La sfida della verifica dell’autorità nell’era degli agenti AI

Con il crescente utilizzo degli agenti di intelligenza artificiale (AI) per completare transazioni e gestire compiti amministrativi, il tradizionale modello di fiducia digitale è messo a dura prova. Questo modello si basa sull’assunto che dietro ogni accesso ci sia una persona fisica, ma la realtà sta cambiando rapidamente.

Molti sistemi di autenticazione e verifica dell’identità sono progettati per confermare se chi richiede l’azione possiede le credenziali corrette. Tuttavia, non si concentrano sufficientemente su chi ha effettivamente autorizzato quell’azione e con quali limitazioni. La distinzione tra autenticazione, identità e autorità diventa quindi cruciale per garantire la sicurezza delle operazioni digitali.

In contesti aziendali, come nei servizi finanziari e nella sanità, sono già in atto controlli di ruolo ed eleggibilità. Tuttavia, l’infrastruttura attuale è più avanzata nella verifica dell’identità piuttosto che nell’applicazione di deleghe di autorità. Questo gap rappresenta un rischio significativo, poiché un agente AI compromesso potrebbe causare danni considerevoli.

Per affrontare queste sfide, è fondamentale adottare il principio del minimo privilegio: agli agenti devono essere assegnate mandate specifiche e limitate, piuttosto che un accesso illimitato e permanente. Questo approccio aiuta a contenere i potenziali danni derivanti da un uso improprio degli agenti AI.

Ogni azione intrapresa da un agente deve rispondere a cinque domande fondamentali: chi o cosa agisce, chi ha autorizzato l’azione, quali sono le capacità dell’agente, quali vincoli sono in atto e se l’autorità è ancora valida. Queste domande sono essenziali per garantire che le operazioni siano condotte in modo sicuro e responsabile.

Strumenti come i portafogli digitali possono svolgere un ruolo chiave in questo contesto, ospitando mandati verificabili meccanicamente e revocabili, accompagnati da credenziali verificate di individui o organizzazioni. Questa tecnologia potrebbe facilitare una gestione più sicura delle deleghe di autorità.

Inoltre, è necessario estendere le autorità e i framework esistenti, come il quadro di fiducia per i servizi di verifica digitale, recentemente rafforzato dal Data (Use and Access) Act nel Regno Unito. È fondamentale spostare la verifica dell’autorità prima che l’agente agisca, documentare chi concede i poteri e limitare l’ambito di azione degli agenti AI.

Queste misure sono essenziali per ridurre l’esposizione ai rischi, specialmente mentre le implementazioni di agenti AI iniziano a superare i controlli progettati per governarle. La sicurezza digitale deve evolversi in parallelo con le tecnologie emergenti, per garantire un ambiente online sicuro e affidabile per tutti.