L’adozione degli agenti AI sta introducendo nelle aziende una nuova categoria di identità digitali. Questi sistemi non si limitano a generare testi o suggerimenti: possono interrogare database, leggere documenti, utilizzare API, aprire ticket, modificare configurazioni e avviare azioni su altre applicazioni.

Dal punto di vista della sicurezza, un agente AI deve quindi essere trattato come una vera identità non umana, con privilegi, credenziali, autorizzazioni e responsabilità chiaramente definite.

Il problema degli accessi permanenti

Secondo Netwrix, soltanto il 19% delle organizzazioni dichiara di governare completamente le identità non umane. Inoltre, il 76% non riesce a revocare immediatamente o automaticamente gli accessi quando non sono più necessari.

Il rischio è che gli agenti mantengano autorizzazioni assegnate per un progetto o un workflow anche dopo la fine dell’attività. È lo stesso fenomeno del permission creep già noto per gli utenti, ma con una velocità e una scala potenzialmente maggiori.

Perché un agente può avere più accesso di una persona

Per funzionare, un agente può avere bisogno di collegarsi contemporaneamente a più sistemi. Può ricevere token per servizi cloud, credenziali applicative, accesso a repository documentali e autorizzazioni per eseguire azioni automatiche.

Questi privilegi possono essere meno visibili rispetto a quelli degli utenti tradizionali, soprattutto quando sono distribuiti tra API key, service account, OAuth token e integrazioni SaaS.

Le misure essenziali

Una strategia efficace dovrebbe prevedere:

• inventario completo delle identità umane e non umane;
• proprietario aziendale chiaramente identificato per ogni agente;
• privilegi minimi e accessi limitati nel tempo;
• revisione periodica delle autorizzazioni;
• tracciamento delle azioni eseguite;
• revoca automatica di token e permessi non più necessari;
• separazione tra ambienti di test e sistemi di produzione.

L’opportunità per MSP e system integrator

Per MSP e system integrator, il governo delle identità non umane può diventare un nuovo servizio consulenziale. Le aziende avranno bisogno di supporto per censire gli agenti AI, verificare i privilegi concessi, individuare accessi anomali e produrre evidenze utili per audit e compliance.

Le tecnologie Netwrix dedicate alla visibilità su dati, identità, privilegi e modifiche possono aiutare a costruire questo livello di controllo, integrando governance, auditing e gestione degli accessi privilegiati.

Sai quali dati e sistemi possono utilizzare gli agenti AI della tua organizzazione? Contatta CIPS per una valutazione della sicurezza di identità e privilegi.