In Breve
- Qual è il principale rischio associato all'uso di agenti AI nella sicurezza?
- Il principale rischio è che le attestazioni di controllo riflettano solo un'apparenza di sicurezza senza una governance adeguata.
- Quanto tempo dedicano le organizzazioni alla compliance?
- Le organizzazioni segnalano circa 12 settimane all'anno dedicate a compiti di compliance e 9 settimane a revisioni dei fornitori.
- Quali misure possono ridurre i rischi legati all'AI?
- Misure come il least-privilege, permessi just-in-time e supervisione umana sono essenziali per ridurre i rischi.
Negli ultimi anni, le organizzazioni hanno iniziato a fare sempre più affidamento su agenti di intelligenza artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, la governance non ha tenuto il passo con questa rapida adozione, creando un divario significativo tra l’efficacia reale dei controlli e la loro apparente affidabilità.
Un recente studio ha rivelato che oltre la metà dei responsabili della sicurezza nel Regno Unito percepisce le minacce guidate dall’AI come in continua evoluzione, più rapidamente di quanto i team possano rispondere. Inoltre, l’80% di questi professionisti ha dichiarato di utilizzare o pianificare di utilizzare agenti AI nella propria strategia di sicurezza. Nonostante ciò, il lavoro di compliance rimane prevalentemente manuale, con le organizzazioni che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.
Per affrontare questo divario, è fondamentale implementare una governance continua e visibile. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, l’identificazione dell’AI integrata nei servizi SaaS e il controllo del cosiddetto “shadow AI”. Ogni agente deve essere considerato come un attore autonomo, con accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.
Prima del deployment, è cruciale definire chiaramente quali dati possono essere accessibili dall’agente, dove è necessaria l’approvazione umana e come annullare eventuali azioni. Operazioni ad alto impatto, come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi, devono essere soggette a una supervisione umana significativa.
Inoltre, i controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione e interruttori di emergenza. Questi strumenti sono essenziali per ridurre il raggio d’azione in caso di errore.
Con l’aumento della pressione regolatoria, come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, cresce il rischio che la compliance si trasformi in un semplice “security theatre”. L’automazione, se orientata a checklist statiche, potrebbe accelerare questo fenomeno. Per evitare ciò, è necessario spostare l’obiettivo: la compliance deve diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche, armonizzando segnali di rischio, controlli e evidenze in tempo reale.
In sintesi, l’AI rappresenta sia un nuovo fattore di rischio che uno strumento per gestire altri rischi. I programmi di governance efficaci possono semplificare il percorso approvato rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato le loro azioni.
