Dagli assistenti ai working agent: come cambiano rischi e controlli quando l'AI agisce sul desktop

Prentis tratta un round da 100 milioni di dollari a una valutazione di 1 miliardo per costruire agenti che usano il computer come un impiegato e chiudono il lavoro end‑to‑end [S1]. La tesi: l’AI passa dall’assistenza alla vera esecuzione operativa. Questo sposta il baricentro su valutazione dell’affidabilità, controlli d’uso e confini della privacy.

Un nuovo filone: agenti che controllano il computer

Prentis è stata lanciata ad aprile e l’hanno co‑fondata Ritankar Das, Reid Hoffman e Marc Pincus [S1]. Il laboratorio si concentra su “computer use models”: addestra modelli che apprendono come i lavoratori d’ufficio gestiscono flussi su documenti e sistemi. L’obiettivo dichiarato è costruire agenti che controllano il computer e automatizzano compiti end‑to‑end [S1].

Gli esempi citati sono concreti. Gestione dei sinistri assicurativi. Automazione delle eccezioni nei rimborsi dei dazi doganali. In entrambi i casi gli agenti seguono i passaggi che oggi un impiegato esegue tra applicazioni aziendali e file, senza dover cercare manualmente la documentazione [S1]. Secondo persone a conoscenza dei colloqui, l’azienda intende calibrare gli agenti sui bisogni dei clienti [S1].

L’interesse del capitale per questa linea è un segnale operativo. Non è solo scrivere testi o riassunti. È portare a termine un processo, con interazioni su interfacce e verifiche lungo la catena. Qui gli errori non sono stilistici: possono bloccare un rimborso o inviare un sinistro incompleto.

Interfacce che danno al modello il controllo del dispositivo

La spinta non viene solo dalle startup. OpenAI porta ChatGPT Voice sull’app desktop e permette di impartire comandi vocali che avviano agenti e completano azioni sul computer [S2]. La modalità usa i modelli vocali ChatGPT‑Live e funziona con ChatGPT Work e con Codex [S2]. La voce non si limita a conversare. Attiva skill di “computer use” per consultare siti e applicazioni e poi chiude l’azione richiesta. Se manca un dato, chiede un chiarimento e riprende l’esecuzione [S2].

Su macOS entra in gioco Appshots. Con il consenso dell’utente, l’app accede a ciò che è visibile sullo schermo, inclusi gli alt‑text. L’assistente può così riferirsi a elementi presenti a display mentre segue i passaggi. La funzione resta opzionale [S2]. OpenAI definisce l’aggiornamento desktop “più capace” rispetto alla versione mobile al lancio [S2]. Questo dettaglio conta per chi gestisce sicurezza operativa: lo schermo diventa un contesto attivo per l’agente, non solo un output.

Anche Anthropic spinge in questa direzione. Estende la modalità vocale di Claude ai modelli Opus e Sonnet e li collega a Gmail, Google Calendar, Slack, Canva e Notion [S5]. Con la voce si possono aggiornare slot di meeting, scrivere bozze di email o creare documenti su richiesta dell’utente [S5]. Cambia anche il comportamento: la voice mode seleziona l’ultimo modello usato nella chat testuale e impiega la sua variante più veloce. Eredita la scelta fatta e punta alla rapidità all’avvio [S5]. Anthropic nota che gli utenti hanno portato la voice mode su “problemi di business reali”, dove servono profondità e capacità di problem solving oltre alla velocità [S5].

In entrambi i casi, l’interfaccia vocale non è un gadget. Serve a dare continuità tra intenzione, contesto sullo schermo e azione nelle app. Questo accorcia la distanza tra richiesta dell’utente e operazione compiuta.

Affidabilità, test e costi degli errori operativi

Quando l’agente agisce, l’affidabilità diventa un requisito di produzione, non un indicatore di qualità astratto. Motorway, marketplace con base nel Regno Unito, lavora con fino a 8.000 concessionarie che fanno offerte su fino a 2.500 auto al giorno [S3]. Insieme al team AWS Prototyping and AI Customer Engineering (PACE) ha costruito una pipeline di valutazione end‑to‑end, formalizzata in un blueprint di produzione con Strands e AgentCore [S3]. Obiettivo: evitare che un agente che sbaglia filtro in un’asta con migliaia di dealer sposti le offerte e mini la fiducia [S3].

La fonte individua quattro criticità. Tre sono descritte nel dettaglio. Primo: errori nella selezione degli strumenti portano a risultati di ricerca sbagliati. Secondo: interpretazioni errate nella ricerca semantica, soprattutto con vincoli multipli. L’esempio è “benzina, ibride ed elettriche fino a 5 anni”, che richiede scomporre correttamente i criteri. Terzo: deriva del contesto nelle conversazioni multi‑turno, con perdita delle rifiniture inserite dall’utente [S3]. Il nodo dichiarato è dimostrare affidabilità quando c’è “denaro reale in gioco” [S3].

Questa esperienza suggerisce un metodo. Non basta addestrare meglio il modello. Serve una pipeline che testa end‑to‑end gli strumenti, controlla la gestione dei vincoli, monitora la stabilità del contesto tra turni e documenta le deviazioni prima del deploy. Serve anche un perimetro operativo chiaro: quali errori l’azienda può tollerare, su quali query, con quale impatto misurato sul business.

Sicurezza e controllo: agenti per difendersi e nuovi perimetri di rischio

Mentre cresce l’uso di agenti operativi, nascono anche agenti difensivi. AegisAI raccoglie 36 milioni di dollari per fermare lo spear phishing alimentato dall’AI [S4]. La fondano Cy Khormaee e Ryan Luo, ex dirigenti sicurezza di Google con esperienza su Safe Browsing e reCAPTCHA [S4]. I gruppi malevoli usano l’AI per aggregare in fretta dati personali. Combinano informazioni su colleghi, progetti attivi e itinerari di viaggio. Così generano messaggi che sembrano autentici [S4].

Khormaee e Luo affermano che i filtri basati su regole “if‑then” non reggono più il passo. Sono lenti e poco efficaci contro email costruite con l’AI. Per questo la società sviluppa agenti che analizzano ogni messaggio “come un umano”, cercando piccole anomalie che persino una checklist dettagliata non coglie [S4]. La società è nata lo scorso anno e, meno di dodici mesi dopo il lancio, parla di “decine” di clienti [S4].

Qui si apre un doppio fronte per chi guida IT e sicurezza. Da un lato, agenti che eseguono azioni su desktop e servizi, con accesso a siti, applicazioni e contenuti a schermo, anche tramite strumenti come Appshots, previo consenso dell’utente [S2]. Dall’altro, agenti che pattugliano la posta e i flussi di comunicazione, con analisi più simili all’intuizione umana che a un motore di regole [S4]. Entrambi introducono nuova osservabilità e nuove superfici di rischio. Chi controlla cosa l’agente vede sullo schermo? Come si registrano i passaggi seguiti da un agente che cerca documenti per un rimborso dei dazi doganali? Quanto a lungo si conservano i dati di contesto che l’agente usa per eseguire un’azione?

Il collegamento tra questi sviluppi è netto. Prentis punta a far seguire agli agenti i passaggi che oggi un impiegato svolge tra applicazioni e file, su casi concreti come sinistri e rimborsi [S1]. OpenAI e Anthropic legano voce, schermo e applicazioni per eseguire azioni a richiesta [S2][S5]. Motorway e AWS PACE mostrano che, quando l’esecuzione tocca stock e offerte, serve una pipeline di valutazione e un blueprint di produzione per contenere gli errori [S3]. AegisAI sposta la difesa dall’if‑then a una lettura “come un umano”, proprio perché anche gli attacchi usano agenti [S4].

Per chi lavora con AI, sviluppo e QA, la conseguenza è pratica: disegnare processi di validazione specifici per agenti che agiscono, con controlli di accesso ai dati visibili e metriche sull’impatto degli errori. Non è un progetto di laboratorio. È un requisito prima di dare all’agente il mouse.