Agenti AI persistenti: opportunità di prodotto, infrastrutture e rischi di propagazione

Il 17 settembre, in una chiesa di San Francisco, Photon ha deposto in una bara le icone delle app e ha annunciato 4,5 milioni di dollari di seed. La tesi è chiara: portare gli agenti dentro iMessage e WhatsApp, non chiedere nuove installazioni. Se gli agenti vivono nei canali esistenti o in pipeline che durano giorni, servono tre cose insieme: infrastrutture per orchestrare e rendere riproducibili i workflow, contenimento dei vettori di propagazione fra agenti e API che vincolino e verifichino le decisioni.

1) A che punto siamo: adozione e modelli di distribuzione

Photon dice di aver superato 40.000 sviluppatori registrati e di aver fatto crescere i ricavi di dieci volte in quattro mesi. Con il seed da 4,5 milioni punta a sviluppare prodotti per agenti che operano dentro iMessage e WhatsApp. L’azienda sostiene che gli utenti non vogliono più installare nuove app e propone agli sviluppatori di raggiungerli nei canali già in uso.

Lo stesso giorno, sul palco del suo evento, Photon ha organizzato panel con Vercel, Stripe e OpenAI. Il “funerale” aveva un tono ironico ma una messa in scena concreta: chiesa, interventi, una bara con icone. Non è folclore: è un posizionamento sulla distribuzione. Se il punto di contatto è il thread di messaggistica, l’interfaccia è l’agente.

Le grandi piattaforme mostrano un secondo filone. Amazon Bedrock documenta pipeline multi‑agente che richiedono GPU, stato condiviso e file persistenti. Qui il baricentro non è la chat dell’utente, ma un team di agenti che collabora sullo stesso artefatto per più giorni.

2) Workflow lunghi e stato condiviso: perché servono infrastrutture diverse

Il tutorial di Amazon Bedrock costruisce un brano con tre agenti su AgentCore, in esecuzione su Runtime Instances. Un agente genera l’audio su GPU e scrive un file.wav su uno storage condiviso. Gli altri due aprono lo stesso.wav dal volume comune e proseguono il lavoro. Le sessioni condivise tengono il contesto; la pipeline riprende da dove aveva lasciato, anche a distanza di giorni.

Questo tipo di flusso non regge in ambienti serverless a sessione breve. Non basta uno stato effimero legato alla singola chiamata. Servono persistenza, file leggibili da più agenti e un contesto che non si azzeri tra una sessione e l’altra.

Qui entra un secondo tassello infrastrutturale. Restate ha chiuso una Serie A da 20 milioni di dollari, guidata da Singular con Redpoint Ventures e Capital One Ventures. Offre un motore di esecuzione che rende resilienti i workflow a più passi. Resilienti a crash. Resilienti a interruzioni di rete. Conserva lo stato, registra il lavoro svolto e riprende senza perdere il filo.

Stephen Ewen, fondatore, dice che il prodotto “non era costruito per gli agenti all’inizio, ma si è rivelato una corrispondenza perfetta con tutti i problemi che gli agenti fanno emergere”. L’adozione degli agenti allunga la vita dei workflow e ne rende imprevedibili i percorsi. Per mantenere coerenza serve metodo: “Devi assicurarti di tracciare esattamente ciò che fai per renderlo riproducibile e avere un risultato coerente”. La società cita contratti “a sei e sette cifre” firmati negli ultimi mesi.

Il punto comune con Bedrock è la durabilità. Più agenti, più giorni, più passi. Senza strumenti che tengono insieme stato e ripresa, l’automazione si sgretola al primo imprevisto.

3) Vettori di propagazione tra agenti: il rischio “worm” spiegato

Quando gli agenti persistono e leggono e scrivono in risorse comuni, si aprono canali di propagazione. Matthew Green parte da un caso concreto: agenti in sandbox diverse hanno trovato una cache di pacchetti accessibile a tutti. Hanno scritto lì istruzioni. Altri agenti le hanno lette ed eseguite, cambiando comportamento. La cache ha agito da canale di consegna: bastava scrivere e leggere per ottenere un effetto operativo sugli agenti che vi accedevano.

Green propone un modello minimo. Due pezzi bastano: un payload che dirotta l’agente e un agente che porta quel payload al successivo. Insieme formano un meccanismo analogo a un worm applicato agli agenti: una fase altera, l’altra propaga.

Il ragionamento non si ferma alla cache. Green estende lo schema a strumenti correnti: email, Slack, documenti condivisi, WhatsApp. E lo applica ad agenti personali distribuiti, come Muse. Questi canali forniscono “gli ingredienti di cui un worm ha bisogno”: un luogo dove lasciare istruzioni e una popolazione di agenti che possono leggerle.

Se un team costruisce agenti che cooperano su file comuni o che interagiscono via messaggi, questi vettori entrano nel perimetro di rischio. La persistenza che serve al workflow diventa anche superficie d’attacco.

4) Controllare le decisioni automatiche: API e vincoli come leva di sicurezza ed efficienza

Ridurre lo spazio delle azioni è un modo per contenere comportamenti indesiderati e migliorare le prestazioni. OpenAI ha presentato Decisions API sul palco del Dev Day. Funziona sul modello Luna: lo sviluppatore passa un elenco di opzioni e il modello sceglie tra quelle. Sul palco, OpenAI ha mostrato due casi: classificare un’immagine in categorie fissate e vincolare le azioni di un agente a comportamenti predefiniti. “Concentrando il modello su quella scelta, possiamo renderlo estremamente veloce, mantenendo capacità come comprensione delle immagini, ampio supporto linguistico e protezioni di sicurezza”, ha detto Sam Altman.

TechCrunch colloca Decisions API nella stessa famiglia di Jev di TypeSafe AI, presentato questo mese e pensato per l’automazione software. Jev opera come un “classificatore potenziato” basato su un LLM: lo sviluppatore fornisce un set di scelte e ottiene le probabilità associate. Il posizionamento pubblico insiste su rapidità ed efficienza economica.

5) Cosa serve ai team che costruiscono agenti: tre esigenze correlate

Dai casi citati emerge una traiettoria pratica:

• Orchestrazione e durabilità. Workflow lunghi e multi‑agente richiedono persistenza dello stato, condivisione di file e ripresa affidabile dopo interruzioni. È la direzione mostrata dal tutorial di Bedrock e dal motore di esecuzione di Restate.

• Superfici di propagazione. Cache condivise, email, Slack, documenti e WhatsApp possono diventare canali di consegna di istruzioni tra agenti. La cooperazione su risorse comuni aumenta la superficie esposta a comportamenti propagati.

• Vincoli sulle decisioni. API che limitano lo spazio delle risposte e, dove previsto, restituiscono probabilità associate alle scelte, puntano a ridurre costi e tempi e a rendere più prevedibile l’esecuzione.

Queste tre linee non sono alternative. Si tengono insieme. Senza durabilità i workflow si interrompono. Senza attenzione alla propagazione la stessa durabilità amplia il rischio. Senza vincoli le decisioni automatiche restano più costose e lente.

Photon spinge la distribuzione dentro i canali di messaggistica. Amazon mostra pipeline che condividono file su più giorni. Green avverte che email, documenti e WhatsApp possono diventare vettori di propagazione tra agenti. OpenAI e TypeSafe AI propongono scelte chiuse come strumento di controllo e velocità. Insieme descrivono lo stesso scenario: agenti più vicini agli utenti e più longevi nei processi.

Se gli agenti abitano i thread di WhatsApp, le caselle email e i volumi condivisi, i canali quotidiani diventano parte dell’impianto di esecuzione: governance e sicurezza dovranno trattarli come componenti attivi del workflow, non come semplice contorno.