La corsa al contenimento: come Microsoft e Nvidia stanno mettendo sotto chiave gli agenti AI autonomi

Difesa a strati — Il blog sulla sicurezza di Microsoft (maggio 2026) definisce quattro livelli di mitigazione: il livello del modello (dati di training, fine-tuning, comportamenti di rifiuto), livello del sistema di sicurezza (filtraggio dei contenuti in runtime, guardrail, logging, osservabilità), livello dell'applicazione (permessi, workflow, percorsi di escalation) e livello di posizionamento (documentazione sulla trasparenza e informative UX) . Un post successivo di giugno aggiunge una visione più granulare a quattro livelli: il livello del modello, il livello del sistema di sicurezza, il livello del metaprompt e del grounding, e il livello agentico (permessi d'uso degli strumenti e controlli human-in-the-loop) .

Liste di autorizzazione a livello di tenant per i server MCP — Le organizzazioni devono mantenere un elenco approvato di publisher e server del Model Context Protocol (MCP). Il catalogo MCP di Microsoft fornisce server first-party verificati, e tutti i componenti esterni sono trattati come parte della supply chain del software. La raccomandazione è di disabilitare l'opzione "Consenti tutto" sulle connessioni MCP e abilitare solo gli strumenti specifici di cui un agente ha bisogno .

Generazione di SBOM per le distribuzioni degli agenti — Un "Software Bill of Materials" (SBOM) che include le dipendenze degli strumenti, con verifica della firma e della provenienza per i server MCP prima dell'installazione. Microsoft raccomanda anche la scansione del registro per istruzioni nascoste nelle descrizioni degli strumenti, e il version pinning con monitoraggio delle modifiche per tutte le definizioni degli strumenti esterni .

Guardrail basati su policy — Oltre al monitoraggio, le organizzazioni possono applicare controlli basati su policy per stabilire cosa gli agenti possono fare, applicati tramite l'Agent 365 SDK e l'infrastruttura di policy di Windows . Il blog per sviluppatori di Microsoft afferma: "Il contenimento delimita ciò a cui gli agenti possono accedere e fare, in modo che il comportamento non deterministico non si traduca in un rischio incontrollabile" .

Governance del piano di controllo — Proprietà centralizzata, gestione del ciclo di vita delle identità e applicazione della conformità su tutti gli agenti di un'organizzazione. Il framework Azure Cloud Adoption Framework di Microsoft raccomanda di stabilire una baseline di governance e sicurezza centralizzata e applicabile, allineata con le pratiche esistenti di identità, governance dei dati e sicurezza .

Come questi indirizzano i rischi per la sicurezza

Il framework prende di mira l'intera catena di attacco: avvelenamento della supply chain (tramite liste di autorizzazione e SBOM), escalation dei privilegi (tramite isolamento MXC), esfiltrazione di dati (tramite guardrail runtime e filtraggio dei contenuti) e uso non autorizzato di strumenti (tramite controlli dei permessi e cicli human-in-the-loop) . La tassonomia di Microsoft delle modalità di guasto dopo un anno di red teaming sui sistemi agentici aggiunge un'architettura zero-trust inter-agente: per scenari ad alto rischio, l'identità dell'agente dovrebbe essere stabilita crittograficamente, non assunta dalla posizione in un workflow .

Il cambiamento industriale più ampio: difesa informatica attiva con controlli più stretti

Due grandi iniziative a metà del 2026 illustrano la svolta del settore verso l'uso di agenti AI in modo offensivo e difensivo nella cybersecurity, imponendo allo stesso tempo guardrail più severi.

Il Progetto Perception di Microsoft

Annunciato il 27 luglio 2026, il Progetto Perception è un sistema di sicurezza agentico che va oltre la generazione di avvisi per passare ad azioni automatizzate continue . Microsoft lo ha descritto come un "sistema di difesa in continuo apprendimento" in grado di "ragionare, dare priorità e agire alla velocità delle macchine mantenendo saldamente il controllo umano" .

• Implementa tre tipi di agenti specializzati — agenti rossi (che sondano come un attaccante), agenti blu (che indagano e classificano le minacce) e agenti verdi (che correggono e rafforzano) — che si coordinano lungo l'intero ciclo find-triage-fix . Gli agenti condividono informazioni attraverso workflow orchestrati, così "un risultato diventa una correzione, in modo proattivo, senza un passaggio di consegne ad ogni passo" .
• La piattaforma è costruita sul primo modello di cybersecurity interno di Microsoft, MAI-Cyber-1-Flash, che Microsoft afferma "offre prestazioni di livello mondiale al 50% del costo dei modelli leader" .
• Microsoft ha apparentemente trasferito una parte significativa delle proprie operazioni di sicurezza a questo modello di IA, riducendo i costi di calcolo di circa il 50% .
• Il Progetto Perception è entrato in anteprima pubblica il 3 agosto 2026, distribuito all'interno di Microsoft Defender . Le azioni ad alto impatto richiedono ancora l'approvazione umana .

Perché è importante: Questo è un esempio concreto di agenti AI a cui vengono assegnati ruoli attivi e autonomi nella difesa informatica: sondare i sistemi, correggere le vulnerabilità e rispondere alle minacce senza aspettare indicazioni umane. Il controllo più stretto deriva dalle regole di contenimento di cui sopra: gli agenti del Progetto Perception operano ancora all'interno dei container MXC, sotto guardrail basati su policy, con osservabilità e supervisione umana .

L'Open Secure AI Alliance (OSAA) di Nvidia

Costituita il 27 luglio 2026 — pochi giorni dopo un grave incidente su Hugging Face che ha evidenziato i rischi di perdere il controllo di agenti AI autonomi — OSAA è una coalizione industriale che sta costruendo strumenti di sicurezza open-source per gli agenti AI .

• Membri fondatori (37 organizzazioni): Microsoft, IBM, Cisco, CrowdStrike, Cloudflare, Dell, Hewlett Packard Enterprise, Linux Foundation, Hugging Face, Adobe, Capital One, Salesforce, SAP, SpaceXAI e altri . OpenAI e Google hanno scelto di non aderire .
• Crescita rapida: In una settimana, l'alleanza è cresciuta fino a oltre 120 organizzazioni membri .
• Contributi open-source chiave: Nvidia ha reso open-source il suo NOOA (Nvidia Open Omniverse Agent) research harness, disponibile su GitHub, per testare, tracciare, verificare e governare il comportamento degli agenti . L'alleanza ha anche proposto le linee guida tramite la Linux Foundation per la divulgazione trasparente delle vulnerabilità e la difesa coordinata .
• Ambito: Gli strumenti coprono l'intero stack di sicurezza dell'IA: identità e permessi, agent harness, guardrail runtime, osservabilità, valutazione e risposta agli incidenti .

Perché è importante: OSAA rappresenta un riconoscimento collettivo del settore che nessun singolo fornitore può proteggere da solo gli agenti autonomi. L'attenzione dell'alleanza su modelli aperti e strumenti condivisi è una deliberata alternativa agli approcci proprietari chiusi: la scommessa è che un accesso più ampio della comunità agli strumenti di sicurezza supererà gli attaccanti . Nvidia ha dichiarato: "I modelli aperti democratizzano le capacità difensive, aumentano la trasparenza per i difensori, consentono la difesa informatica proteggendo i dati e complementano i modelli chiusi all'avanguardia con controlli personalizzabili e localizzati" .

Riepilogo: La doppia tendenza

Lo schema è chiaro: le stesse aziende che spingono gli agenti AI verso ruoli attivi e autonomi nella difesa informatica stanno anche correndo a costruire le strutture di contenimento e governance che impediscono a questi agenti di diventare la prossima generazione di minacce alla sicurezza.