La sfida della verifica dell’autorità nell’era degli agenti AI

Con l’aumento degli agenti di intelligenza artificiale (AI) che svolgono compiti amministrativi e completano transazioni, il modello di fiducia digitale tradizionale, che presuppone la presenza di un operatore umano dietro ogni accesso, è messo a dura prova. La crescente automazione solleva interrogativi cruciali riguardo alla verifica dell’autorità, un aspetto spesso trascurato nei sistemi di autenticazione attuali.

Tradizionalmente, i sistemi di autenticazione si concentrano sul confermare che l’utente abbia le credenziali corrette per accedere a determinati servizi. Tuttavia, non si occupano di stabilire chi ha autorizzato l’azione e quali limiti sono stati imposti a tale autorizzazione. In questo contesto, è fondamentale distinguere tra autenticazione, identità e autorità.

La questione diventa particolarmente rilevante in ambito aziendale, dove già si applicano controlli di ruolo e criteri di eleggibilità in settori come i servizi finanziari e la sanità. Tuttavia, l’infrastruttura attuale è più avanzata nella verifica dell’identità rispetto all’applicazione delle deleghe di autorità. Questo porta a un rischio significativo: un agente di AI compromesso potrebbe avere accesso a informazioni sensibili o compiere azioni dannose.

Per affrontare questa sfida, si suggerisce l’adozione del principio del minimo privilegio. Questo approccio implica che agli agenti di AI vengano conferite solo le autorizzazioni necessarie per compiti specifici, evitando accessi permanenti e illimitati. Tale strategia è fondamentale per ridurre i danni potenziali derivanti da agenti mal configurati o compromessi.

Ogni azione intrapresa da un agente AI dovrebbe poter rispondere a cinque domande chiave: chi o cosa agisce? Chi ha autorizzato l’azione? Cosa può fare l’agente? Quali vincoli sono stati imposti? L’autorità è ancora valida? Questo approccio si basa su modelli di delega “on-behalf-of” già presenti negli standard di identità.

Inoltre, strumenti come i portafogli digitali possono svolgere un ruolo cruciale, ospitando mandati verificabili meccanicamente e revocabili, affiancati da credenziali verificate di persone o organizzazioni. Questo consentirebbe una gestione più sicura e trasparente delle autorizzazioni.

È essenziale anche estendere le autorità e i framework esistenti, come il quadro di fiducia per i servizi di verifica digitale, recentemente potenziato dal Data (Use and Access) Act nel Regno Unito. Le misure suggerite includono il trasferimento della verifica dell’autorità prima che l’agente agisca, documentando chi concede i poteri e limitando l’ambito di azione. Questi passaggi sono cruciali per ridurre l’esposizione ai rischi prima che le implementazioni di agenti di AI superino i controlli progettati per governarle.