Identità non umane. Le infrastrutture di sicurezza informatica aziendale, costruite per oltre un decennio attorno al presupposto di un utente umano che autentica una sessione e ne mantiene il controllo, mostrano segni di debolezza di fronte alla diffusione di agenti software autonomi, assistenti di coding e workflow automatizzati che operano su cloud, API e repository di codice senza supervisione continua.

Il problema principale non è più verificare chi ha effettuato l’accesso, ma comprendere cosa accade successivamente, quando a prendere decisioni in tempo reale è un software e non una persona. La portata economica del problema riguarda l’intero perimetro della sicurezza aziendale moderna.

Identità non umane: perché è importante

Le organizzazioni stanno adottando strumenti di intelligenza artificiale ad una velocità superiore rispetto alla capacità dei team di sicurezza di proteggerli adeguatamente, generando quelli che gli esperti definiscono vuoti di visibilità e di governance destinati a persistere se non affrontati in modo strutturale. Gli attaccanti, da parte loro, non cercano più vulnerabilità tecniche complesse ma sfruttano la via più semplice: le credenziali rubate o compromesse diventano l’obiettivo primario perché consentono di apparire legittimi senza ricorrere a metodi sofisticati.

A complicare lo scenario intervengono il cosiddetto shadow AI, le credenziali a vita breve e le azioni avviate da macchine, fattori che ampliano la superficie d’attacco in proporzione alla velocità di adozione degli strumenti automatizzati. I sistemi tradizionali di identity and access management (IAM) e gli strumenti di accesso privilegiato risultano efficaci nel validare un accesso in un momento preciso, ma restano statici di fronte a entità che non si limitano ad autenticarsi.

Gli agenti di intelligenza artificiale compiono scelte, richiamano strumenti e modificano sistemi ben oltre il login iniziale, un comportamento che richiede controlli capaci di valutare il contesto mentre l’azione si svolge, non soltanto all’ingresso. Molte organizzazioni ancora non dispongono di un inventario chiaro di quali agenti AI esistano, a quali dati possano accedere, chi li abbia approvati e quali azioni stiano compiendo per conto di altri.

Questa carenza di inventario diventa particolarmente critica negli ambienti cloud e SaaS frammentati, dove rispondere a domande elementari su proprietà, autorizzazione e responsabilità degli agenti richiede sforzi crescenti man mano che la loro distribuzione si moltiplica. Si aggiunge il rischio legato all’esposizione delle credenziali: segreti a lunga durata, credenziali condivise e accessi delegati ampi, già problematici in contesti guidati da operatori umani, diventano ancora più pericolosi quando affidati a strumenti autonomi che operano a velocità macchina.

Cosa cambia e quali sono gli effetti

La risposta delineata dagli analisti del settore non consiste nel limitare le capacità operative degli agenti, bensì nel costruire un’infrastruttura capace di supportare contemporaneamente identità umane e artificiali. Tale evoluzione poggia su tre pilastri: la governance, intesa come identificazione degli agenti, assegnazione di una proprietà chiara e definizione dei confini operativi; la fiducia a runtime, che prevede la valutazione contestuale degli accessi e il contenimento rapido di comportamenti a rischio senza affidarsi a credenziali statiche; infine l’operabilità, resa necessaria dallo spostamento del lavoro verso API, terminali e livelli di orchestrazione che richiedono sistemi di gestione dell’identità utilizzabili oltre la semplice console amministrativa.

L’impresa agentica non è più teorica. L’intelligenza artificiale sta già influenzando operazioni e processi decisionali all’interno delle imprese, un dato che sposta il baricentro della discussione dalla teoria alla pratica operativa quotidiana dei team di sicurezza. La domanda da porsi non è più solo chi ha effettuato l’accesso, ma cosa sta agendo nell’ambiente, con quale autorizzazione e se i team dispongono degli strumenti per intervenire quando il profilo di rischio cambia.

Secondo quanto riportato, la governance sarà uno dei fattori più importanti nel determinare se un’azienda avrà successo o meno a lungo termine con i suoi programmi di intelligenza artificiale. Resta da verificare quante organizzazioni siano realmente disposte a investire in governance prima che un incidente la renda obbligatoria, e se il mercato dei fornitori di sicurezza riuscirà a offrire strumenti di controllo a runtime con la stessa rapidità con cui le imprese stanno distribuendo agenti autonomi nei propri sistemi critici.

Fonte e approfondimento su identità non umane: articolo originale.

Per altri aggiornamenti su identità non umane, consulta anche le ultime news tecnologiche di HWReady.

* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.