I rischi legati all’IA, con la crescente diffusione dell’IA agentica non riguardano più solo ciò che un modello può generare, ma anche le azioni che è in grado di compiere.

Di fatto, OWASP (Open Worldwide Application Security Project) – fondazione senza scopo di lucro che fornisce risorse, strumenti e standard gratuiti per la sicurezza delle applicazioni web – ha rilasciato lo scorso dicembre 2025 la guida dal titolo “Top 10 OWASP for Agentic Applications 2026 ” che spiega come l’IA agentica sia in grado di introdurre un insieme di rischi operativi che richiedono nuovi modi di pensare alla governance, alla visibilità ed al controllo, oltre a fornire indicazioni per ridurre i rischi dell’IA agentica e supportare implementazioni sicure e affidabili.

Che cos’è l’IA agentica e in cosa differisce dall’ IA generativa

L’IA agentica comprende sistemi autonomi capaci di pianificare, prendere decisioni ed eseguire azioni articolate su più fasi, gestendo flussi di lavoro complessi con un intervento umano minimo.

L’IA generativa, al contrario, si limita a rispondere a un prompt producendo contenuti, senza la capacità di agire nel mondo reale o di interagire con strumenti e sistemi. Gli agenti AI, invece, possono eseguire azioni reali e orchestrare processi endtoend.

La guida “Top 10 OWASP Agentic Applications 2026”: a cosa serve?

Gli agenti IA, come accennato, operano attraverso pipeline multifase: accedono a dati, “invocano” strumenti, mantengono stati persistenti in memoria ed eseguono azioni autonome all’interno di ambienti aziendali. Di fatto essi operano in contesti dinamici, prendendo decisioni probabilistiche che si evolvono nel tempo e adattano il proprio comportamento in funzione del contesto operativo.

Tale capacità di agire in autonomia modifica profondamente il perimetro del rischio: non è più sufficiente valutare se l’output generato sia corretto o sicuro. Il vero fattore critico diventa garantire che l’agente mantenga un comportamento allineato allo scopo previsto, man mano che le condizioni cambiano. Ovvero, la capacità di un agente di concatenare azioni e operare autonomamente comporta, ad esempio, che una vulnerabilità minore – come una semplice iniezione prompt – possa rapidamente sfociare in una compromissione a livello di sistema, in un’esfiltrazione dati o in una perdita finanziaria. La sfida della sicurezza riguarda, quindi, la sicurezza di un flusso di lavoro complesso, dinamico e spesso imprevedibile.

In questo contesto, nasce la decisione del progetto OWASP GenAI Security di pubblicare una Top 10 specificamente dedicata alle applicazioni agentiche, che identifica i rischi più critici a cui sono sottoposti i sistemi di IA ed offre ai team di sicurezza un quadro strutturato, coerente con il modo in cui l’intelligenza artificiale è oggi realmente operativa all’interno delle organizzazioni.

I progetti “Top 10” di OWASP rappresentano da oltre vent’anni un riferimento consolidato nel panorama della sicurezza del software, aiutando le organizzazioni a individuare e a comprendere le principali classi di minacce per specifiche tipologie di sistemi: a partire dalla OWASP Top 10 per le Web Application – flagship project da cui il percorso ha avuto origine – il modello è stato esteso, nel tempo, alle API, alle applicazioni mobile e, più recentemente, ai sistemi basati su LLM e alle architetture agentiche.

La sicurezza deve seguire il ciclo di vita dell’agente

La pubblicazione di OWSAP evidenzia che la sicurezza degli agenti non può essere gestita attraverso un singolo controllo, uno strumento isolato o un semplice checkpoint: deve invece essere affrontata come un tema che attraversa l’intero ciclo di vita dell’agente. Le considerazioni di sicurezza, infatti, iniziano già nel momento in cui un’organizzazione definisce il ruolo e gli obiettivi dell’agente. Di conseguenza, le decisioni relative al perimetro operativo, al livello di autonomia e ai privilegi di accesso determinano il profilo di rischio ben prima della fase di implementazione, influenzando direttamente progettazione e sviluppo.

È in queste fasi che vengono stabiliti i confini identitari dell’agente, i permessi degli strumenti a sua disposizione, i meccanismi di delega e la gestione della memoria, costituendo la base per una sicurezza coerente e robusta lungo tutto il suo funzionamento.

Inoltre, è importante ricordare che gli agenti IA operano in modo continuativo, interagendo con sistemi e utenti in modalità che non possono essere pienamente anticipate. Per questo motivo è essenziale garantire una visibilità costante su come gli agenti ragionano, quali risorse utilizzano e quali azioni compiono negli ambienti reali.

Ancora, i controlli focalizzati su un singolo livello — come la validazione dei prompt o la gestione dei permessi — risultano insufficienti, perché non considerano come i rischi emergano mentre gli agenti pianificano, interagiscono ed eseguono azioni concatenate tra diversi sistemi. Ciò può portarli a sfruttare strumenti legittimi, operare con privilegi eccessivi, mantenere in memoria informazioni alterate (poisoned memory) e, altresì, generare guasti a cascata prima ancora che sia evidente il verificarsi di un’anomalia.

Pertanto, è indispensabile adottare un modello di difesa che accompagni l’intero ciclo di vita dell’agente, introducendo controlli e barriere che partono dalle scelte di progettazione iniziali e si estendono fino al comportamento in fase di esecuzione. Allo stesso tempo, i team di sicurezza devono poter contare, non solo su una comprensione chiara delle capacità potenziali degli agenti, ma anche su una visibilità continua – e in tempo reale – delle azioni che essi compiono durante la loro operatività.

Come utilizzare la “Top 10 OWASP Agentic Applications 2026”

La pubblicazione di OWSAP introduce un vocabolario condiviso che consente ai team di sicurezza di allinearsi su come i sistemi agentici si differenzino dalle precedenti architetture di IA.

Inoltre, favorisce una modellazione delle minacce più efficace, permettendo di mappare i casi d’uso degli agenti rispetto a categorie di rischio consolidate sin dalle prime fasi del ciclo di vita.

Ancora, sposta il focus delle discussioni dall’opportunità di adottare agenti AI al modo in cui questi possono essere impiegati in modo responsabile.

Infine, fornisce anche un linguaggio chiaro per spiegare perché i controlli tradizionali possano risultare insufficienti quando applicati ai sistemi agentici e dove siano necessarie maggiore visibilità e governance.

Di seguito un’analisi approfondita dei 10 principali rischi (ASI01 – ASI10) e come mitigarli.

ASI01 – Dirottamento del comportamento dell’agente (Agent Goal Hijack)

La vulnerabilità – Un aggressore può prendere il controllo del processo decisionale dell’agente, trasformandolo di fatto in un’entità ostile. Si tratta dell’exploit più critico possibile: la capacità dell’agente viene completamente ribaltata e utilizzata contro il suo stesso proprietario.

Mitigazione –È necessario: implementare rigidi vincoli operativi e barriere di sicurezza; monitorare costantemente il comportamento dell’agente per rilevare anomalie e deviazioni dallo scopo previsto; trattare la logica di base dell’agente come codice privilegiato.

ASI02 – Uso improprio e sfruttamento degli strumenti

La vulnerabilità – Gli aggressori manipolano le istruzioni dell’agente tramite input dannosi. Ciò può essere fatto direttamente o indirettamente, nascondendo prompt dannosi nei dati che l’agente elaborerà, come e-mail o documenti.

Mitigazione – È necessario: limitare ogni strumento alle azioni e permessi minimi richiesti, prevenendo di default operazioni ad alto impatto; trattare tutti gli input esterni come potenzialmente non attendibili; applicare rigorosi meccanismi di validazione e sanificazione dei dati; evitare che l’input dell’utente si mescoli con i prompt di sistema o con le istruzioni del backend, mantenendo una chiara separazione tra i diversi livelli di comando; eseguire azioni di strumento in ambienti isolati (sandboxing) per limitare il raggio di esplosione se uno strumento viene usato in modo improprio..

ASI03: -Abuso di identità e privilegi

Vulnerabilità – L’agente dispone di accesso a diversi strumenti — come API, database e altri servizi — e un attaccante può manipolarne il comportamento, inducendolo a utilizzare tali strumenti per scopi non previsti, sfruttandone le capacità ben oltre il perimetro operativo autorizzato.

Mitigazione – È necessario: applicare rigorosamente il principio del privilegio minimo e ogni strumento deve disporre esclusivamente dei permessi strettamente indispensabili alla propria funzione; richiedere una conferma esplicita da parte dell’utente per tutte le azioni a elevato impatto o potenziale rischio, così da prevenire esecuzioni non intenzionali o potenzialmente dannose; usare credenziali di breve durata, specifiche per il compito, invece di token privilegiati di lunga durata.

ASI04 – Vulnerabilità della catena di approvvigionamento agentica

Vulnerabilità – SI tratta di un rischio molto simile agli attacchi tradizionali nella supply chain, dove dipendenze di terze parti come pacchetti NPM (Node Package Manager) o script CI/CD (Continuous Integration/Continuous Deployment) vengono compromesse. Invece di limitarsi a librerie o pipeline di build, gli agenti dipendono da plugin, API esterne, modelli, sistemi di recupero (RAG – Retrieval-Augmented Generation) e template di prompt che, se compromessi possono compromettere l’intero agente. Di fatto, gli agenti utilizzano strumenti, plugin e API di terze parti e, se uno di questi viene compromesso o risulta malevolo, l’agente si fiderà e li utilizzerà, creando vulnerabilità nella supply chain.

Mitigazione: – È necessario: verificare attentamente tutti i componenti, evitando l’uso di elementi non firmati o privi di adeguata validazione; mantenere uno SBOM (Software Bill of Materials) aggiornato; applicare meccanismi di sandboxing per isolare plugin e strumenti esterni dalle risorse di sistema e da componenti critici; introdurre kill switch dedicati alla supply chain per interrompere rapidamente l’utilizzo di componenti compromessi o sospetti.

ASI05 – Esecuzione inaspettata del codice

Vulnerabilità – I sistemi agentici sono progettati per generare ed eseguire codice al fine di completare le azioni previste. L’esecuzione inaspettata del codice si verifica quando l’agente esegue istruzioni che gli sviluppatori non avevano esplicitamente previsto. Ciò può accadere perché l’agente è in grado di ragionare, produrre codice ed eseguire autonomamente operazioni basate sui prompt forniti dall’utente, ampliando in modo significativo il potenziale vettore d’attacco.

Mitigazione – È necessario: eseguire gli agenti in ambienti rigorosamente sandbox; utilizzare framework di policy e validatori per verificare il codice generato e le chiamate agli strumenti rispetto alle regole di sicurezza prima della loro esecuzione, bloccando automaticamente tutto ciò che non rispetta le policy definite; consentire esclusivamente comandi, API e librerie esplicitamente approvati per ciascuno strumento; richiedere un’approvazione manuale per tutte le operazioni distruttive o sensibili, quali modifiche all’infrastruttura o comandi a livello di sistema.

ASI06 – Avvelenamento di memoria e contesto

La vulnerabilità- I sistemi agentici fanno ampio affidamento sul contesto derivato dalla cronologia delle interazioni, dalla memoria persistente, dai documenti recuperati tramite RAG, dagli output degli strumenti e dalle decisioni precedenti.

Quando un attaccante riesce a inserire contenuti dannosi o fuorvianti in una di queste fonti, l’agente può interpretarli come informazioni attendibili e basare su di essi il proprio processo decisionale, compromettendo la qualità del contesto, oltre a influenzare in modo significativo le decisioni e le azioni future dell’agente.

Mitigazione – – È necessario: sanificare il contesto rimuovendo istruzioni nascoste, direttive o schemi sospetti prima di memorizzare o utilizzare il contesto per ragionare; consentire solo di memorizzare contenuti affidabili, verificati o approvati dalla politica nella memoria a lungo termine; evitare di salvare le istruzioni utente grezze; consentire il recupero e gli aggiornamenti della memoria solo da fonti firmate, verificate e controllate ad accesso, come repository RAG approvati o sistemi interni; monitorare continuamente la memoria memorizzata per rilevare cambiamenti anomali, istruzioni impreviste o violazioni delle policy.

ASI07 – Comunicazione inter-agente insicura

La vulnerabilità – Nelle infrastrutture agentiche moderne, i compiti complessi sono spesso gestiti da più agenti che lavorano insieme. Di default, gli agenti tendono a considerare attendibile la fonte dei messaggi ricevuti, i quali possono contenere comandi altamente privilegiati, chiavi API o dati sensibili. Pertanto, è necessario assicurarsi che ogni agente sia adeguatamente verificato e sicuro.

Inoltre, se i messaggi inter-agente vengono falsificati o riprodotti, gli attaccanti possono alterare i flussi di lavoro e persino eseguire attacchi coordinati multi-agente, amplificando in modo significativo l’impatto derivante dalla compromissione anche di un solo agente.

Mitigazione – È necessario: autenticare e autorizzare rigorosamente tutti gli agenti, ovvero, ogni messaggio deve essere firmato e verificato crittograficamente; cifrare il traffico interagente; consentire la comunicazione consentita esclusivamente tra agenti approvati, impedendo a entità sconosciute o non verificate di inserirsi nei flussi di lavoro; includere nonces e timestamp nelle istruzioni, così da prevenire modifiche, replay o riutilizzi dei messaggi.

ASI08 – Guasti a cascata

Vulnerabilità – I sistemi di IA agentica raramente operano in modo isolato: nella maggior parte dei casi, più agenti collaborano tra loro e l’output di ciascuno diventa l’input per gli altri. Di conseguenza, se anche un solo output risulta compromesso, l’errore può propagarsi lungo la catena, generando effetti a cascata e impattando l’intero ecosistema multiagente.

Mitigazione – È necessario: considerare l’output di ogni agente come input non affidabile prima di trasferirlo a un altro agente; separare gli agenti per dominio aziendale (ad esempio Finanza, Operations, HR) per evitare che un guasto o una compromissione in un ambito possa propagarsi ad altri; rilevare e bloccare eventuali cicli ricorsivi tra agenti, in cui gli output generano o amplificano continuamente decisioni errate.

ASI09: Sfruttamento della fiducia tra agenti umani e agenti

Vulnerabilità – Il rischio si manifesta quando gli esseri umani ripongono un’eccessiva fiducia nelle decisioni dell’agente, permettendogli di influenzare o addirittura bypassare il giudizio umano. In questo scenario, l’attacco non deriva da una compromissione tecnica del sistema, ma dal fatto che gli utenti accettano in modo acritico le raccomandazioni dell’agente, affidandogli decisioni che richiederebbero invece supervisione e valutazione umana. Il problema non è l’errore umano in sé, ma la progettazione di sistemi che incentivano l’automazione acritica e riducono la capacità dell’utente di esercitare un controllo consapevole.

Mitigazione – È necessario: garantire output trasparente, assicurandosi che tutte le azioni degli agenti siano spiegabili e verificabili; progettare interfacce che incoraggino la revisione e la valutazione critica attraverso, ad esempio, pannelli di evidenze, viste comparative e opzioni di rifiuto o segnalazione; richiedere agli esseri umani di esaminare attivamente input e prove a supporto, anziché limitarsi ad approvare passivamente i risultati generati dall’agente.

ASI10: Agenti ribelli (Rogue Agents)

La vulnerabilità – Il rischio si manifesta quando un agente IA opera al di fuori del suo ambito, delle politiche o dei meccanismi di controllo previsti, agendo in modo indipendente e secondo modalità che sviluppatori o operatori non hanno autorizzato. È dovuto anche alla perdita di controllo sull’autonomia dell’agente.

Mitigazione – È necessario: validare continuamente e in tempo reale le azioni degli agenti rispetto alle regole di sicurezza, di conformità ed aziendali.; assicurarsi di resettare regolarmente gli obiettivi, il contesto e le politiche dell’agente per prevenire la deriva a lungo termine; monitorare il comportamento per rilevare la deriva degli obiettivi, schemi anomali o azioni al di fuori delle linee di base attese; prevedere un interruttore di spegnimento che possa mettere immediatamente in pausa o terminare l’attività dell’agente, quando vengono rilevati comportamenti non sicuri; impiegare un agente indipendente per monitorare le decisioni e le azioni degli altri agenti, segnalare deviazioni e intervenire quando il comportamento si allontana dagli obiettivi previsti.

Nota – Si rimanda alla pubblicazione di OWSAP per maggiori dettagli sui rischi, esempi, azioni di mitigazione e altra documentazione di riferimento.

Inoltre, per una gestione efficace e sicura delle applicazioni di IA agentica, è consigliabile adottare un approccio strutturato che includa:

• Modellare le minacce in ogni fase – Utilizzare la Top 10 ASI come riferimento per identificare e modellare i rischi in ciascun sistema agentico sin dalle prime fasi di progettazione.
• Applicare rigorosamente il principio del privilegio minimo – Concedere agli agenti solo le autorizzazioni e l’accesso strettamente necessari agli strumenti richiesti per svolgere le loro funzioni, evitando qualsiasi privilegio superfluo.
• Isolare gli agenti attraverso sandbox dedicate – Evitare di eseguire agenti in ambienti ad alta attendibilità. Ogni agente dovrebbe operare all’interno di una sandbox containerizzata, dotata di controlli stringenti a livello di rete e file system.
• Registrare ogni attività critica – Ogni decisione, ogni invocazione di strumenti e ogni output deve essere registrato, poiché la visibilità delle operazioni è un prerequisito essenziale per garantire un livello di sicurezza adeguato e la possibilità di individuare anomalie o compromissioni.

Conclusione

In un contesto in cui il panorama delle minacce legate all’IA agentica evolve rapidamente, è fondamentale riconoscere che il documento OWASP rappresenta un quadro di riferimento dinamico, destinato ad aggiornarsi insieme alle tecnologie e ai rischi emergenti. Per questo motivo, solo una vigilanza costante, un apprendimento continuo e una partecipazione attiva alla community della sicurezza possono garantire una protezione efficace e duratura.

Dobbiamo prendere atto che l’IA agentica è destinata a trasformare in profondità i settori industriali e i processi aziendali, ma questa evoluzione può avvenire in modo sostenibile solo adottando un approccio alla sicurezza rigoroso, proattivo e strutturato lungo l’intero ciclo di vita degli agenti. Solo così sarà possibile sfruttarne appieno il potenziale, preservando al contempo l’affidabilità, l’integrità e la sicurezza dei sistemi.

Come afferma Davide Ariu di Pluribus One -società italiana attiva nell’ambito della sicurezza del software, di cui è CEO e co-founder, nonché co-chair di OWASP Italy – “l’AI agentica consente di portare le capacità di automazione e di decisione proprie dell’intelligenza artificiale direttamente a livello operativo, attraverso insiemi di agenti altamente specializzati, ciascuno focalizzato su compiti e processi ben definiti. A differenza dei modelli generalisti tipici degli hyperscaler, questo approccio riduce la generalità non necessaria e tende a essere più efficiente nell’uso delle risorse a parità di valore generato, perché concentra il calcolo sugli obiettivi concreti del dominio applicativo”.

È doveroso evidenziare, come Davide Ariu aggiunge, che: “La natura modulare dell’AI agentica favorisce un’adozione progressiva e governabile dell’IA nelle aziende, consentendo di introdurre l’AI in modo incrementale, misurabile e coerente con i vincoli organizzativi, tecnologici e normativi. Proprio perché le architetture ad agenti sono per loro natura distribuite e introducono nuove superfici di interazione e autonomia decisionale, esse richiedono un presidio di sicurezza ancora più attento, rendendo fondamentale che progettazione, implementazione e utilizzo degli agenti avvengano fin dall’inizio all’interno di processi security-by-design; in questo contesto, le iniziative promosse sotto il cappello della OWASP Foundation rappresentano un contributo rilevante per guidare un’adozione dell’AI agentica solida, consapevole e governabile”.

Si è da poco conclusa la terza edizione della CYBSEC EXPO a Piacenza. Guarda il recap finale della fiera!