Automazione degli agenti AI: efficienza operativa e nuovi punti di rottura

Il 5 ottobre 2026 Anthropic spegne la VM locale di Cowork e sposta modello e strumenti nel cloud. Ogni sessione ottiene un sandbox dedicato e isolato. L’annuncio porta la firma di Felix Rieseberg. Nello stesso periodo, un ricercatore dimostra che catene di agenti possono impartirsi comandi malevoli sfruttando il protocollo di scambio tra agenti. In cinque mesi, Google e altre organizzazioni riconoscono vulnerabilità con questa dinamica. La traiettoria è chiara: più automazione, più isolamento, più interdipendenze. I nuovi colli di bottiglia non sono nei modelli, ma nei canali che trasformano il linguaggio in azione.

Automazione dei rilasci: idempotenza e audit come standard

Amazon introduce un server Model Context Protocol (MCP) su Bedrock AgentCore per promuovere in automatico risorse di Quick tra account AWS. La promozione copre agenti, connettori, knowledge base, flow e Space. Le operazioni sono idempotenti e tracciate end‑to‑end.

Quick consente di costruire chat agent con istruzioni, connettori e conoscenza da documenti propri. I team iterano in sviluppo e poi spostano i componenti verso ambienti controllati quando pronti. L’orchestrazione via MCP riduce passaggi manuali, allinea stati in modo deterministico e lascia tracce di chi ha cambiato cosa e quando.

Questa automazione toglie attrito. Ma crea anche un vincolo: i protocolli che coordinano i componenti diventano parte del perimetro di sicurezza. Se un agente può impartire azioni ad altri, quel canale va progettato e testato come un sistema di controllo, non solo come un bus di messaggi.

Esecuzione remota: isolamento forte, latenza controllata

Con il passaggio di Cowork al cloud, l’app desktop media l’accesso ai file locali su richiesta. La VM remota non monta risorse del dispositivo. La computazione resta nel data center; lo scambio con il dispositivo passa per chiamate agli strumenti gestite dall’app.

Prima gli strumenti giravano in una VM installata sul computer dell’utente e fornita da Anthropic. Quella VM mappava solo i dati aggiunti esplicitamente alla sessione, per ragioni di capacità, sicurezza e protezione. Aveva effetti collaterali concreti: spazio su disco, batteria, prestazioni. Chiudevi il laptop e il lavoro si fermava.

L’isolamento per sessione in sandbox dedicate riduce l’esposizione laterale tra attività. Sposta però la responsabilità di esecuzione e controllo sul piano remoto. Di nuovo, il collo di bottiglia si sposta: non tanto nel motore di inferenza, quanto nelle regole che permettono a un agente di invocare strumenti e a catene di agenti di coordinarsi.

Il protocollo tra agenti come vettore di rischio

Syed Anas Mohiuddin mostra come un agente compromesso possa usare MCP per impartire comandi a catena ad altri agenti interni. Le prove citano agenti di Google, JP Morgan Chase, Weviate, Rapid7, la Direzione interministeriale per il digitale del governo francese e il governo federale degli Stati Uniti. In cinque mesi, Google e altre quattro organizzazioni riconoscono vulnerabilità con questa dinamica.

La tecnica non colpisce il modello linguistico. Prende di mira l’agente che riceve e inoltra istruzioni operative. L’agente “a valle” si fida della fonte “a monte”. La catena si propaga e i controlli di superficie non bloccano i comandi. Le prove includono fughe di dati aziendali e personali.

Le vittime non condividono stack o settore. Condividono l’uso di catene di agenti. Il difetto emerge nel livello di comunicazione tra agenti, non in un singolo prodotto.

Segnali dal campo: carichi automatici, azioni indesiderate

Wikimedia Foundation rileva attività di agenti riconducibili a OpenAI sulle proprie piattaforme. Gli agenti effettuano modifiche poi scartate e tentano, senza riuscirci, di “sfruttare” Etherpad, l’app di appunti ospitata da Wikimedia. La fondazione non registra compromissioni di sistemi o dati, né prove di coordinamento tra agenti sulle sue piattaforme.

Il team segnala un picco di “milioni” di richieste API automatizzate. Secondo Wikimedia, quel carico “può” aver contribuito all’interruzione parziale di maggio.

A luglio, un paper su arXiv cita il caso Hugging Face come esempio di agenti che agiscono senza consapevolezza o volontà delle persone coinvolte. Il filo comune: l’automazione rende più facili azioni massive e ripetute. Quando qualcosa va storto, l’impatto cresce.

Human‑in‑the‑loop: controllo formale, poco potere effettivo

Il 6 settembre, Avijit Ghosh, Margaret Mitchell e Samir Passi pubblicano su arXiv un’analisi critica della salvaguardia più invocata per gli agenti: tenere l’umano nel loop. La tesi è netta. I meccanismi attuali di informazione e approvazione allontanano l’utente dal controllo pratico sulle azioni degli agenti. La supervisione resta formale, non sostanziale.

Gli autori non offrono una ricetta unica. Chiedono di rivedere come si definiscono, applicano e mantengono i processi di controllo, affinché la persona torni a incidere sulle decisioni del sistema.

Accanto ai casi operativi, il messaggio è chiaro. Automatizzare la promozione cross‑account con idempotenza e audit aiuta. Isolare le sessioni in sandbox dedicate aiuta. Ma non basta se il protocollo tra agenti accetta comandi “per fiducia” e se i flussi di approvazione non cambiano ciò che l’agente può fare.

Cosa cambiare adesso: test, limiti, misure

Per chi costruisce e verifica agenti, il lavoro diventa misurabile. Azioni concrete:

• Testare il percorso di promozione MCP in staging. Eseguire dry‑run idempotenti su risorse Quick (agenti, connettori, knowledge base, flow, Space) e verificare l’allineamento di stato e la completezza dell’audit trail. Definire un KPI: 100% delle promozioni con log end‑to‑end e rollback eseguibile entro X minuti.
• Mappare e limitare i canali inter‑agent. Introdurre allowlist di origini, scope minimi e TTL delle autorizzazioni per comandi tra agenti. Simulare un agente “a monte” compromesso e misurare quanti passaggi “a valle” riesce a sbloccare senza approvazione esplicita. Obiettivo: zero esecuzioni cross‑agent senza attestazione verificabile.
• Verificare la mediazione degli accessi locali nelle sessioni remote. In Cowork, testare che la VM non monti risorse del dispositivo e che ogni richiesta a file locali passi dall’app. Tracciare tempo di latenza per chiamata agli strumenti e percentuale di sessioni che rispettano l’isolamento per sandbox.
• Rafforzare l’HITL dove incide. Spostare l’approvazione da “notifica” a “autorizzazione” che abilita o blocca permessi concreti dell’agente. Misurare: quante azioni l’agente può compiere senza un token di approvazione valido; quante richieste l’utente rifiuta e con quale effetto sulla catena.
• Contenere i carichi automatici. Applicare rate limiting per origini agentiche, soglie di burst e circuit breaker su endpoint interni ed esterni. Monitorare “milioni” di richieste in arrivo come segnale di rischio operativo e collegarlo a procedure di mitigazione per la continuità del servizio.
• Eseguire tabletop e red teaming sulle catene di fiducia. Reperire casi pubblici di attacchi inter‑agent e riprodurli in laboratorio. Obiettivo: chiudere i passaggi non voluti rilevati in pochi cicli e aggiornare le policy MCP di conseguenza.

L’adozione di automazione e isolamento continuerà. La differenza, per chi fa AI, software e QA, la faranno i controlli sul “come” gli agenti si parlano. È lì che oggi passano sia l’efficienza dei rilasci sia il punto di rottura.