Negli ultimi due anni l’intelligenza artificiale è entrata nelle organizzazioni con una velocità senza precedenti. Dai chatbot agli assistenti per l’help desk, dagli strumenti di automazione agli agenti che supportano i team di cybersecurity, l’AI sta progressivamente assumendo un ruolo operativo all’interno dei processi aziendali.L’attenzione si è concentrata soprattutto sui benefici: maggiore produttività, riduzione dei tempi operativi, automazione delle attività ripetitive. Molto meno si è discusso di un aspetto destinato a diventare centrale nei prossimi anni: ogni agente AI è anche una nuova identità digitale che deve essere amministrata, protetta e governata. È proprio qui che emerge uno dei principali punti ciechi della sicurezza informatica.Indice degli argomenti

L’AI non è soltanto uno strumento: è una nuova identitàIl vero rischio non è l’AI, ma i suoi privilegiUna governance ancora incompletaLe AI Identity devono entrare nella strategia di Identity SecurityDalla prevenzione alla resilienzaL’identità resta il vero centro della sicurezzaL’AI non è soltanto uno strumento: è una nuova identitàQuando pensiamo alla gestione delle identità digitali immaginiamo utenti, amministratori, partner o account di servizio. Oggi, però, a queste categorie se ne sta aggiungendo una nuova: gli agenti AI.Ogni agente opera infatti utilizzando credenziali, privilegi e autorizzazioni per accedere a dati, applicazioni e infrastrutture. Può interrogare database, eseguire script, modificare configurazioni, interagire con sistemi aziendali e, sempre più spesso, supportare attività di sicurezza.Dal punto di vista della cybersecurity, questo significa una cosa molto semplice: gli agenti AI sono identità privilegiate e come tutte le identità privilegiate possono essere compromesse.Il vero rischio non è l’AI, ma i suoi privilegiLa discussione pubblica sull’intelligenza artificiale si concentra spesso sui modelli, sugli algoritmi o sui possibili errori generativi. Dal punto di vista della sicurezza, invece, il problema è un altro: i privilegi.Un agente AI può disporre dell’accesso a password manager, chiavi di cifratura, repository di codice, strumenti di amministrazione o piattaforme cloud. Se un attaccante riuscisse a comprometterlo, erediterebbe automaticamente le stesse autorizzazioni. In altre parole, quindi, l’AI diventa un moltiplicatore del rischio.La situazione è resa ancora più delicata dal fatto che molte organizzazioni stanno introducendo agenti AI con estrema rapidità, senza integrarli pienamente nei processi di Identity Governance già adottati per utenti e account di servizio.Una governance ancora incompletaUna recente ricerca condotta da Censuswide per conto di Semperis su 1100 organizzazioni (negli Stati Uniti, Regno Unito, Francia, Germania, Italia, Spagna, Australia e Singapore) evidenzia un quadro significativo. La maggior parte delle organizzazioni (74%) prevede che l’intelligenza artificiale diventerà presto un vettore di attacco contro le infrastrutture di identità, ma poche (32%) ritengono di essere realmente preparate a recuperare da una compromissione che coinvolga un agente AI.Il problema nasce spesso da una gestione frammentata. Molte aziende registrano le identità AI separatamente rispetto alle identità umane oppure non applicano gli stessi criteri di controllo, autenticazione e autorizzazione.È un approccio comprensibile, perché l’adozione dell’AI sta crescendo molto più rapidamente dell’evoluzione delle pratiche di governance, ma è anche un approccio destinato a diventare insostenibile.Le AI Identity devono entrare nella strategia di Identity SecurityNegli ultimi anni il concetto di Non-Human Identity ha assunto un’importanza crescente. Account di servizio, API, workload cloud e dispositivi connessi rappresentano ormai la maggioranza delle identità presenti nelle infrastrutture digitali. Gli agenti AI devono essere considerati parte di questo ecosistema.Ciò significa applicare anche a loro i principi fondamentali della sicurezza delle identità: minimo privilegio, autenticazione forte, monitoraggio continuo, segregazione dei privilegi e controllo dell’intero ciclo di vita.Ogni nuova identità AI dovrebbe essere trattata con lo stesso livello di attenzione riservato a un amministratore di dominio.Dalla prevenzione alla resilienzaEsiste però un secondo cambiamento culturale che le organizzazioni devono affrontare. Anche applicando tutte le migliori pratiche di sicurezza, non si può escludere che un agente AI venga compromesso. Per questo motivo la domanda non dovrebbe essere soltanto come impedirlo, ma come limitarne gli effetti e ripristinare rapidamente la piena operatività.La cyber resilience assume quindi un ruolo ancora più importante. Significa sapere quali identità sono critiche, disporre di backup affidabili delle infrastrutture di Identity Management, testare regolarmente le procedure di recovery e predisporre piani di risposta specifici per scenari che coinvolgano identità non umane.L’identità resta il vero centro della sicurezzaL’intelligenza artificiale continuerà ad accelerare la trasformazione digitale delle imprese e rappresenterà un vantaggio competitivo sempre più importante. Come ogni nuova tecnologia introduce, inevitabilmente, una nuova superficie di attacco.Oggi il rischio non è rappresentato soltanto dagli utenti o dagli amministratori compromessi. Sempre più spesso sarà rappresentato da identità che non appartengono a nessuna persona, ma che dispongono di privilegi sufficienti per modificare infrastrutture, accedere ai dati e prendere decisioni operative.Per questo motivo il prossimo passo nell’evoluzione della cybersecurity non sarà semplicemente proteggere l’intelligenza artificiale. Sarà imparare a governarne le identità. Nell’era dell’AI, quindi, la resilienza non dipenderà soltanto dalla capacità di difendere gli algoritmi ma dalla capacità di controllare le identità che consentono loro di operare.