In Breve
- Cosa sono gli agenti di intelligenza artificiale?
- Agenti AI sono sistemi che gestiscono transazioni e compiti amministrativi senza intervento umano diretto.
- Perché è importante la verifica dell'autorità?
- È fondamentale per garantire che le azioni siano autorizzate e limitate, riducendo il rischio di accessi non autorizzati.
- Qual è il principio del minimo privilegio?
- Richiede che agli agenti siano assegnati mandati specifici e limitati, evitando accessi permanenti e illimitati.
Con l’avanzare della tecnologia, l’emergere di agenti di intelligenza artificiale (AI) che gestiscono transazioni e compiti amministrativi sta mettendo in discussione il tradizionale modello di fiducia digitale. Questo modello si basa sull’assunto che dietro ogni accesso ci sia una persona identificabile. Tuttavia, molti sistemi di autenticazione e verifica dell’identità sono progettati per confermare solo se chi richiede l’azione possiede le credenziali corrette, senza considerare chi ha autorizzato tale azione e con quali limiti.
La distinzione tra autenticazione, identità e autorità diventa quindi cruciale. Non basta sapere chi accede a un sistema; è fondamentale comprendere chi ha dato il via all’azione, quali sono le sue capacità e per quanto tempo queste sono valide. In ambito aziendale, ad esempio, già si applicano controlli di ruolo ed eleggibilità in settori come i servizi finanziari e la sanità. Tuttavia, l’infrastruttura attuale è più avanzata nella verifica dell’identità piuttosto che nell’applicazione delle deleghe di autorità.
Un approccio suggerito è quello del principio del minimo privilegio. Questo implica che agli agenti AI dovrebbero essere assegnati mandati specifici e limitati, piuttosto che un accesso permanente e illimitato. Un agente compromesso o mal configurato potrebbe causare danni significativi, quindi è essenziale garantire che ogni azione agentica sia accompagnata da risposte a cinque domande fondamentali: chi o cosa agisce, chi lo ha autorizzato, cosa può fare, sotto quali vincoli e se l’autorità è ancora valida.
Questo approccio si basa su modelli di delega “on-behalf-of” già presenti negli standard di identità. Strumenti come i portafogli digitali possono ospitare mandati verificabili meccanicamente, che possono essere revocati e affiancati alle credenziali verificate di persone o organizzazioni. È quindi necessario estendere le autorità e i framework esistenti, inclusi quelli previsti dal Data (Use and Access) Act nel Regno Unito, per considerare i delegati software.
Spostare la verifica dell’autorità prima che l’agente agisca, documentare chi concede i poteri e limitarne l’ambito sono misure indicate per ridurre l’esposizione. Questo è particolarmente importante in un contesto in cui le implementazioni di agenti AI potrebbero superare i controlli progettati per governarle. La sfida futura sarà quindi quella di integrare questi nuovi paradigmi di verifica in un sistema di fiducia digitale sempre più complesso.
