Quando l'IA agisce da sola: ci possiamo fidare dei suoi 'permessi'?

Immagina un assistente AI che non si limita a rispondere, ma prenota voli, sposta soldi o scrive codice per tuo conto. Sembra fantascienza, ma gli "agenti LLM" stanno diventando realtà: modelli linguistici che usano tool esterni per agire nel mondo reale. Qui nasce il problema: la sicurezza informatica classica è nata per programmi rigidi, dove "se clicchi A succede B". Gli agenti LLM, invece, ragionano per probabilità e linguaggio naturale: "forse l'utente intendeva A, forse B".

Uno studio recente (arXiv:2512.06914) mette nero su bianco il rischio principale: un divario tra **fiducia** e **autorizzazione**. Tendiamo a fidarci dell'agente perché "capisce" il contesto, ma i suoi permessi (cosa può fare davvero) restano statici e spesso troppo larghi. È il principio del minimo privilegio violato dall'ambiguità del linguaggio.

I ricercatori hanno costruito un modello formale per misurare questo "Trust-Authorization Gap". Lo usano come lente per classificare attacchi noti — come le *prompt injection* che dirottano l'agente, o l'abuso di tool — e difese attuali, spesso scollegate tra loro. Il risultato? Una mappa unificata che mostra dove siamo scoperti: mancano meccanismi di autorizzazione dinamici che si adattino al contesto della conversazione, e modelli di fiducia calcolabili, non solo intuitivi.

La strada indicata è chiara: servono agenti "robusti" che sappiano dire "non ho capito, non agisco" e sistemi di permessi che si restringono o allargano in tempo reale, proprio come farebbe un umano prudente. La sicurezza dell'AI non è più solo codice, è gestione dell'incertezza.

Il paper "SoK: Trust-Authorization Mismatch in LLM Agent Interactions" (arXiv:2512.06914v1) offre la prima Systematization of Knowledge (SoK) formale per la sicurezza degli agenti LLM. Il contributo centrale è la definizione del **Trust-Authorization Gap**: una discrepanza strutturale tra il *Trust Score* (valutazione probabilistica dell'affidabilità dell'agente basata su contesto, history, allineamento) e l'*Authorization Policy* (insieme statico di permessi/strumenti concessi all'agente, es. API keys, filesystem access).

Gli autori formalizzano l'interazione come una tupla \( (User, Agent, Environment, Policy) \). Dimostrano che, poiché l'agente opera in uno spazio di stati parzialmente osservabile e le sue azioni sono output stocastici di un LLM, la verifica della compliance con la Policy (Principio del Minimo Privilegio - PoLP) è indecidibile in tempo reale con metodi statici (model checking, type systems).

La tassonomia degli attacchi viene riorganizzata in tre vettori principali: 1) **Trust Manipulation** (es. Prompt Injection, Jailbreak, Context Poisoning) che alza artificialmente il Trust Score; 2) **Authorization Escalation** (es. Tool Misuse, Parameter Tampering, Confused Deputy) che sfrutta permessi eccessivi; 3) **Policy Evasion** (es. Chain-of-Thought obfuscation, Steganography) che nasconde intenti maligni al monitor.

Le difese attuali (Guardrails, Output Filters, Sandboxing) vengono classificate come *Static* (pre-deployment) o *Runtime* (post-hoc), evidenziando che nessuna chiude il gap dinamicamente. La ricerca futura indicata richiede: **Dynamic Authorization** (policy basate su attributi ABAC aggiornate per step via Trust Score), **Verifiable Reasoning** (prove formali di allineamento CoT-policy), e **Agent Intrusion Detection Systems (AIDS)** basati su anomalie comportamentali sequenziali, non solo token-level.