Cosa Possono Insegnarci gli Agenti AI sulla Governance NHI
L’intelligenza artificiale (AI) è un campo ampio con molte applicazioni pratiche. Negli ultimi anni, abbiamo assistito a una crescita esplosiva dell’AI generativa, stimolata da sistemi come ChatGPT e Copilot. Recentemente, è emersa anche l’AI “agente”, in cui orchestratori coordinano le azioni di uno o più agenti AI per svolgere compiti per conto di un utente.
Il Problema di Base
Tuttavia, mentre ci affrettiamo ad adottare l’AI agentica, stiamo ripetendo un errore familiare. Ci stiamo concentrando sulla capacità e sulla velocità, trascurando la sicurezza e la governance dell’identità non umana (NHI). Stiamo collegando strumenti AI a sistemi sensibili senza applicare costantemente il principio del minimo privilegio. Questo divario esiste da anni e sta rapidamente ampliandosi con l’AI agentica.
La Questione della Fiducia
La sicurezza in qualsiasi sistema, sia esso un chatbot o un processo di integrazione continua, si riduce infine alla fiducia. Chi sta facendo la richiesta? Cosa è autorizzato a fare? Senza una netta separazione tra autenticazione e autorizzazione, concediamo permessi ampi e permanenti difficili da tracciare e revocare.
Governance NHI
La governance NHI implica che ogni entità che non è umana ma si autentica e si collega ad altri sistemi deve essere trattata con rigore. Questo include bot, script e lavori CI. Il controllo rimane lo stesso: identità, proprietà, ciclo di vita e permessi.
Agenti e Pipeline CI
Le pipeline di integrazione continua non sono più solo script di build; sono un complesso intreccio dove il codice diventa realtà. Se un agente può leggere un build che fallisce e apportare modifiche, ha bisogno di accesso a repository e log di build, il che comporta un rischio di sovra-permissionamento.
Agenti nella Linea di Comando
Nelle terminali, il rischio è comune. Le abitudini come le variabili di ambiente e i file di configurazione sono piene di fiducia implicita. Gli agenti nel contesto terminale possono agire rapidamente, ma possono anche esporre segreti in modi non intenzionali.
Agenti nel Browser
Nei browser, le scommesse sono più alte perché gli agenti operano spesso in sessioni autenticate. È fondamentale sapere quale identità sta utilizzando l’agente e quali permessi ha.
Inventario e Allineamento
La governance NHI inizia con un inventario accurato. È essenziale comprendere cosa si possiede già e chi è responsabile di ogni accesso. La sfida è garantire che ogni percorso di accesso abbia un proprietario nominato e che ci sia un processo di rotazione e revoca chiaro.
Conclusione
Trattare le NHI, inclusi gli agenti AI, con rigore è fondamentale. Senza una strategia condivisa e una governance adeguata, l’AI agentica accelererà i fallimenti esistenti, portando a più violazioni e incidenti. È necessario un approccio standardizzato per garantire la sicurezza e la governance delle identità non umane.
