La corsa al contenimento: come Microsoft e Nvidia stanno mettendo sotto chiave gli agenti AI autonomi

L'era degli agenti AI autonomi è arrivata, e con essa la domanda di sicurezza più consequenziale del decennio: come si fa a dare a un agente AI il potere di agire senza dargli il potere di distruggere? A metà del 2026, Microsoft e Nvidia hanno fornito due risposte fondamentali. Microsoft ha pubblicato un framework di contenimento a più livelli per gli agenti, lanciando al contempo il Progetto Perception, un sistema di difesa informatica autonomo. Nvidia, pochi giorni dopo un incidente di alto profilo su Hugging Face, ha formato l'Open Secure AI Alliance, una coalizione di oltre 120 membri che sta sviluppando strumenti di sicurezza open-source per gli agenti. Lo schema è chiaro: le stesse aziende che spingono l'IA verso ruoli attivi e autonomi nella difesa informatica stanno anche correndo a costruire le strutture di contenimento e governance che impediscono a questi agenti di diventare la prossima generazione di minacce alla sicurezza.

Le regole di contenimento di Microsoft per gli agenti AI autonomi

Microsoft ha pubblicato un framework di contenimento a più livelli per gli agenti AI autonomi, incentrato sul principio che gli agenti devono operare entro confini espliciti e applicabili, piuttosto che con un'autonomia senza limiti.

Meccanismi di contenimento principali divulgati nel 2026

Microsoft Execution Containers (MXC) SDK — Annunciato al Build 2026, MXC fornisce un isolamento a livello di sistema operativo per gli agenti AI su Windows, limitando ciò a cui un agente può accedere, eseguire o modificare a livello di kernel e filesystem . Questo è il nucleo primitivo di contenimento runtime di Microsoft. L'azienda posiziona Windows come il sistema operativo affidabile per gli agenti autonomi, descrivendo uno spettro di meccanismi di isolamento che vanno dall'isolamento dei processi e delle sessioni fino alle micro macchine virtuali pianificate, tutti guidati dalla policy MXC .

Difesa a strati — Il blog sulla sicurezza di Microsoft (maggio 2026) definisce quattro livelli di mitigazione: il livello del modello (dati di training, fine-tuning, comportamenti di rifiuto), livello del sistema di sicurezza (filtraggio dei contenuti in runtime, guardrail, logging, osservabilità), livello dell'applicazione (permessi, workflow, percorsi di escalation) e livello di posizionamento (documentazione sulla trasparenza e informative UX) . Un post successivo di giugno aggiunge una visione più granulare a quattro livelli: il livello del modello, il livello del sistema di sicurezza, il livello del metaprompt e del grounding, e il livello agentico (permessi d'uso degli strumenti e controlli human-in-the-loop) .

Liste di autorizzazione a livello di tenant per i server MCP — Le organizzazioni devono mantenere un elenco approvato di publisher e server del Model Context Protocol (MCP). Il catalogo MCP di Microsoft fornisce server first-party verificati, e tutti i componenti esterni sono trattati come parte della supply chain del software. La raccomandazione è di disabilitare l'opzione "Consenti tutto" sulle connessioni MCP e abilitare solo gli strumenti specifici di cui un agente ha bisogno .

Generazione di SBOM per le distribuzioni degli agenti — Un "Software Bill of Materials" (SBOM) che include le dipendenze degli strumenti, con verifica della firma e della provenienza per i server MCP prima dell'installazione. Microsoft raccomanda anche la scansione del registro per istruzioni nascoste nelle descrizioni degli strumenti, e il version pinning con monitoraggio delle modifiche per tutte le definizioni degli strumenti esterni .

Guardrail basati su policy — Oltre al monitoraggio, le organizzazioni possono applicare controlli basati su policy per stabilire cosa gli agenti possono fare, applicati tramite l'Agent 365 SDK e l'infrastruttura di policy di Windows . Il blog per sviluppatori di Microsoft afferma: "Il contenimento delimita ciò a cui gli agenti possono accedere e fare, in modo che il comportamento non deterministico non si traduca in un rischio incontrollabile" .

Governance del piano di controllo — Proprietà centralizzata, gestione del ciclo di vita delle identità e applicazione della conformità su tutti gli agenti di un'organizzazione. Il framework Azure Cloud Adoption Framework di Microsoft raccomanda di stabilire una baseline di governance e sicurezza centralizzata e applicabile, allineata con le pratiche esistenti di identità, governance dei dati e sicurezza .

Come questi indirizzano i rischi per la sicurezza

Il framework prende di mira l'intera catena di attacco: avvelenamento della supply chain (tramite liste di autorizzazione e SBOM), escalation dei privilegi (tramite isolamento MXC), esfiltrazione di dati (tramite guardrail runtime e filtraggio dei contenuti) e uso non autorizzato di strumenti (tramite controlli dei permessi e cicli human-in-the-loop) . La tassonomia di Microsoft delle modalità di guasto dopo un anno di red teaming sui sistemi agentici aggiunge un'architettura zero-trust inter-agente: per scenari ad alto rischio, l'identità dell'agente dovrebbe essere stabilita crittograficamente, non assunta dalla posizione in un workflow .

Il cambiamento industriale più ampio: difesa informatica attiva con controlli più stretti

Due grandi iniziative a metà del 2026 illustrano la svolta del settore verso l'uso di agenti AI in modo offensivo e difensivo nella cybersecurity, imponendo allo stesso tempo guardrail più severi.

Il Progetto Perception di Microsoft

Annunciato il 27 luglio 2026, il Progetto Perception è un sistema di sicurezza agentico che va oltre la generazione di avvisi per passare ad azioni automatizzate continue . Microsoft lo ha descritto come un "sistema di difesa in continuo apprendimento" in grado di "ragionare, dare priorità e agire alla velocità delle macchine mantenendo saldamente il controllo umano" .

• Implementa tre tipi di agenti specializzati — agenti rossi (che sondano come un attaccante), agenti blu (che indagano e classificano le minacce) e agenti verdi (che correggono e rafforzano) — che si coordinano lungo l'intero ciclo find-triage-fix . Gli agenti condividono informazioni attraverso workflow orchestrati, così "un risultato diventa una correzione, in modo proattivo, senza un passaggio di consegne ad ogni passo" .
• La piattaforma è costruita sul primo modello di cybersecurity interno di Microsoft, MAI-Cyber-1-Flash, che Microsoft afferma "offre prestazioni di livello mondiale al 50% del costo dei modelli leader" .
• Microsoft ha apparentemente trasferito una parte significativa delle proprie operazioni di sicurezza a questo modello di IA, riducendo i costi di calcolo di circa il 50% .
• Il Progetto Perception è entrato in anteprima pubblica il 3 agosto 2026, distribuito all'interno di Microsoft Defender . Le azioni ad alto impatto richiedono ancora l'approvazione umana .

Perché è importante: Questo è un esempio concreto di agenti AI a cui vengono assegnati ruoli attivi e autonomi nella difesa informatica: sondare i sistemi, correggere le vulnerabilità e rispondere alle minacce senza aspettare indicazioni umane. Il controllo più stretto deriva dalle regole di contenimento di cui sopra: gli agenti del Progetto Perception operano ancora all'interno dei container MXC, sotto guardrail basati su policy, con osservabilità e supervisione umana .

L'Open Secure AI Alliance (OSAA) di Nvidia

Costituita il 27 luglio 2026 — pochi giorni dopo un grave incidente su Hugging Face che ha evidenziato i rischi di perdere il controllo di agenti AI autonomi — OSAA è una coalizione industriale che sta costruendo strumenti di sicurezza open-source per gli agenti AI .

• Membri fondatori (37 organizzazioni): Microsoft, IBM, Cisco, CrowdStrike, Cloudflare, Dell, Hewlett Packard Enterprise, Linux Foundation, Hugging Face, Adobe, Capital One, Salesforce, SAP, SpaceXAI e altri . OpenAI e Google hanno scelto di non aderire .
• Crescita rapida: In una settimana, l'alleanza è cresciuta fino a oltre 120 organizzazioni membri .
• Contributi open-source chiave: Nvidia ha reso open-source il suo NOOA (Nvidia Open Omniverse Agent) research harness, disponibile su GitHub, per testare, tracciare, verificare e governare il comportamento degli agenti . L'alleanza ha anche proposto le linee guida SAFE (Shared AI Findings Exchange) tramite la Linux Foundation per la divulgazione trasparente delle vulnerabilità e la difesa coordinata .
• Ambito: Gli strumenti coprono l'intero stack di sicurezza dell'IA: identità e permessi, agent harness, guardrail runtime, osservabilità, valutazione e risposta agli incidenti .

Perché è importante: OSAA rappresenta un riconoscimento collettivo del settore che nessun singolo fornitore può proteggere da solo gli agenti autonomi. L'attenzione dell'alleanza su modelli aperti e strumenti condivisi è una deliberata alternativa agli approcci proprietari chiusi: la scommessa è che un accesso più ampio della comunità agli strumenti di sicurezza supererà gli attaccanti . Nvidia ha dichiarato: "I modelli aperti democratizzano le capacità difensive, aumentano la trasparenza per i difensori, consentono la difesa informatica proteggendo i dati e complementano i modelli chiusi all'avanguardia con controlli personalizzabili e localizzati" .

Riepilogo: La doppia tendenza

Dimensione	Microsoft	Industria (OSAA / Nvidia)
Filosofia di controllo	Contenimento a livello di OS (MXC), guardrail basati su policy, controlli sulla supply chain	Strumenti condivisi open-source, linee guida trasparenti (SAFE), difesa guidata dalla comunità
Difesa attiva	Progetto Perception: agenti rossi/blu/verdi autonomi che trovano, correggono e riparano	Agent harness aperti e guardrail runtime che consentono operazioni agentiche sicure
Rischio affrontato	Azioni non autorizzate degli agenti, esfiltrazione di dati, avvelenamento della supply chain	Perdita di controllo dell'agente, divulgazione opaca delle vulnerabilità, strumenti di sicurezza frammentati
Vincolo chiave	Gli agenti operano in container bloccati sotto policy definite dall'uomo	Baseline di sicurezza condivise e framework aperti prevengono il vendor lock-in alzando il livello minimo

Lo schema è chiaro: le stesse aziende che spingono gli agenti AI verso ruoli attivi e autonomi nella difesa informatica stanno anche correndo a costruire le strutture di contenimento e governance che impediscono a questi agenti di diventare la prossima generazione di minacce alla sicurezza.