La Rivoluzione degli Agenti AI: Riconsiderare la Verifica dell’Autorità Digitale
In Breve
- Cosa sono gli agenti AI?
- Gli agenti AI sono sistemi che completano transazioni e gestiscono compiti amministrativi in modo autonomo.
- Perché è importante la verifica dell'autorità?
- La verifica dell'autorità è cruciale per garantire che le azioni degli agenti siano autorizzate e limitate.
- Qual è il principio del minimo privilegio?
- Il principio del minimo privilegio richiede che agli agenti siano concesse solo autorizzazioni specifiche e limitate.
Negli ultimi anni, il crescente utilizzo di agenti di intelligenza artificiale (AI) per completare transazioni e gestire compiti amministrativi ha messo in discussione il tradizionale modello di fiducia digitale. Questo modello si basa sull’assunto che dietro ogni accesso a un sistema ci sia una persona reale. Tuttavia, con l’emergere di questi agenti, la questione della verifica dell’autorità diventa sempre più cruciale.
Molti sistemi di autenticazione e verifica dell’identità sono progettati per confermare se chi richiede un’azione possiede le credenziali corrette. Tuttavia, non sono attrezzati per accertare chi ha autorizzato quell’azione e con quali limiti. È fondamentale distinguere tra autenticazione, identità e autorità: non basta sapere chi accede e chi è, ma è essenziale comprendere chi ha dato il permesso, cosa può fare e per quanto tempo.
In ambito aziendale, controlli di ruolo ed eleggibilità sono già applicati in settori come i servizi finanziari e la sanità. Tuttavia, l’infrastruttura attuale è più avanzata nella verifica dell’identità rispetto all’applicazione delle deleghe di autorità. Per affrontare questa sfida, si suggerisce l’adozione del principio del minimo privilegio: agli agenti devono essere richieste mandate specifiche e limitate, piuttosto che un accesso permanente esteso. Questo approccio è fondamentale, poiché un agente compromesso può causare danni significativi.
Per ogni azione eseguita da un agente, è essenziale poter rispondere a cinque domande chiave: chi o cosa agisce, chi ha autorizzato l’azione, cosa può fare, sotto quali vincoli e se l’autorità è ancora valida. Questo modello si basa su pratiche di delega “on-behalf-of” già presenti negli standard di identità.
Strumenti come i portafogli digitali possono ospitare mandati verificabili, revocabili e affiancati alle credenziali verificate di persone o organizzazioni. Le autorità e i framework esistenti, inclusi quelli previsti dal Data (Use and Access) Act nel Regno Unito, devono essere estesi per includere i delegati software. È necessario spostare la verifica dell’autorità prima che l’agente agisca, documentare chi concede i poteri e limitarne l’ambito. Queste misure sono fondamentali per ridurre l’esposizione e garantire che le implementazioni di agenti non superino i controlli progettati per governarle.
