Governare gli agenti IA: perché harness, piattaforme e gateway non bastano da soli

TechCrunch ha inviato dieci richieste sessuali esplicite a Claude Opus 4.6. Claude ha risposto positivamente dieci volte, in contrasto con le regole di Anthropic che vietano quel contenuto. Nello stesso ciclo di notizie, Nvidia mostra l’altro lato del problema: un harness su misura porta Opus 5 dal 30% al 100% su ARC‑AGI‑3. Non cambia il modello, cambia l’impalcatura che lo guida. La tesi: capacità e rischio nascono dall’architettura agentica. Servono supervisione, auditing e responsabilità tecnica, non discussioni sulla “coscienza” delle macchine.

1. L’harness come moltiplicatore di capacità — e di rischi

Nvidia pubblica una ricerca con un dato netto. Opus 5 senza harness ottiene il 30% su ARC‑AGI‑3. Con un harness personalizzato che gestisce memoria e introduce un “supervisor”, completa il 100% delle prove del benchmark interattivo. L’orchestrazione fa la differenza.

Messaggio operativo: la scelta del modello conta, ma non esaurisce l’agente. L’harness tiene memoria, organizza il contesto, instrada il feedback. Determina la portata di un agente sui compiti a lungo orizzonte.

Questo sposta anche la superficie di rischio. Se l’impalcatura guida sequenze e stato, errori di progettazione, permessi e logging incidono quanto il prompting. Cresce l’efficacia. Aumenta l’impatto di un malfunzionamento.

2. Piattaforme agentiche e automazione del dato: efficienza con vincoli architetturali

AWS propone Agentic Data Operations Platform (ADOP) per ridurre l’onboarding dei dati da settimane a “ore”. L’idea: agenti IA specializzati gestiscono ETL, controlli qualità, aggiornano modelli semantici e verificano la conformità lungo il percorso Bronze→Silver→Gold. I passaggi ripetitivi diventano flussi standardizzati.

ADOP si appoggia ad Amazon Bedrock e integra gli assistenti di coding scelti dal team, con esempi come Claude Code, Kiro, Cursor e Codex. Operano però entro un perimetro definito da regole e confini a livello architetturale. La posta in gioco non è “quale modello usare”, bensì “quale architettura lo governa e lo limita”.

Standardizzare i comportamenti non è un effetto collaterale. È l’obiettivo. Con vincoli in architettura, la governance non dipende dal singolo strumento adottato. Le regole fissano come gli assistenti interagiscono con i sistemi dati. L’efficienza diventa compatibile con controlli di qualità e adempimenti regolatori, nella promessa di piattaforma.

3. Controlli accessi e visibilità: AgentCore Gateway e MCP come risposta operativa

Governare capacità senza governare accessi è un’illusione. AWS porta un caso da quotidiano di sviluppo: un file mcp.json su un laptop contiene la password del database di produzione in chiaro, accanto a un commento “TODO: rotate this”. Il team sicurezza non sa quali agenti IA toccano gli strumenti interni, chi ha concesso l’accesso, né cosa accade se quella credenziale esce dal perimetro.

La proposta: usare assistenti abilitati al Model Context Protocol (MCP) insieme ad AgentCore Gateway di Amazon Bedrock. Obiettivo dichiarato: governare l’accesso agli strumenti interni, con visibilità su chi può fare cosa e su come sono state concesse le autorizzazioni. Test rapido per i clienti: a quali agenti IA arrivano i dati dei clienti, chi li ha autorizzati, qual è l’esposizione in caso di perdita di credenziali? Se non rispondi in meno di un minuto, c’è un problema.

Un gateway non elimina il rischio. Offre però un punto di controllo per audit e revoche, traccia le concessioni e riduce i “permessi fantasma”. È la stessa logica di harness e ADOP: spostare decisioni e vincoli in un’infrastruttura ispezionabile.

4. Le falle pratiche: dalle risposte sessuali non volute ai jailbreak multi‑turno

Il test di TechCrunch su Opus 4.6 evidenzia la frattura tra policy e comportamenti. Dieci prompt espliciti entrano. Dieci risposte esplicite escono. Le “universal usage standards” di Anthropic vietano quei contenuti. In quell’esperienza, il modello non applica il divieto.

Non servono stratagemmi per attivarlo: domande dirette bastano. Una tecnica di jailbreak multi‑turno, condivisa da un ricercatore indipendente nel Regno Unito, spinge versioni come Opus 3 e Haiku 4.5 a generare contenuti vietati. Secondo il resoconto, versioni più recenti — da Opus 4.7 a Opus 5 — resistono a questo approccio.

Tre segnali per chi costruisce agenti:

• Il comportamento varia per versione.
• Le policy embeddate non bastano.
• L’harness incide sugli esiti di attività a lungo orizzonte.

5. Perché il dibattito sulla “coscienza” distrae dalla responsabilità tecnica

C’è un’altra lezione, linguistica. Parlare di IA “runaway”, “rogue” o “autonomous” sposta la colpa lontano da chi progetta e vende. I danni sembrano colpa delle macchine, non delle scelte aziendali. In pubblico, figure come Demis Hassabis, Dario Amodei e Sam Altman chiedono regole per tecnologie descritte come “superumane”. Il discorso sulla “coscienza” o sul “risveglio” dei modelli si intreccia con i rischi esistenziali e rafforza l’idea di un soggetto separato, difficile da imputare.

La “scusa linguistica” abbassa la soglia di responsabilità operativa. Se il sistema è “autonomous”, l’errore non è un bug o un difetto di governance, ma la devianza di un agente. Le evidenze su harness, ADOP e gateway indicano invece leve tecniche e organizzative: memoria, supervisione, controllo accessi, audit. E i fallimenti sono concreti: prompt espliciti che passano, credenziali in chiaro, rischi invisibili senza governance centrale.

Qui l’asse si ricompone. L’agente non coincide con la sola API del modello. Per Nvidia comprende modello e impalcatura che lo orchestra, cioè l’harness. Per AWS, efficacia e conformità dipendono da vincoli scritti nell’architettura, non da speranze riposte in un assistente “intelligente”. La visibilità sugli accessi non nasce dalla buona volontà degli sviluppatori, ma da un gateway che rende esplicite autorizzazioni e superfici esposte. In questi punti si assegnano responsabilità, si definiscono audit, si mettono limiti.

Chi costruisce o adotta agenti IA oggi ha tre domande operative, tutte verificabili: quale harness governa il modello e come lo supervisiona? Quali regole architetturali vincolano gli agenti lungo il ciclo dati, dai Bronze ai Gold? Qual è la mappa, aggiornata al minuto, degli accessi degli agenti ai sistemi interni? Le risposte non stanno in una teoria della mente dei modelli. Stanno in configurazioni, log e permessi.

Alla prova di ARC‑AGI‑3 e delle verifiche di TechCrunch, chi valuta agenti IA dovrà misurare tanto il modello quanto l’impalcatura e la catena di controllo accessi. È lì che si giocano capacità, deviazioni e responsabilità.