Microsoft: agenti IA come minacce interne, permessi dinamici

Microsoft ha presentato una serie di controlli per sorvegliare e limitare gli agenti di intelligenza artificiale che le aziende fanno girare al proprio interno. L’idea di fondo, riportata da Help Net Security, Security Affairs e SecurityWeek, è trattare gli agenti come possibili minacce interne e non come software di cui fidarsi per definizione. Secondo SecurityWeek l’annuncio è di lunedì 19 ottobre 2026.

Le novità estendono Project Perception, il sistema di sicurezza «agentico» che Microsoft, secondo SecurityWeek, aveva lanciato a luglio contro gli attacchi condotti con l’IA dall’esterno e che ora viene applicato anche agli agenti interni.

Perché «minaccia interna»

Microsoft precisa che l’etichetta non significa che gli agenti siano malevoli. Nadim Abdo, vicepresidente per identità e accesso alla rete, spiega che sono strumenti capaci, a cui gli utenti concedono accesso a sistemi importanti, e che possono sbagliare, essere manipolati o essere compromessi. Hayete Gallot, vicepresidente esecutiva di Microsoft Security, aggiunge che spesso gli agenti hanno più privilegi del necessario e prendono decisioni dentro processi critici.

Il punto tecnico, sottolineato da Security Affairs, è che un agente partito con i permessi giusti può diventare pericoloso durante l’esecuzione: un’istruzione nascosta in un documento esterno (prompt injection), dati non affidabili che ne spostano il ragionamento, un compito che evolve in modo imprevisto. Non serve una compromissione nel senso classico, e alla velocità di una macchina il tempo tra la deriva e il danno è molto breve. Per questo Microsoft propone di circondare un sistema non deterministico con controlli deterministici, che stanno fuori dal modello e che il modello non può modificare, su identità, permessi, dati, endpoint, rete, cloud e ambienti di esecuzione.

Inventario e identità degli agenti

• Scoperta: Microsoft Security riconosce altri 35 tipi di agenti locali, per un totale di 60, tra cui Claude Code, OpenAI Codex e GitHub Copilot. Gli agenti trovati si portano in un registro unico, condiviso con Microsoft Agent 365, il piano di controllo per distribuire e governare gli agenti, con proprietario, attività e rischio.
• Identità: Microsoft Entra Agent ID si estende ad altri tipi di agenti, compresi quelli locali e quelli sconosciuti trovati dai sensori. Ogni agente ha un’identità distinta da quella della persona che lo usa o lo ha voluto, così da separare le azioni dell’utente da quelle compiute dall’agente per suo conto. Secondo Help Net Security, un agente può diventare oggetto di policy anche se non era integrato con i prodotti di sicurezza di Microsoft.

Help Net Security riporta anche la necessità di controllare le connessioni degli agenti verso strumenti, API, server MCP (Model Context Protocol), dati e altri agenti, esaminando sia le destinazioni sia il contenuto scambiato: dati sensibili e istruzioni non affidabili.

Permessi dinamici e rischio continuo

• Dynamic Permissions: l’agente parte senza permessi, o con il minimo, e riceve solo l’autorità necessaria per il compito approvato e per la sua durata. I permessi si riducono o scadono quando il compito cambia o finisce, l’agente non può ottenere più autorità del suo utente e le azioni a impatto elevato possono richiedere l’approvazione verificata di una persona. Il dipendente mantiene i suoi accessi.
• Dynamic Agent Risk: un punteggio aggiornato di continuo, che combina segnali di identità, dati, endpoint, cloud, rete, runtime e attività dell’agente. Tiene conto della configurazione, delle risorse raggiungibili, del danno possibile e dei segnali di deriva rispetto all’intento dell’utente o dell’organizzazione.
• Dynamic Conditional Access: porta il Conditional Access di Entra agli agenti. In base al rischio la risposta è graduale: lettura consentita e scrittura bloccata, meno dati e risorse raggiungibili, connessioni di rete ristrette, accessi temporanei accorciati o revocati, approvazione umana. Ai livelli più alti, isolamento del runtime o arresto dell’esecuzione.

L’esempio di Microsoft: un agente che elabora note spese incontra istruzioni sospette e tenta un’azione estranea al compito. Il sistema gli toglie il permesso di approvare le spese ma gli lascia quello di esaminarle; se il rischio cresce ancora, lo isola o lo ferma.

Guardian Agents e Playbooks

Per gestire i volumi (Microsoft dice di avere già al proprio interno centinaia di migliaia di agenti), arrivano i Playbooks, che definiscono il risultato di sicurezza da ottenere, e i Guardian Agents, agenti di sicurezza che indagano sul perché il rischio di un agente è cambiato, propongono o applicano il contenimento e usano quanto imparano per rafforzare le policy. Le persone fissano obiettivi, regole e soglie di approvazione.

Security Affairs fa notare il limite evidente: anche i Guardian Agents sono agenti IA e possono sbagliare o essere manipolati come quelli che controllano. Microsoft risponde che i controlli devono restare fuori dal modello; come garantirlo nella pratica resta da verificare sul campo. Le fonti non indicano date di disponibilità, licenze o lo stato (anteprima o disponibilità generale) delle singole funzioni.

Impatto per le aziende europee e italiane

Non si tratta di una vulnerabilità ma di un modello di controllo, che vale anche per chi non usa i prodotti Microsoft. Un agente con credenziali aziendali è, di fatto, un account con privilegi: se viene manipolato agisce con accessi legittimi, lo stesso schema degli account validi (MITRE ATT&CK T1078) che rende difficili da rilevare molte intrusioni. Per i soggetti NIS2, gli agenti rientrano nelle misure dell’articolo 21 su gestione degli asset, controllo degli accessi e sicurezza della catena di fornitura; nella sanità, dove gli agenti possono toccare dati clinici, separare lettura e scrittura e chiedere l’approvazione umana per le azioni irreversibili è ancora più importante.

Cosa fare subito

1. Censisci gli agenti, compresi quelli locali sulle postazioni degli sviluppatori (agenti di programmazione come quelli citati), con le credenziali e i token che usano.
2. Dai a ogni agente un’identità propria, invece di fargli usare la sessione o i token dell’utente, con permessi minimi e di breve durata.
3. Separa lettura e scrittura e chiedi l’approvazione di una persona per cancellazioni, pagamenti, rilasci in produzione e modifiche agli account.
4. Limita le connessioni: server MCP, API e destinazioni di rete consentite; tratta ogni contenuto esterno letto dall’agente come non affidabile.
5. Registra le azioni degli agenti in un archivio centrale, definisci allarmi per comportamenti fuori dal compito e prevedi un modo per fermarli subito.
6. Se usi Entra e Microsoft 365, verifica con Microsoft disponibilità e licenze di Entra Agent ID, Agent 365 e delle nuove funzioni prima di pianificarne l’adozione.

Come aiuta ARXDOME

L’agent di ARX Sentry, su Windows, Linux e macOS, raccoglie l’inventario di software, processi e porte e i log di sicurezza delle macchine: aiuta a scoprire quali agenti IA girano davvero sulle postazioni. Le pagine SOC dedicate alle identità mostrano accessi privilegiati, raffiche di tentativi e modifiche agli account. Se una macchina si comporta in modo sospetto, ARX Shield permette di isolarla dalla rete con un clic e di rilasciarla in modo controllato.

Ultimo aggiornamento: 20 ottobre 2026