Gli agenti di intelligenza artificiale stanno evolvendo dal semplice suggerimento di risposte all’esecuzione autonoma di azioni, come inviare email o effettuare prenotazioni. Per operare, questi sistemi richiedono un ampio accesso ai dati personali, aumentando i rischi legati a interpretazioni errate, contenuti malevoli e azioni non autorizzate.
La gestione della sicurezza e della privacy richiede un bilanciamento tra automazione e controllo umano. L’adozione del principio del minimo privilegio, unita a permessi granulari e supervisione proporzionale all’impatto delle decisioni, aiuta a limitare le possibili conseguenze negative senza annullare l’utilità di tali strumenti.
Per anni abbiamo chiesto all’intelligenza artificiale di fare una cosa piuttosto semplice: darci una risposta. Scrivere una mail, riassumere un documento, suggerire un ristorante, confrontare due prodotti.
Ora la linea si sta spostando.
La nuova generazione di agenti AI può fare qualcosa di molto più interessante: agire. Non soltanto suggerire quale volo prendere, ma cercarlo e prenotarlo. Non soltanto scrivere una risposta a un’email, ma leggerla e, se dispone dei permessi necessari, inviarne una al posto nostro.
È qui che la questione diventa più seria. Per essere davvero utile, un agente deve poter entrare nella nostra vita digitale: email, calendario, browser, documenti, messaggi, account e servizi online. Più porte gli apriamo, più cose può fare; ma aumentano anche le conseguenze possibili quando interpreta male una richiesta, incontra contenuti malevoli o utilizza un’autorizzazione in un modo che non avevamo previsto.
La domanda interessante, quindi, non è soltanto quanto diventeranno intelligenti le AI. È quanto potere siamo disposti a concedergli.
Quando l’AI passa dal consiglio all’azione
La differenza si capisce facilmente con un esempio:
- Chatbot tradizionale: “Ho trovato tre ristoranti che potrebbero piacerti.”
- Agente autonomo: “Ho controllato il tuo calendario, trovato un ristorante libero venerdì sera e prenotato il tavolo.”
Nel secondo caso l’AI non sta più semplicemente elaborando informazioni. Utilizza strumenti e servizi per raggiungere un obiettivo, decidendo quali passaggi eseguire lungo il percorso.
Per riuscirci ha bisogno di qualcosa che un normale chatbot spesso non possiede: accesso. Al calendario per sapere quando siamo liberi, alla posta per recuperare una prenotazione, al browser per cercare e comprare qualcosa, ai nostri account per modificare appuntamenti o comunicare con altre persone.
Il vero salto degli agenti AI, quindi, non riguarda soltanto l’intelligenza. Riguarda la capacità di trasformare una decisione digitale in un’azione reale.
Instinct mostra quanto può diventare sottile il confine
Un caso recente permette di vedere questo problema in modo molto concreto. Si chiama Instinct, un assistente AI ancora in accesso privato che può collegarsi, secondo quanto documentato da TechCrunch, a email, applicazioni di messaggistica, calendario e informazioni provenienti dal dispositivo, comprese posizione, audio e schermo. L’obiettivo è ambizioso: occuparsi di appuntamenti, prenotazioni, posta elettronica, shopping, voli e altre incombenze per conto dell’utente.
Proprio questa capacità ha attirato l’attenzione di diversi tester. E proprio la quantità di accesso necessaria ha cominciato a sollevare qualche domanda.
TechCrunch ha riportato, per esempio, che i termini di servizio concedevano all’azienda una licenza molto ampia sui materiali degli utenti, descritta come “perpetual and irrevocable”, e prevedevano la possibilità di ricevere informazioni dal dispositivo come screen capture, movimenti del cursore e input della tastiera. Gli stessi termini contemplavano inoltre la possibilità per Instinct di entrare in accordi, impegni o transazioni per conto dell’utente.
Poi sono arrivate le esperienze dei tester:
- Una persona ha segnalato di non riuscire a cancellare dall’agente i dati Gmail precedentemente indicizzati (successivamente è stato aggiunto uno strumento nelle impostazioni).
- Un’altra tester ha raccontato che Instinct continuava a produrre riepiloghi della casella email dopo che l’accesso a Google era stato scollegato.
- Un altro test ha mostrato che un’email appositamente preparata poteva tentare di impartire istruzioni all’agente.
- Una tester ha raccontato che Instinct aveva inviato un’email per suo conto senza chiederle prima conferma.
Il contesto è importante: Instinct è ancora in private testing. Stiamo parlando di esperienze riportate da tester e documentate da TechCrunch su un prodotto giovane e in evoluzione, non della prova che Instinct sia necessariamente insicuro né che tutti gli agenti AI abbiano gli stessi problemi.
Il caso è interessante per un motivo diverso: rende visibile il compromesso su cui probabilmente si giocherà una parte importante del futuro degli agenti personali. Per fare molto, un agente deve poter accedere a molto.
Il vero problema non è solo cosa può vedere, ma cosa può fare
Dire che un agente “ha accesso alla posta” dice poco. C’è una differenza enorme tra permettergli di leggere un’email e permettergli di inviarne una. Possiamo rappresentare questa differenza attraverso cinque livelli di rischio:
| Livello | Cosa può fare l’agente | Esempio | Rischio potenziale |
|---|---|---|---|
| Leggere | Consultare informazioni | Leggere calendario o email | Variabile |
| Modificare | Cambiare informazioni | Spostare un appuntamento | Medio |
| Comunicare | Interagire con altre persone | Inviare un’email | Medio / Alto |
| Acquistare | Spendere denaro | Prenotare un volo | Alto |
| Autorizzare | Assumere impegni rilevanti | Confermare una transazione | Molto alto |
Non è una classificazione scientifica e soprattutto non è assoluta. Leggere una newsletter e leggere una cartella contenente documenti sanitari o bancari sono entrambe operazioni di lettura, ma evidentemente non hanno lo stesso rischio. La tabella serve piuttosto a evidenziare una distinzione spesso trascurata: non dovremmo chiederci soltanto quali dati può vedere un agente, ma cosa può fare dopo averli visti.
Quando un errore può diventare un’azione
Immaginiamo di chiedere a un chatbot: “Secondo te devo cancellare la riunione di domani?” Il modello interpreta male la situazione e risponde di sì. È una risposta sbagliata, ma possiamo semplicemente ignorarla.
Con un agente collegato al calendario e autorizzato a modificarlo, la stessa incomprensione può invece produrre un’azione. Se aggiungiamo la possibilità di inviare email, effettuare acquisti o intervenire su altri servizi, cresce quello che in sicurezza potremmo chiamare il raggio delle possibili conseguenze.
Per questo è utile separare due domande:
- Quanto è bravo il modello a capire ciò che vogliamo?
- Quanto potere possiede quando non lo capisce?
La seconda diventerà sempre più importante man mano che gli agenti acquisiranno nuovi strumenti.
Il problema più strano: un’email può cercare di dare ordini alla tua AI
Supponiamo di chiedere a un agente di controllare le email e segnalarci quelle importanti. Per svolgere il compito deve aprire messaggi scritti da altre persone e interpretarli. Tra quei messaggi potrebbe esserci un testo costruito non per convincere noi, ma per convincere l’agente a comportarsi diversamente da quanto gli abbiamo chiesto.
È il problema della prompt injection.
OpenAI la descrive come una forma di manipolazione nella quale istruzioni inserite in contenuti esterni — per esempio pagine web, email o documenti — cercano di indurre il sistema a fare qualcosa che l’utente non ha richiesto.
Il punto interessante è che l’agente deve distinguere continuamente fra ciò che deve leggere e ciò a cui deve obbedire.
Con un chatbot che non dispone di strumenti, una manipolazione può produrre una risposta sbagliata. Con un agente collegato a email, documenti, browser e servizi esterni, le conseguenze potenziali aumentano perché il sistema dispone di qualcosa che il chatbot tradizionale non aveva: la possibilità di agire.
Per questo le difese non possono dipendere soltanto dalla capacità del modello di riconoscere ogni contenuto malevolo. Servono anche barriere che limitino ciò che può succedere nel caso in cui una manipolazione riesca.
Non basta mettere un pulsante “Approva”
La soluzione più semplice sembrerebbe chiedere conferma all’utente prima di qualsiasi operazione. Ma se un agente ci interrompesse continuamente con richieste di autorizzazione, una parte del vantaggio dell’automazione scomparirebbe.
C’è anche un problema più umano. Quando un’applicazione ci presenta dieci richieste di conferma consecutive mentre stiamo cercando semplicemente di concludere qualcosa, quanto attentamente leggiamo la numero undici?
È la stessa debolezza che conosciamo già dai cookie banner e dalle finestre dei permessi: avere una scelta non significa necessariamente esercitarla in modo consapevole.
Questo introduce un’asimmetria importante. Chi progetta l’agente conosce nel dettaglio quali dati può utilizzare e quali azioni può compiere; l’utente vede spesso soltanto un pulsante che gli permette di continuare. Se concedere un permesso diventa il prezzo necessario per completare rapidamente un’attività, la tentazione di premere “Approva” può essere molto più forte della voglia di comprenderne tutte le implicazioni.
Il problema, quindi, non è scegliere tra un’AI completamente autonoma e un’AI che chiede il permesso per qualsiasi cosa. È progettare dove deve passare il confine.
Come dare potere a un agente senza consegnargli tutte le chiavi
Una prima risposta arriva da un principio della cybersecurity molto più vecchio dell’intelligenza artificiale: il minimo privilegio. Un sistema dovrebbe ricevere soltanto gli accessi necessari per svolgere il compito assegnato.
- Se un agente deve cercare un’informazione nelle email, non ha necessariamente bisogno anche del permesso di inviarle.
- Se deve confrontare voli, non deve automaticamente poter utilizzare una carta di credito.
- Se deve controllare il calendario, la modalità di sola lettura potrebbe essere sufficiente.
OpenAI raccomanda proprio di limitare l’accesso degli agenti ai dati necessari, evitare istruzioni eccessivamente generiche come “controlla le mie email e fai tutto ciò che serve” e verificare con attenzione le richieste di conferma prima di azioni importanti, come inviare un’email o completare un acquisto.
Ma i permessi sono soltanto una parte della soluzione. Un agente ben progettato può essere contenuto anche attraverso strumenti complementari: ambienti isolati, limiti di spesa, autorizzazioni temporanee, registri delle operazioni effettuate, controlli prima di trasmettere informazioni all’esterno e possibilità di annullare determinate azioni.
La logica è semplice: non dobbiamo pretendere che l’agente non sbagli mai. Dobbiamo progettare il sistema affinché un eventuale errore non possa fare qualsiasi cosa.
Una regola pratica: guardare quanto è difficile tornare indietro
Per chi utilizza questi strumenti può essere utile una regola molto semplice: più un’action è costosa, coinvolge altre persone o è difficile da annullare, maggiore dovrebbe essere il controllo umano.
- Leggere il calendario e suggerire quando fissare il dentista: pochissima supervisione.
- Spostare l’appuntamento: almeno una notifica.
- Inviare un’email importante: una conferma esplicita.
- Comprare un volo da 1.500 euro: controllo di destinazione, data e prezzo prima del pagamento.
Non è necessario che il livello di fiducia rimanga immutabile. Potremmo iniziare concedendo a un agente pochi privilegi e aumentarli gradualmente quando ne comprendiamo meglio il comportamento. Al contrario, dovremmo poterli ridurre immediatamente quando qualcosa non funziona come previsto. La fiducia, in altre parole, dovrebbe diventare granulare, verificabile e reversibile.
E chi risponde quando l’AI agisce?
C’è infine una questione che diventerà sempre più difficile ignorare: se un agente compra il prodotto sbagliato, manda un messaggio inappropriato o assume un impegno che non volevamo prendere, chi ne risponde?
La risposta dipende dal contesto, dal servizio utilizzato e dalle norme applicabili; non esiste oggi una semplice regola universale secondo cui “risponde l’AI”. Nell’Unione Europea, per esempio, gli agenti AI non costituiscono una categoria giuridica autonoma nell’AI Act: possono invece rientrare nelle regole applicabili ai sistemi AI e ai modelli general-purpose a seconda di come sono progettati e utilizzati.
È un argomento abbastanza grande da meritare un approfondimento separato. Ma introduce un principio importante anche per il consumatore: quando deleghiamo un’azione non stiamo necessariamente delegando anche le sue conseguenze. Ed è un’altra ragione per cui i permessi non possono essere trattati come una semplice schermata da accettare una volta e dimenticare.
La sfida non sarà creare l’agente più potente, ma quello di cui ci fidiamo
Gli agenti AI potrebbero eliminare una quantità notevole di piccoli compiti che oggi occupano le nostre giornate: organizzare appuntamenti, confrontare preventivi, gestire prenotazioni, recuperare documenti, controllare scadenze, seguire ordini o coordinare un viaggio.
Il beneficio aumenta proprio quando smettiamo di supervisionare ogni singolo passaggio. Ed è qui che comodità e controllo cominciano inevitabilmente a tirare in direzioni opposte.
Il caso Instinct rende questo compromesso particolarmente visibile, ma la questione va molto oltre un singolo prodotto. Stiamo passando da software che utilizziamo direttamente a sistemi ai quali affidiamo obiettivi e strumenti perché lavorino per noi.
Probabilmente non dovremo scegliere tra un assistente quasi inutile perché non può accedere a nulla e un agente onnipotente con le chiavi di tutta la nostra vita digitale. La soluzione più sensata potrebbe essere molto meno spettacolare: concedere soltanto il potere necessario, per il tempo necessario e con un livello di supervisione proporzionato alle conseguenze.
Finora abbiamo giudicato l’intelligenza artificiale soprattutto chiedendoci quanto bene sapesse rispondere.
Con gli agenti dovremo imparare a giudicarla anche da quanto siamo tranquilli quando smettiamo di guardarla.
