agenti software: nelle aziende cresce il rischio legato alle identità
Gli agenti software stanno allargando il rischio legato alle identità dentro le aziende. Le imprese stanno mettendo in campo sempre più piattaforme di IA generativa e sistemi automatici, spesso tutti insieme, ma la sicurezza delle identità non sta andando alla stessa velocità. Il motivo, in molti casi, è semplice: tanti agenti continuano a lavorare con le credenziali di un dipendente e questo rende molto meno chiaro distinguere un’azione umana da una automatica.
Per chi lavora su questi temi, ogni nuovo servizio porta con sé altri account, nuovi permessi, integrazioni aggiuntive e ulteriori percorsi di accesso. E così si allargano anche i punti ciechi che i team di sicurezza devono tenere sotto controllo.
C’è poi un punto ancora più delicato. Molti agenti operano ancora usando le credenziali di un dipendente. Quando un sistema automatico eredita il login di una persona, l’audit trail si sporca. Capire se una modifica, un download o un accesso sensibile siano stati eseguiti da un essere umano oppure da un processo autonomo diventa molto più complicato.
Agenti software e credenziali umane: perché il rischio identità aumenta
Il fenomeno non riguarda solo gli strumenti approvati in modo formale dall’azienda. In molte organizzazioni ormai esiste un sistema parallelo che finisce per superare quello autorizzato: per ogni implementazione interna, i team tendono ad affiancare altri servizi usati tramite account personali o ambienti cloud separati, quindi fuori dal perimetro dei controlli.
Un rapporto del 2025 dice che il problema è già ampiamente diffuso: circa il 75% dei dipendenti usa strumenti generativi sul lavoro, il 59% ricorre a soluzioni non approvate e il 47% vi accede con account personali. Tradotto: una quota rilevante delle attività aziendali passa attraverso canali che il reparto sicurezza non vede affatto, oppure riesce a governare solo in parte.
Lo stesso rapporto del 2025 collega questa crescita fuori controllo a un aumento diretto del rischio. L’uso non autorizzato di questi strumenti è salito del 156% tra il 2023 e il 2025. Le violazioni legate a questo fenomeno possono costare in media 670.000 dollari in più, mentre il 38% dei dipendenti ammette di avere condiviso dati riservati con piattaforme esterne senza autorizzazione.
Governance ancora in ritardo rispetto all’adozione
Molte imprese stanno correndo più in fretta delle regole che dovrebbero darsi. Un rapporto del 2025 rileva che il 63% delle organizzazioni non ha ancora una policy dedicata, oppure la sta ancora mettendo a punto. Il risultato si vede subito: adozione rapida, ma controlli ancora incompleti su accessi, conservazione dei dati, revisione dei permessi e responsabilità operative.
La situazione si complica ancora di più quando si passa dai semplici assistenti agli agenti più autonomi, quelli capaci di completare attività in più fasi in aree come assistenza clienti, analisi documentale e trattamento dei dati. Più autonomia vuol dire più decisioni prese senza intervento diretto. E per te, come per i team di sicurezza, ricostruire cosa sia successo quando qualcosa va storto diventa un lavoro molto più difficile.
Perché i vecchi modelli di controllo non bastano più
Per questo diverse aziende stanno iniziando a trattare gli agenti software come una categoria distinta di identità non umane, invece di considerarli una semplice estensione dell’utente che li ha attivati. L’idea è assegnare a ogni agente una propria identità, con una gestione del ciclo di vita dedicata, revisioni periodiche degli accessi, permessi minimi e controlli di governance pensati apposta.
Detta in modo più diretto, il problema non riguarda solo quali strumenti entrano in azienda, ma con quale identità agiscono una volta dentro. Finché gli agenti software continueranno ad accedere come se fossero persone reali, per le imprese separare produttività e rischio resterà molto più difficile.
E allora la questione diventa anche etica: si può davvero accettare che agenti sempre più autonomi continuino ad agire con credenziali umane, lasciando a te il compito di capire solo dopo chi ha fatto davvero cosa?
Segui su Twitter @LauraCeridono.
