In Breve
- Qual è il principale rischio legato all'uso degli agenti AI nella sicurezza?
- Il principale rischio è che le attestazioni degli agenti AI riflettano solo un'apparenza di controllo, non la loro reale efficacia.
- Quanto tempo dedicano le organizzazioni alla compliance?
- Le organizzazioni nel Regno Unito dedicano circa 12 settimane all'anno a compiti di compliance.
- Quali sono i meccanismi suggeriti per migliorare la governance degli agenti AI?
- Meccanismi come least-privilege, permessi just-in-time e interruttori di emergenza sono suggeriti per migliorare la governance.
Negli ultimi anni, le organizzazioni hanno iniziato a fare ampio uso di agenti AI per attestare i controlli di sicurezza. Tuttavia, questo cambiamento ha messo in luce un gap significativo tra l’adozione della tecnologia e la governance necessaria per garantirne l’efficacia. Le attestazioni fornite dagli agenti AI rischiano di riflettere solo un’apparenza di controllo, piuttosto che la loro reale efficacia.
I team di sicurezza si trovano spesso a dover gestire attività di prova episodiche e manuali, con piani di risposta agli incidenti che non vengono testati e questionari fornitori che vengono compilati una sola volta e poi dimenticati. Questo porta a una situazione in cui i rischi concreti possono cambiare rapidamente, mentre le misure di sicurezza rimangono statiche.
In particolare, un recente studio ha rivelato che oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI evolvano più rapidamente di quanto i loro team possano rispondere. Inoltre, l’80% di questi professionisti dichiara di utilizzare o pianificare l’uso di agenti AI nella loro strategia di sicurezza.
Nonostante l’adozione crescente della tecnologia, il lavoro di compliance rimane prevalentemente manuale. Le organizzazioni britanniche segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori. Questo evidenzia la necessità di una governance continua e visibile per ridurre il divario esistente.
Per affrontare questa situazione, è fondamentale creare un inventario completo dei sistemi AI e delle API in uso, identificare l’AI integrata nei servizi SaaS e controllare il cosiddetto “shadow AI”. Ogni agente AI deve essere considerato come un nuovo attore con un’identità propria, accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.
Prima di implementare un agente AI, è cruciale definire quali dati può accedere, dove è necessaria l’approvazione umana e come annullare le azioni. Operazioni ad alto impatto, come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi, devono mantenere una supervisione umana significativa.
I controlli devono essere applicati continuamente attraverso meccanismi runtime come il least-privilege, permessi just-in-time, segmentazione, interruttori di emergenza e containment automatico. Questi strumenti aiutano a ridurre il raggio d’azione in caso di errore, garantendo una maggiore sicurezza.
Inoltre, l’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, accentua il rischio che la compliance si trasformi in un mero “security theatre”. L’automazione, se rimane orientata a checklist statiche, potrebbe accelerare questo fenomeno.
La risposta a questa sfida consiste nel ripensare l’obiettivo della compliance, trasformandola in una conseguenza di pratiche di sicurezza efficaci e dinamiche. È essenziale armonizzare segnali di rischio, controlli e evidenze in tempo reale per garantire una governance adeguata.
In conclusione, l’AI rappresenta sia un nuovo fattore di rischio che uno strumento per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso approvato rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono poter documentare cosa hanno accesso, perché e chi ha autorizzato le loro azioni.