Il 19 ottobre 2026 Microsoft ha pubblicato un post in cui gli agenti AI non sono più trattati come una categoria di software da autorizzare, ma come insider: soggetti interni con identità, permessi e capacità d’azione propri, e quindi capaci di nuocere senza essere compromessi in senso tradizionale. Satya Nadella ha condensato la dottrina in una formula: «Il sistema agentico più affidabile non sarà quello di cui ci fidiamo di più, ma quello progettato per fidarsi il meno possibile del modello». Il modello di minaccia è la deriva contestuale — prompt injection in un documento esterno, dati non attendibili che spostano il ragionamento, un task che evolve altrove — non il malware classico.
L’architettura proposta poggia su tre pilastri: identità separata per l’agente (non quella dell’impiegato: permessi scoped al task e alla sua durata), Dynamic Agent Risk (punteggio di rischio continuo che incrocia identità, dati, endpoint, cloud, rete e comportamento per verificare se l’autorità corrente corrisponde ancora al rischio corrente) e contenimento graduato invece che binario (si preservano le letture, si bloccano le scritture, si restringe l’accesso, si richiede approvazione umana, si ferma l’esecuzione). Il prerequisito è la scoperta e registrazione: Microsoft estende il discovery a 60 tipi di agenti locali, inclusi Claude Code, OpenAI Codex e GitHub Copilot. Per reggere la scala (centinaia di migliaia di agenti) propone Guardian Agents, agenti che sorvegliano agenti — con l’onesta ammissione che anche i controlli devono vivere fuori dal modello e non essere modificabili da esso.
Perché conta oltre l’IT
Chi definisce l’identità definisce la giurisdizione. Trattare l’agente come insider significa attribuirgli un’identità verificabile, un registro, una tracciabilità. È la mossa con cui un fornitore diventa l’autorità di registrazione di fatto per la forza lavoro non umana di un’organizzazione. Quando i registry degli agenti si fonderanno con i sistemi di identità aziendali, chi controlla quel piano controlla l’accesso ai dati di un’intera impresa: un effetto di lock-in molto più profondo del lock-in sulle applicazioni.
La sovranità si sposta sul livello di governance. Un agente locale — Claude Code, Codex, Copilot — gira su una macchina, ma la sua identità può essere emessa da un cloud, potenzialmente straniero, con log e segnali di rischio che risiedono là. Per governi e aziende regolate (difesa, sanità, finanza, PA) il tema non è più “quale modello”, ma dove vive il registro degli agenti e chi lo legge. È verosimile che nel 2027 cresca la domanda di registry e broker di identità agentica nazionali o regionali, e che la regolazione europea arrivi a trattare la questione come sicurezza dei sistemi e non solo come trasparenza.
Un mercato di “sicurezza degli agenti” che è, in buona parte, geopolitica commerciale. Microsoft arriva per prima con una dottrina completa; Google, AWS e Anthropic — che possiedono gli agenti citati nel discovery — dovranno rispondere con un’architettura alternativa, probabilmente più federata e meno accentrata sul singolo hyperscaler. Il punto debole dichiarato — chi controlla i controllori quando anche i controllori sono agenti — diventa terreno di competizione regolatoria: se nessuno risolve la verificabilità di un agente che giudica un altro agente, l’auditabilità resta un’affermazione di marketing.
Il rischio della simmetria. Se la difesa diventa agentica, lo diventa anche l’offesa: un attaccante non deve più violare un perimetro, gli basta persuadere un agente autorizzato a usarlo male. Il prompt injection smette di essere una vulnerabilità applicativa e diventa un vettore di spionaggio e sabotaggio a basso costo, attribuibile con difficoltà e scalabile. Per gli Stati, è una capacità asimmetrica attraente.
Il vincolo politico dell’approvazione umana. Microsoft scrive che gli umani fissano gli obiettivi e approvano le decisioni importanti. È una promessa di human-in-the-loop che cozza con la scala dichiarata: a centinaia di migliaia di agenti, l’approvazione umana è un collo di bottiglia o una fiction procedurale. Qui si giocherà la parte più delicata — responsabilità legale, prove in un’istruttoria, conformità — perché un’agency che non può essere interrogata su chi ha autorizzato cosa non regge in nessun procedimento.
Cosa aspettarsi
Nei prossimi 12–18 mesi la traiettoria più probabile ha due binari.
Sul piano tecnico-organizzativo, la registrazione degli agenti diventerà un requisito di procurement nelle grandi organizzazioni: prima prassi interna, poi clausola contrattuale. I registry si consolideranno attorno agli hyperscaler, e con essi la dipendenza. Il banco di prova arriverà con i primi incidenti in cui un agente autorizzato causerà un danno senza essere stato compromesso: quel caso sposterà il dibattito dalla sicurezza informatica alla responsabilità civile, e sarà il vero momento di rottura — molto più di qualunque annuncio.
Sul piano geopolitico, la corsa sarà tra due modelli: uno statunitense guidato dai vendor, dove l’auditabilità è una funzionalità di prodotto; uno europeo centrato sulla sovranità del registro e sulla verificabilità indipendente. È su questo secondo asse che si deciderà se l’Europa sarà cliente o regolatore.
Analisi basata su Microsoft Treats AI Agents as Insider Threats in New Security Framework, Pierluigi Paganini, Security Affairs, 20 ottobre 2026
A cura di The Global Eye e SIOI
Marco Emanuele
