Nel panorama sempre più diffuso dell'intelligenza artificiale generativa, le aziende stanno implementando agenti AI autonomi per automatizzare attività complesse, dall'assistenza clienti alla gestione di dati sensibili. Tuttavia, un recente studio mette in luce una pratica allarmante: il 59% delle organizzazioni che hanno agenti AI in produzione utilizza credenziali condivise tra colleghi umani e agenti stessi. Questo significa che più utenti e processi automatizzati accedono agli stessi sistemi con le medesime password, creando un vero e proprio punto debole nella catena di sicurezza.
La ricerca, condotta su un campione di aziende che impiegano agenti AI con permessi definiti, evidenzia come solo una minoranza, circa il 15%, assegni a ciascun agente un'identità digitale univoca. La maggior parte preferisce la comodità di credenziali condivise, spesso per velocizzare l'implementazione o per mancanza di strumenti adeguati di gestione delle identità. Ma i rischi sono enormi: se un agente viene compromesso, un attaccante potrebbe muoversi lateralmente nell'infrastruttura sfruttando le stesse credenziali usate da altri agenti o da dipendenti umani.
Perché le credenziali condivise sono un pericolo
Le credenziali condivise violano il principio del minimo privilegio, secondo cui ogni entità dovrebbe avere accesso solo alle risorse strettamente necessarie. Quando più agenti e persone usano la stessa password, diventa impossibile tracciare chi ha fatto cosa, rendendo le indagini forensi un incubo. Inoltre, la rotazione delle password diventa complicata: cambiare una credenziale condivisa richiede l'aggiornamento di tutti i sistemi e gli agenti collegati, con il rischio di interruzioni operative. Gli agenti AI, a differenza degli umani, possono essere clonati o manipolati, e una singola falla può propagarsi rapidamente.
Un altro aspetto critico è la gestione dei permessi. Se un agente ha bisogno di accedere a un database, a un'API o a un servizio cloud, dovrebbe ricevere credenziali dedicate e ruoli specifici. Invece, molte aziende riutilizzano le stesse credenziali di un dipendente o di un team, amplificando l'impatto di un eventuale incidente. La mancanza di identità uniche per gli agenti impedisce anche l'audit e la conformità a normative come il GDPR, che richiedono la tracciabilità degli accessi ai dati personali.
Verso un futuro di identità dedicate
Per mitigare questi rischi, gli esperti consigliano di adottare sistemi di gestione delle identità e degli accessi (IAM) progettati anche per carichi di lavoro non umani. Soluzioni come i vault di password, i certificati a breve scadenza e l'autenticazione basata su token possono aiutare a separare le credenziali degli agenti da quelle degli esseri umani. Investire in una corretta igiene delle identità non è solo una best practice, ma una necessità per proteggere dati e infrastrutture in un'era in cui gli agenti AI diventano sempre più autonomi e interconnessi.
Il dato del 59% rappresenta un campanello d'allarme: la corsa all'adozione dell'AI non deve trascurare i fondamenti della sicurezza. Le aziende che ignorano questo aspetto rischiano violazioni devastanti, perdita di fiducia dei clienti e sanzioni normative. La strada da seguire è chiara: ogni agente deve avere la propria identità, i propri permessi e le proprie credenziali, in modo da contenere i danni e garantire un ecosistema digitale più resiliente.
