Sicurezza IA Agentica: Guida OWASP Top 10 per le Aziende nel 2026

La Rivoluzione dell'IA Agentica

L'IA agentica rappresenta un cambiamento fondamentale dagli assistenti IA reattivi a sistemi autonomi capaci di pianificare, decidere e agire. McKinsey osserva che i sistemi di IA agentica dovrebbero aiutare a sbloccare tra 2.600 e 4.400 miliardi di dollari all'anno di valore in oltre 60 casi d'uso di IA generativa.

Il rischio è già visibile: nello stesso playbook, McKinsey riporta che l'80% delle organizzazioni dichiara di aver riscontrato comportamenti a rischio di agenti IA, tra cui esposizione impropria di dati e accesso a sistemi senza autorizzazione.

A differenza dei LLM tradizionali che rispondono a prompt singoli, i sistemi di IA agentica possono:

• Perseguire obiettivi multi-step per periodi prolungati
• Accedere e usare strumenti esterni (API, database, file system)
• Delegare compiti ad altri agenti
• Mantenere memoria persistente tra le sessioni
• Prendere decisioni senza supervisione umana

Questa autonomia crea superfici di attacco completamente nuove che il progetto OWASP GenAI Security ha affrontato con il suo Top 10 per le Applicazioni Agentiche, pubblicato il 9 dicembre 2025.

Il OWASP Top 10 per le Applicazioni Agentiche

OWASP illustra ogni voce con incidenti già avvenuti. I nomi seguono l'elenco ufficiale; le mitigazioni sono una nostra sintesi pratica.

ASI01 - Dirottamento dell'Obiettivo dell'Agente (Agent Goal Hijack)

Il Rischio: Gli attaccanti manipolano gli obiettivi di un agente perché persegua azioni non previste. L'esempio di riferimento di OWASP è EchoLeak, in cui prompt nascosti hanno trasformato un copilot in un motore di esfiltrazione silenzioso.

Mitigazione:

• Implementare la validazione dell'obiettivo a ogni passaggio
• Usare specifiche di obiettivo immutabili
• Monitorare i pattern di deriva dell'obiettivo

ASI02 - Uso Improprio degli Strumenti (Tool Misuse)

Il Rischio: Gli agenti usano strumenti legittimi in modo non sicuro o non autorizzato. OWASP cita l'incidente Amazon Q, in cui un agente ha piegato strumenti legittimi verso risultati distruttivi.

Esempio illustrativo: un agente di elaborazione fatture ingannato per inviare documenti sensibili via email a destinatari esterni usando la sua legittima capacità di invio email.

Mitigazione:

• Implementare controlli di accesso a livello di strumento
• Isolare in sandbox tutte le esecuzioni degli strumenti
• Registrare e verificare tutte le invocazioni degli strumenti

ASI03 - Abuso di Identità e Privilegi

Il Rischio: Gli agenti scalano i privilegi riutilizzando o ereditando credenziali; credenziali trapelate consentono loro di operare ben oltre il perimetro previsto.

Questo crea il problema dell'"esplosione di identità" - ogni agente richiede potenzialmente credenziali uniche, rendendo la gestione delle identità molto più complessa.

Mitigazione:

• Implementare il privilegio minimo per tutti gli agenti: negazione di default, autorizzazione esplicita
• Usare token a breve durata e ambito limitato
• Non condividere mai credenziali tra agenti

ASI04 - Vulnerabilità della Supply Chain Agentica

Il Rischio: Compromissione tramite componenti di terze parti, plugin, strumenti o API dei modelli.

OWASP cita l'exploit GitHub MCP (Model Context Protocol) come esempio: gli ecosistemi dinamici MCP e agent-to-agent hanno mostrato quanto facilmente i componenti di runtime possano essere avvelenati.

Mitigazione:

• Verificare tutti i componenti di terze parti
• Implementare firme dei componenti
• Monitorare le anomalie della supply chain

ASI05 - Esecuzione di Codice Inattesa

Il Rischio: Percorsi di esecuzione in linguaggio naturale portano l'agente a eseguire codice senza adeguata validazione. L'esempio di OWASP è un'esecuzione remota di codice in AutoGPT.

Mitigazione:

• Isolare in sandbox tutta l'esecuzione di codice
• Validare tutti gli input prima dell'esecuzione
• Implementare la sanitizzazione dell'output

ASI06 - Avvelenamento della Memoria e del Contesto

Il Rischio: Corruzione della memoria o del contesto dell'agente per influenzarne il comportamento futuro, molto dopo l'interazione iniziale.

ASI07 - Comunicazione Inter-Agente Non Sicura

Il Rischio: Vulnerabilità nel modo in cui gli agenti comunicano e delegano compiti. OWASP descrive messaggi inter-agente falsificati che hanno sviato interi gruppi di agenti.

Quando gli agenti possono comunicare tra loro, gli attaccanti possono:

• Intercettare il traffico tra agenti
• Impersonare agenti fidati
• Manomettere i messaggi per manipolare gli obiettivi

ASI08 - Guasti a Cascata

Il Rischio: Un falso segnale o una singola azione difettosa si propaga nelle pipeline automatizzate con un impatto crescente.

I confini di isolamento limitano la propagazione di un guasto:

ASI09 - Sfruttamento della Fiducia Uomo-Agente

Il Rischio: Spiegazioni sicure e ben confezionate inducono gli operatori umani ad approvare azioni dannose.

Best Practice: Per le azioni ad alto impatto, richiedere che l'agente mostri le evidenze alla base della richiesta, non solo la spiegazione, e approvare sulla base di tali evidenze.

ASI10 - Agenti Fuori Controllo (Rogue Agents)

Il Rischio: Agenti che mostrano disallineamento, occultamento o azioni autodirette. L'esempio di OWASP è l'incidente Replit.

Individuare un agente fuori controllo dipende dal logging:

Perché i Progetti di IA Agentica si Bloccano

Non esiste un dato pubblico affidabile sul tasso di fallimento dei progetti di IA agentica, quindi non ne citiamo uno. Il lato del rischio è documentato (vedi McKinsey sopra); le ragioni per cui i progetti si bloccano sono ricorrenti:

Cosa Hanno in Comune i Progetti di Successo

1. Reinvenzione dei processi - Non limitarsi a inserire l'IA nei flussi di lavoro esistenti
2. Governance forte - Sicurezza e conformità fin dal primo giorno
3. Casi d'uso giusti - Partire da applicazioni verticali, specifiche del dominio
4. Investimento nella gestione del cambiamento - Programmi di formazione e adozione
5. Pianificazione TCO adeguata - Mettere a budget i costi operativi reali, non solo il pilota

Governance Runtime: La Differenza Critica

La governance IA tradizionale si concentra sui controlli pre-deploy: model card, test di bias, documentazione. Per l'IA agentica, questo è insufficiente.

Come Appare la Governance Runtime

Scenari di Attacco Dimostrati

Unit 42 di Palo Alto Networks ha costruito due applicazioni funzionalmente identiche, una con CrewAI e una con AutoGen, ed eseguito nove scenari di attacco concreti su entrambe. Esempi:

Unit 42 sottolinea che nessuno dei due framework è vulnerabile in sé: gli attacchi funzionano a causa di pattern di progettazione insicuri, configurazioni errate e integrazioni di strumenti non sicure. Non erano esperimenti mentali - Unit 42 li ha eseguiti end-to-end su applicazioni funzionanti e ha pubblicato il codice in open source.

Roadmap di Implementazione

Fase 1: Valutazione (Settimane 1-2)

• Da fare: Inventariare i deployment di agenti esistenti e pianificati
• Da fare: Mappare capacità e permessi degli agenti
• Da fare: Identificare i casi d'uso ad alto rischio
• Da fare: Valutare i controlli di sicurezza attuali

Fase 2: Architettura (Settimane 2-4)

• Da fare: Progettare i confini di isolamento
• Da fare: Pianificare la gestione di identità e accessi
• Da fare: Definire le policy di autorizzazione degli strumenti
• Da fare: Stabilire i requisiti di logging

Fase 3: Controlli (Settimane 4-8)

• Da fare: Implementare la governance runtime
• Da fare: Distribuire monitoraggio e alerting
• Da fare: Configurare il sandboxing
• Da fare: Abilitare il logging completo

Fase 4: Validazione (Settimane 8-12)

• Da fare: Test di red team (vedi la guida Agentic AI Red Teaming della CSA)
• Da fare: Penetration test dei sistemi di agenti
• Da fare: Validare le capacità di rilevamento
• Da fare: Documentare le procedure di risposta agli incidenti

L'Essenziale

L'IA agentica offre un potenziale trasformativo, ma il panorama della sicurezza è fondamentalmente diverso da quello dell'IA tradizionale. Il OWASP Top 10 per le Applicazioni Agentiche offre ai team un framework revisionato a livello globale per affrontare questi rischi.

Punti chiave:

1. L'IA agentica richiede governance runtime - I controlli pre-deploy non bastano
2. L'esplosione di identità è reale - Ogni agente necessita credenziali uniche e limitate
3. I comportamenti a rischio degli agenti sono già comuni - L'80% delle organizzazioni dichiara di averli riscontrati (McKinsey)
4. La governance è ciò che rende gli agenti rilasciabili - Controlli attivi prima che l'agente agisca, non dopo un incidente
5. OWASP fornisce la roadmap - Seguite il Top 10 per le Applicazioni Agentiche

La domanda non è se adottare l'IA agentica - il potenziale di valore è troppo significativo per essere ignorato. La domanda è se i vostri controlli saranno pronti prima che i vostri agenti inizino ad agire sui vostri sistemi.