AI?
- Gli agenti AI sono sistemi di intelligenza artificiale che eseguono transazioni e compiti amministrativi.
- Perché è importante la verifica dell'autorità?
- È fondamentale per garantire che le azioni siano autorizzate e limitate, riducendo i rischi di compromissione.
- Qual è il principio del minimo privilegio?
- Richiede che agli agenti vengano concesse solo autorizzazioni specifiche e limitate.
Negli ultimi anni, l’adozione di agenti di intelligenza artificiale (AI) per completare transazioni e gestire compiti amministrativi ha messo in discussione il tradizionale modello di fiducia digitale. Questo modello si basa sull’assunto che dietro ogni accesso ci sia una persona, ma con l’emergere degli agenti AI, questa premessa è diventata obsoleta.
Molti dei sistemi attuali di autenticazione e verifica dell’identità sono progettati per confermare se l’utente ha le credenziali corrette, ma non sono in grado di accertare chi ha autorizzato un’azione e quali siano i limiti di tale autorizzazione. La distinzione tra autenticazione, identità e autorità diventa quindi cruciale. Non basta più identificare chi accede a un servizio; è fondamentale sapere chi ha dato l’autorizzazione, cosa può fare e per quanto tempo.
In ambito aziendale, controlli di ruolo ed eleggibilità sono già applicati in settori come i servizi finanziari e la sanità. Tuttavia, l’infrastruttura attuale è più avanzata nella verifica dell’identità rispetto all’applicazione delle deleghe di autorità. La disciplina suggerita per affrontare questa sfida è quella del principio del minimo privilegio: agli agenti devono essere richieste mandate specifiche e limitate, piuttosto che un accesso permanente esteso. Questo approccio è fondamentale, poiché un agente compromesso o mal configurato può causare danni significativi.
Per ogni azione compiuta da un agente AI, è essenziale poter rispondere a cinque domande chiave: chi o cosa sta agendo, chi ha autorizzato l’azione, cosa può fare, sotto quali vincoli e se l’autorità è ancora valida. Questo metodo si basa sui modelli di delega “on-behalf-of”, già presenti negli standard di identità.
Strumenti come i portafogli digitali possono ospitare mandati verificabili meccanicamente, revocabili e affiancati alle credenziali verificate di persone o organizzazioni. Le autorità e i framework esistenti, incluso il quadro di fiducia per i servizi di verifica digitale, devono essere ampliati per includere i delegati software. È necessario spostare la verifica dell’autorità prima che l’agente agisca, documentare chi concede i poteri e limitarne l’ambito. Queste misure sono cruciali per ridurre l’esposizione ai rischi, specialmente prima che le implementazioni di agenti superino i controlli progettati per governarle.
In conclusione, la crescente diffusione degli agenti AI richiede una revisione approfondita delle pratiche di verifica dell’autorità. Solo attraverso un approccio proattivo e rigoroso sarà possibile garantire la fiducia digitale in un mondo sempre più automatizzato.