Air ha organizzato un test per dimostrare i rischi legati all’utilizzo di agenti IA in ambienti aziendali. L’azienda ha sviluppato una skill apparentemente innocua destinata ai sistemi di Intelligenza Artificiale, installata da oltre 26 000 utenti. Secondo i dati svelati, l’esperimento ha evidenziato come nemmeno gli strumenti di sicurezza moderni siano in grado di rilevare un potenziale rischio fino a quando non entra in funzione.

Il test mirava a valutare quanto fosse facile nascondere un payload dannoso all’interno di una skill apparentemente legittima. La società ha sottolineato che non sono stati danneggiati agenti IA durante l’esperimento, ma la competenza sviluppata avrebbe potuto in teoria accedere a conversazioni private o sistemi sensibili. La skill ha richiesto agli agenti di configurare un SDK Stitch in base alle istruzioni presenti su un dominio falso, che in realtà non apparteneva alla versione ufficiale di Google.

Il metodo: credibilità e bypassare gli scanner

Air ha affermato di aver utilizzato una piattaforma di riferimento molto nota e riconosciuta in ambito open source per pubblicare la skill, con migliaia di stelle su GitHub. La strategia includeva l’uso di una comunità preesistente per acquisire credibilità e velocizzare il processo di approvazione. Dopo aver inserito la skill in un repository GitHub popolare, è stato creato un pull request che è stato approvato in pochi giorni. Per aumentare l’interesse, è stato distribuito un annuncio su Instagram con l’obiettivo di spingere gli utenti ad installare e utilizzare la skill.

Una volta installata, la skill richiedeva agli agenti di eseguire un file di installazione collegato a un URL controllato da Air. Il problema principale risiede nel fatto che nessun scanner di sicurezza ha rilevato l’inganno: Cisco, Nvidia e skills.sh hanno tutti categorizzato la skill come sicura. Questo evidenzia un’enorme falla nell'approccio attuale, in base al quale vengono analizzati solo i file inviati, e non il comportamento potenzialmente dinamico.

La skill falsificata includeva un link all’installazione di un SDK, che in realtà non era ufficiale. Una volta cliccato, il dominio falso era stato configurato per ridirezionare gli utenti verso un sito ufficiale uguale all’originale in ogni dettaglio, rendendo ardua la sua individuazione senza una valutazione manuale estesa. Questo dimostra l’efficacia di un test che esponga le debolezze attuali dell’approccio di scansione statica.

Un problema di sicurezza e gestione delle dipendenze

Secondo Devashri Datta, esperta in cybersicurezza, la questione non riguarda solamente l’approvazione iniziale, ma anche la gestione dinamica e il comportamento delle skill dopo l’installazione. L’utilizzo di skill come componenti di sistema, piuttosto che semplici script o testi, richiede un’analisi simile a quella fatta per librerie open source o integrazioni SaaS. “Le competenze non esistono in modo isolato,” ha affermato Datta. “Dovranno essere integrate nel ciclo di sviluppo aziendale.”

Keith Prabhu, fondatore di Confidis, ha sottolineato che le skill per agenti IA andrebbero trattate come dipendenze “terze dinamiche”, richiedendo controllable in tempo reale e validazioni cicliche. Un controllo una tantum non è sufficiente. Le aziende devono adottare una strategia di verifica continua e implementare controlli rigorosi per limitare l’uso di skill esterne non approvate. “Una volta che una skill è riconosciuta come legittima, il comportamento può essere facilmente alterato,” ha commentato Prabhu.

Raccomandazioni per le aziende

Gli esperti raccomandano di adottare una serie di misure immediate per migliorare la protezione. Prima di tutto, le aziende dovrebbero creare un elenco completo delle skill utilizzate dagli agenti, comprese le competenze esterne, per gestire rischi e responsabilità. L’uso di marketplace approvati e l’installazione solo di competenze pre-approvate sono fondamentali. Inoltre, le URL esterne utilizzate devono essere verificate e i comportamenti testati in ambiente chiuso, come un bac à sable, prima del loro utilizzo.

Limitare l'accesso alle competenze installabili da mercati non ufficiali;
Approvare solo competenze verificate;
Validare URL e testare il comportamento delle competenze;
Filtrare il traffico di rete per rilevare eventuali attacchi post-installazione.

La visione futura: cyber-resilienza e controllo dinamico

L’esperimento di Air mostra che i tradizionali metodi di controllo non sono più efficaci per ambienti orchestrati da modelli di linguaggio su larga scala. Per fronteggiare minacce simili, le aziende saranno obbligate a adottare una prospettiva di cyber-resilienza più avanzata. La sicurezza non dovrà consistere solo in un’analisi statica, ma dovrà anche comprendere strumenti di rilevamento in tempo reale, con un controllo continuo.

Benché Air abbia spiegato che il test abbia raccolto solo gli indirizzi email degli utenti per informarli del rischio, un approccio simile potrebbe facilmente essere utilizzato da entità malintenzionate per ottenere informazioni sensibili. Per questa ragione, è fondamentale che le aziende adottino un piano di gestione delle competenze IA che includa un inventario costante, criteri rigorosi di approvazione e controlli in tempo reale in ogni fase di utilizzo.

In sintesi, il mondo delle competenze agenti IA richiede un ripensamento radicale in termini di sicurezza. Il passo successivo per le aziende sarà integrare queste competenze nel processo organizzativo e tecnico, garantendo che non siano trattate come componenti isolati, ma como parte essenziale di una infrastruttura interconnessa dove la protezione è un obiettivo condiviso. Solo in questo modo si può rispondere efficacemente ai nuovi rischi che la tecnologia comporta.