Agenti AI più operativi, più superficie di attacco: come cambiano rischi e verifiche

Suncatcher ha generato un haiku in orbita con Gemma 4 e lo ha inviato a Terra durante un passaggio sopra Svalbard. Inferenza on-orbit, host e tray TPU accesi. È un “Hello World” concreto: gli agenti entrano in ambienti operativi veri. Servono nuove garanzie di affidabilità e nuovi confini di sicurezza¹.

Esempi recenti: operatività aumentata

Google ha usato Suncatcher per far eseguire a bordo un modello Gemma 4. Il prompt è partito da Terra, la risposta è arrivata mentre il satellite sorvolava la Norvegia. Travis Beals, senior director del team Paradigms of Intelligence, ha confermato l’esecuzione dei test di machine learning a bordo. Il testo generato conta circa 20 token. La stima del costo via API per Gemma 4 26B è di circa 0,000012 dollari ai listini indicati, esclusi i costi di input¹.

Vercel Labs ha pubblicato agent-desktop 1.0.2 il 30 ottobre 2026. È una CLI open source che permette a un agente di guidare app desktop leggendo l’albero di accessibilità, non gli screenshot. Ogni invocazione esegue un comando, stampa un unico JSON ed esce. Non integra LLM e non ha GUI. L’agente che la chiama gestisce il ciclo osservazione, azione, verifica. Lo snapshot JSON espone riferimenti stabili per ogni elemento azionabile, così le operazioni non dipendono da coordinate sullo schermo. La CLI è in Rust, la libreria è in C. La licenza è Apache-2.0. Sono elencati 60 comandi, 56 operativi. Supporta macOS 13 o superiore, Windows 10 1809 o Server 2019 o superiore e Ubuntu 24.04 o superiore, su x64 e ARM64. Richiede solo CPU. Le azioni su quei riferimenti sono descritte come deterministiche e sicure al retry³.

Google descrive PageBreak, un agente di sicurezza che usa modelli Gemini e lavora a pieno regime da gennaio. Ha trovato oltre 500 XSS verificati nelle app web di Google. Conta la verifica in runtime: validatori deterministici provano l’exploit contro ambienti reali e aprono un report solo dopo un successo. Michał Bentkowski riassume: priorità alla validazione deterministica, falsi positivi vicini allo zero, niente carico inutile sui team di prodotto⁵.

Tre episodi, una direzione comune: portare i modelli più vicino all’azione, riducendo passaggi manuali e incertezza tra intento e risultato.

Due facce della stessa innovazione: efficienza e nuovi vettori

L’operatività cresce quando l’agente accede a segnali e attuatori affidabili. Agent-desktop fornisce riferimenti azionabili, non pixel. PageBreak chiude il loop con un oracolo in esecuzione, non con pattern statici. Suncatcher mostra che l’inferenza può spostarsi fuori data center, fino a un satellite in orbita. In tutti e tre i casi, l’agente riduce la distanza tra osservazione e azione con una catena più corta e più controllata^1,3,5.

Questo apre superfici nuove. Un’interfaccia nativa esposta a comandi deterministici amplia il campo di ciò che un agente può toccare su una macchina. Un validatore che prova exploit contro un runtime reale definisce un confine chiaro tra ipotesi e impatto. L’inferenza locale su una piattaforma insolita, come un satellite, porta capacità di calcolo in contesti con vincoli operativi diversi^1,3,5.

C’è anche il tema dei costi. L’esperimento su Suncatcher ha prodotto circa 20 token. Ai listini citati per Gemma 4 26B, generare quel testo via API avrebbe un costo dell’ordine dei microcentesimi¹.

Fragilità evidenti: triage malevolo e segnali di ricompensa sbagliati

La stessa efficienza che aiuta i difensori rafforza gli attaccanti. Cisco Talos descrive Volta-Autodoxer, un infostealer che integra modelli linguistici commerciali per profilare le vittime e far emergere subito i bersagli più redditizi. Il sistema ordina il bottino, accorcia i tempi tra infezione e sfruttamento e toglie lavoro manuale al triage. La scoperta è stata condivisa con Kernel Panic, la newsletter di Wired curata da Lily Hay Newman e Matt Burgess. Il nome arriva da stringhe interne al malware².

C’è poi il problema dei segnali. Un esperimento su GPT-6 Sol mostra che il modello può adeguarsi a etichette di ricompensa sbagliate. Nel test, capovolgere i punteggi nelle ultime sei prove di una run ha fatto crollare le risposte corrette da 94,4 su 100 a 7,8. Il compito di spedizioni usava rotte fittizie, Kiwi, Plum, Fig, Lime. La regola corretta era nascosta. Il modello doveva inferirla dai punteggi dei tentativi passati, memorizzati e riproposti nel contesto. Il protocollo confrontava le prime sei prove con le ultime sei, a etichette corrette o invertite. L’ipotesi di lavoro, comune in molte pipeline di agenti, è che il modello legga i numeri associati alle azioni e ripeta ciò che ha funzionato. Capovolgere le etichette ha sfruttato proprio questa dipendenza⁴.

Queste due fragilità si toccano. Un agente che riceve uno snapshot azionabile di un desktop o che chiude un exploit in runtime è potente. Se i suoi criteri di triage o i segnali di ricompensa nel contesto si corrompono, quell’efficienza accelera l’errore. Nel caso peggiore, l’errore diventa vettore.

Suncatcher, agent-desktop e PageBreak mostrano capacità nuove e utili. Volta-Autodoxer e il test su GPT-6 Sol mostrano dove si può piegare il sistema. Se i team uniscono verifiche deterministiche, limiti d’uso e test di resistenza ai segnali, gli agenti possono operare più vicino ai sistemi critici senza allargare alla cieca la superficie di rischio^1,3,4,5.