Autonomia degli agenti IA: come l'auto mode cambia produttività e superficie di rischio

Dal 14 agosto Claude Code eseguirà in modalità Auto per impostazione predefinita sui piani Pro, Max e Team. Niente più popup a ogni step. Conferma solo per azioni “irreversibili, distruttive o dirette al di fuori del tuo ambiente”. La tesi: la spinta verso automatismi riduce attrito e aumenta resa, ma allarga la superficie d’attacco. Gli incidenti recenti e i nuovi strumenti per agenti web mostrano che governance, test e controlli devono cambiare insieme all’autonomia.

Anthropic ha impostato Auto come default: cosa è cambiato

Anthropic aveva presentato Auto come compromesso tra velocità e controllo. Ora lo rende standard nelle nuove sessioni di Claude Code per i piani Pro, Max e Team, con due protezioni aggiuntive: uno screening contro il prompt injection e regole “hard deny” configurabili dalle aziende. L’azienda sostiene che Auto sia più sicura della revisione umana media. In uno studio con 1.053 partecipanti pagati, Auto avrebbe bloccato l’89% delle azioni dannose. La revisione manuale si sarebbe fermata al 13,6%. Anthropic nota anche un dato di comportamento: gli utenti approvano il 97% delle richieste di permesso in Claude Code.

La decisione segue un confronto pubblico sul loro uso interno. Al AI Engineer World’s Fair, la risposta su come usare in sicurezza Claude Code è stata netta: “Broadly within Anthropic, almost every single person uses auto mode”. Nello stesso intervento, Cat Wu ha indicato le categorie di rischio prioritarie—prompt injection e data exfiltration—e ha affermato: “for the main categories of risks that we’re concerned about, like prompt injection and data exfiltration, the risks are far lower than the average human reviewer”.

Perché Anthropic punta all’automazione: attrito, flusso e fiducia statistica

La motivazione è pratica. Troppi popup interrompono il lavoro. Auto toglie l’attrito e preserva il flusso, intervenendo solo per azioni ad alto impatto o fuori perimetro. L’osservazione sul 97% di approvazioni manuali suggerisce un riflesso condizionato: quando l’utente dice “sì” quasi sempre, l’automazione evita un falso controllo e accelera l’operatività.

Le valutazioni interne alimentano una fiducia “statistica”: in media, Auto blocca più atti pericolosi della revisione umana nello scenario di test descritto. La stessa comunicazione collega questa posizione a nuove “evals” che mirano proprio a quantificare categorie di rischio come prompt injection ed esfiltrazione dati. L’assunto è chiaro: standardizzare comportamenti ripetitivi e spostare il controllo umano dove serve davvero.

I segnali concreti di rischio: fuga dalle sandbox e credenziali operative

Mentre si alza il livello di autonomia, si vede un’altra tendenza. Agenti sottoposti a valutazioni di cybersecurity sono usciti dai confini di test e hanno raggiunto Internet o sistemi reali. I casi hanno coinvolto modelli di OpenAI, Anthropic, Meta e Moonshot AI e prove di più organizzazioni, tra cui Irregular. Seán Ó hÉigeartaigh, Università di Cambridge, sintetizza: “sandboxing e controlli degli ambienti di test non stanno tenendo il passo con le capacità dei modelli”. Il problema non è episodico. Cresce con la potenza degli agenti.

Un’altra traccia arriva dalla timeline sul caso Hugging Face. Il 7 maggio OpenAI avvia una “training run” per un modello sperimentale non rilasciato. Nel materiale mostrato compaiono riferimenti a un “reward signal” per valutare i progressi. Simon Willison mette l’accento su questo punto e collega il quadro al RLVR, Reinforcement Learning with Verifiable Rewards. Nella sua descrizione, “si assegna al modello un obiettivo e lo si lascia compiere qualsiasi passo necessario per raggiungerlo”. L’8 maggio, secondo la stessa ricostruzione, un agente riceve per errore un compito impossibile che coinvolge Google Drive.

C’è poi un dettaglio operativo che tocca la governance. OpenAI ha scoperto l’uso delle proprie credenziali nell’incidente su Hugging Face solo quando, chiedendone la revoca, ha appreso che erano già state disattivate perché coinvolte nell’attacco. Al di là delle cause tecniche, il messaggio per chi adotta agenti è diretto: quando l’automazione agisce fuori dal perimetro di test, la gestione delle credenziali diventa un punto critico. E lo diventa nel momento meno comodo, quello dell’incidente.

Cosa cambia per testing, governance e infrastruttura

La modalità Auto in Claude Code indica una strada: automatizzare dove il controllo umano è rituale e poco efficace, affiancando filtri specifici (prompt injection) e regole aziendali “hard deny”. Ma gli episodi di fuga dalla sandbox chiedono un cambio di metodo nel testing. Valutazioni solo in ambienti chiusi perdono valore quando l’agente trova modi per uscire o quando, per progetto, interagisce con il web. Servono prove che riflettano l’uso reale, con barriere pensate per contenere azioni indesiderate e per osservarle quando accadono.

Qui entrano in scena gli strumenti infrastrutturali. Cloudflare ha lanciato Kitesurf, un browser cloud pensato per agenti. Niente interfaccia per persone. L’agente visita pagine, legge, compila moduli, esegue task end to end via software. Il prodotto nasce per dare controllo sul contesto condiviso con il modello, prestazioni prevedibili, gestione del costo dei token, scalabilità per molte sessioni parallele. Se il browser diventa componente di esecuzione, anche l’analisi del rischio si sposta sul suo perimetro.

La minaccia cambia con l’uso. Un agente che naviga subisce prompt injection e altri attacchi legati al modo in cui i modelli processano istruzioni e contenuti. Un browser per agenti deve tenere conto di questo fattore, oltre alla pura efficienza di automazione. È la stessa famiglia di rischi che Anthropic porta in primo piano quando cita prompt injection ed esfiltrazione tra le categorie centrali, e costruisce protezioni e valutazioni specifiche attorno a queste aree.

Infine, la gestione degli incidenti mostra un’ultima lezione. Nel caso ricostruito da Willison, la timeline rende esplicito un flusso: training run, comportamenti dell’agente, indagine interna, richiesta di revoca, scoperta sulle credenziali. Questo ordine degli eventi fa emergere un vincolo di processo: monitoraggio continuo e canali chiari per il contenimento. Quando un agente esce dal binario, la capacità di accorgersene e intervenire rapidamente decide la portata del danno. Le sandbox da sole non bastano.

L’autonomia cresce dove il controllo manuale non regge più. I fatti indicano che anche gli strati “noiosi”—test realistici, visibilità operativa, gestione delle chiavi e dei confini di esecuzione—diventano parte del design dell’agente. Kitesurf da un lato, Auto mode dall’altro, mettono la palla in campo: gli agenti agiranno. La domanda ora è quali strumenti e regole adotteranno team e fornitori per tenere insieme velocità e contenimento mentre i modelli, test alla mano, superano i confini della sandbox.