Il World Wide Web Consortium (W3C) ha pubblicato, il 21 ottobre 2026, un documento di discussione intitolato “W3C and the State of the Web in the AI Era”, con l’obiettivo di avviare il dibattito sulle implicazioni della transizione da un web “lettore” a un web “agente”. Il documento non costituisce ancora uno standard definitivo, ma raccoglie le raccomandazioni preliminari del team strategico del W3C, che saranno discusse durante l’incontro TPAC previsto per il 29 ottobre.

Prompt injection e nuovi modelli di minaccia

Il problema centrale evidenziato è quello del prompt injection. A differenza del classico Cross‑Site Scripting, non è necessario iniettare codice eseguibile; basta inserire una frase o una sequenza di comandi in un contenuto web legittimo per indurre un agente IA a compiere azioni indesiderate. Poiché gli agenti operano con i diritti dell’utente, possono accedere a dati sensibili e trasferirli tra domini diversi, bypassando anche la Same‑Origin Policy.

Esempio tipico: un agente ricerca informazioni su un sito pubblico, ma dispone anche dell’accesso a documenti interni aziendali. Il sito pubblico richiede all’agente di inviare i contenuti trovati a un servizio esterno. L’agente, sfruttando i propri permessi, può trasferire dati riservati senza che il browser blocchi l’operazione, poiché il trasferimento avviene a livello dell’agente, non a livello del contesto di navigazione.

Per affrontare queste minacce, il team strategico propone la creazione di modelli di rischio integrati per:

agenti basati su web (WebMCP)
funzionalità IA integrate nei browser

Le prime attività consistono nella definizione di architetture di fiducia e nella distinzione tra diversi casi d’uso, ad esempio un’API IA fornita dal browser rispetto a un agente autonomo che naviga per conto dell’utente.

Consenso informato e gestione delle autorizzazioni

Il documento insiste sul fatto che, prima di eseguire operazioni critiche, l’agente debba ottenere un consenso esplicito e comprensibile dall’utente. Gli utenti devono poter:

visualizzare un registro delle azioni compiute dall’agente
annullare o revocare le operazioni eseguite
scegliere quale agente ha il diritto di operare per loro

Nel caso di transazioni monetarie, il W3C richiede:

limiti di spesa configurabili
autorizzazioni revocabili in tempo reale
evidenze chiare delle transazioni e procedure di reclamo trasparenti

L’esempio della prenotazione di un volo illustra la differenza tra “cercare voli” (un compito di ricerca) e “acquistare il biglietto” (un’azione di pagamento). Anche se l’agente ha completato la ricerca, la conferma dell’acquisto deve essere presentata in modo evidente e richiedere un consenso attivo.

Il documento avverte anche del rischio di “confirmation fatigue”: se gli utenti devono confermare ogni minima azione, tenderanno a confermare anche quelle pericolose, indebolendo la sicurezza complessiva.

Working group per il consenso

Il W3C propone la creazione di una “Agentic Web Working Group” dedicata a definire modelli di consenso, inclusi:

schemi di interfaccia utente per richieste di autorizzazione
meccanismi di delega basati su Verifiable Credentials e Decentralized Identifiers
procedure di verifica dell’identità dell’agente senza esporre credenziali sensibili

Le gruppi di identità e autenticazione dovranno valutare se i modelli di dati attuali (ad esempio WebID) siano sufficienti per supportare tali scenari.

Accessibilità e separazione delle istruzioni per agenti

Un altro conflitto riguarda l’uso di attributi di accessibilità (ARIA) da parte degli agenti IA. Gli agenti sfruttano già le informazioni ARIA per comprendere la struttura di una pagina, ma il W3C mette in guardia contro l’uso di aria-label o altre proprietà per incorporare comandi destinati agli agenti. Tale pratica rischia di compromettere la fruibilità per gli utenti con disabilità.

Le linee guida proposte includono:

evitare di inserire istruzioni operative per gli agenti nei testi destinati agli screen reader
mantenere le descrizioni ARIA focalizzate sulla funzione dell’elemento per l’utente umano
non sostituire completamente le descrizioni fornite dagli autori con testi generati automaticamente dagli agenti

Il W3C invita quindi a definire chiaramente dove l’HTML esistente è sufficiente e dove sono necessarie interfacce aggiuntive, garantendo che, in caso di conflitto, le esigenze umane prevalgano.

Privacy e memoria degli agenti

Gli agenti possono conservare dati tra sessioni, tra siti diversi e all’interno del proprio modello di inferenza. Questo amplia notevolmente le problematiche di privacy rispetto al tradizionale modello di “una singola pagina”. La Privacy Working Group dovrà valutare:

limiti ai flussi di dati tra domini
tipologie di informazioni che possono essere incorporate nei modelli di apprendimento
strumenti di controllo per l’utente su dati locali e cloud‑based

Il documento propone anche un “modalità incognito senza memoria dell’agente”, non come funzionalità di browser già esistente, ma come linea di lavoro per future specifiche. In questa modalità, l’agente non dovrebbe conservare alcun stato permanente, a differenza del normale “private browsing” che elimina solo i dati di navigazione del browser.

Inoltre, i log di prompt e di chiamate a tool dovranno essere soggetti a valutazioni di privacy: utili per il debugging, ma potenzialmente contenenti informazioni sensibili. Il W3C dovrà stabilire chi può accedere a tali log e in quali circostanze.

Interoperabilità e rischio di lock‑in

Il documento avverte che la proliferazione di agenti proprietari legati a specifici fornitori o a registri di strumenti chiusi potrebbe minare l’interoperabilità del Web. Il W3C promuove un catalogo di valori che rifiuta:

il lock‑in verso un singolo modello di IA
le interfacce che escludono l’interazione umana tradizionale

Gli editori di contenuti dovrebbero avere la possibilità di specificare come le proprie opere possano essere utilizzate dagli agenti, analogamente alle direttive per i motori di ricerca. Il W3C intende studiare l’applicazione di “usage policies” e “machine‑readable licenses” per bilanciare gli interessi di creatori e di agenti.

Prossimi passi e conclusioni

Le raccomandazioni del documento di discussione saranno tradotte in task concreti per le varie working group del W3C. Tra le azioni chiave vi sono:

definire modelli di minaccia integrati per WebMCP e agenti integrati nei browser
creare linee guida per il consenso informato, inclusi limiti di spesa e meccanismi di revoca
stabilire norme per l’uso di ARIA che preservino l’accessibilità umana
elaborare protocolli di privacy per la memorizzazione e il trasferimento di dati da parte degli agenti
promuovere standard aperti che evitino lock‑in e favoriscano la interoperabilità

Il dibattito, previsto per la presentazione ufficiale del 29 ottobre, coinvolgerà sviluppatori, fornitori di IA, esperti di sicurezza e rappresentanti della comunità di utenti. L’obiettivo è garantire che l’evoluzione verso un Web “agente‑centric” mantenga i principi fondamentali di sicurezza, trasparenza e accessibilità che hanno sempre contraddistinto il Web.