Aaron Fulkerson, amministratore delegato di OPAQUE – serie di interviste

Aaron Fulkerson, amministratore delegato di OPAQUE, è un imprenditore di lungo corso nel software aziendale e un pioniere dell’open source. Da oltre due decenni costruisce e sviluppa su larga scala piattaforme tecnologiche incentrate su fiducia, dati e trasformazione digitale. Prima di entrare in OPAQUE nel 2023, ha fondato MindTouch e ha contribuito a trasformarla in una piattaforma per la gestione della conoscenza ampiamente adottata dalle imprese, prima dell’acquisizione da parte di NICE Systems. Successivamente ha guidato il lancio di ServiceNow Impact, una delle unità di business dalla crescita più rapida nella storia di ServiceNow. Nel corso della carriera Fulkerson ha lavorato all’incrocio fra tecnologie emergenti, software aziendale ed ecosistemi aperti, fornendo anche consulenza a diverse startup tecnologiche e organizzazioni. Più recentemente è diventato un importante sostenitore della Confidential AI, ossia l’AI che tutela la riservatezza dei dati. Sostiene che privacy, governance e fiducia verificabile saranno requisiti fondamentali man mano che i sistemi AI entreranno nei processi aziendali critici.

OPAQUE è un’azienda di Confidential AI nata dal rinomato RISELab della UC Berkeley, lo stesso ecosistema di ricerca che ha contribuito alla nascita di tecnologie come Apache Spark e Databricks. Ha sviluppato una piattaforma che permette alle imprese di eseguire modelli AI, agenti e flussi di lavoro su dati altamente sensibili mantenendo garanzie di privacy e conformità verificabili crittograficamente. Anziché costringere le organizzazioni a scegliere fra innovazione AI e sicurezza dei dati, OPAQUE usa il confidential computing, ambienti di esecuzione cifrati ed esecuzione con attestazione hardware per proteggere le informazioni sensibili prima, durante e dopo l’elaborazione AI. La tecnologia è pensata per settori fortemente regolamentati, fra cui finanza, assicurazioni, sanità e alta tecnologia. Fra clienti e partner figurano ServiceNow (NOW ), Anthropic, Accenture e altre imprese che vogliono portare i progetti AI dalla fase pilota alla produzione senza esporre dati proprietari o soggetti a regolamentazione.

Nel corso della tua carriera hai costruito e sviluppato su larga scala diverse piattaforme aziendali. Che cosa ti ha spinto a diventare amministratore delegato di OPAQUE e a dedicare il prossimo capitolo a fiducia, privacy e governance dell’AI?

Ho trascorso quasi due decenni a costruire piattaforme aziendali, prima in MindTouch, che è ancora utilizzata da un miliardo di utenti all’anno, e poi in ServiceNow, dove ho creato il loro prodotto dalla crescita più rapida. Entrambe le esperienze mi hanno insegnato la stessa cosa: anche la tecnologia più potente vince solo quando le persone si fidano.

Quando ho incontrato i cofondatori di OPAQUE, Raluca Ada Popa, Ion Stoica e Rishabh Poddar, ho visto una rara combinazione di talento e visione. Raluca è una delle ricercatrici più autorevoli al mondo nel campo della privacy e della sicurezza. Ion ha cofondato Databricks. Rishabh ha costruito i sistemi crittografici fondamentali su cui si è basata OPAQUE.

Al RISELab della UC Berkeley avevano creato qualcosa in cui ho subito riconosciuto una svolta di portata generazionale: la prova crittografica che i dati rimangono privati durante ogni flusso di lavoro AI. Non promesse. Non politiche. Prove.

Guardavo dove si stava dirigendo l’AI: agenti che agivano autonomamente fra sistemi aziendali alla velocità delle macchine. E vedevo la stessa lacuna di cui Vint Cerf avverte da 30 anni: l’assenza di un livello di fiducia. Internet è sopravvissuto senza perché erano gli esseri umani a fungere da barriera di protezione. Il web basato sugli agenti non avrà questo lusso. È ciò che mi ha attirato.

MCP (Model Context Protocol, uno standard che consente agli agenti AI di accedere in sicurezza a strumenti, applicazioni e dati) sta emergendo come base comune. Come pensi che cambierà il modo in cui le imprese implementano l’AI agentica e ne ampliano la scala?

MCP è un passo importante nel modo in cui le imprese implementano l’AI agentica e ne ampliano la scala. Immaginalo come un connettore universale per i flussi di lavoro AI. Standardizza il collegamento degli agenti a strumenti, applicazioni e dati, riduce gli ostacoli concreti e accelera la sperimentazione.

Ma standardizzare l’accesso, da solo, non rende l’AI agentica sicura o scalabile. Con il moltiplicarsi delle connessioni, degli agenti, degli strumenti e delle fonti di dati, ogni nuova integrazione amplia la superficie da cui i dati possono fuoriuscire. Ogni punto di connessione privo di applicazione effettiva delle regole durante l’esecuzione è una potenziale via di esposizione. Quando gli agenti AI interagiscono con sistemi sensibili e logica proprietaria, la cifratura dei dati archiviati e i controlli di rete non bastano. Il confine di sicurezza si è spostato all’esecuzione stessa, e questo cambiamento diventa più urgente man mano che l’ecosistema cresce di scala.

La verificabilità in questi punti di connessione essenziali sarà di importanza critica per le imprese. Potranno ampliare l’uso dell’AI agentica quando l’accesso sul modello MCP sarà abbinato a prove crittografiche di quale codice è stato eseguito, dove e secondo quale politica, prima, durante e dopo l’esecuzione. Accesso più verificabilità. È la combinazione che rende possibile l’impiego in produzione.

Ora che MCP standardizza l’accesso degli agenti, dove vedi le maggiori lacune in termini di sicurezza, applicazione delle politiche e fiducia nei sistemi guidati da agenti?

Abbiamo completato la nostra ricerca AI Leak Surface del 2026 e pubblicato una sintesi dei risultati, «Dodici modi in cui il tuo ambiente AI lascia fuoriuscire dati», che affronta questo tema. Abbiamo individuato 46 vie di esposizione in 8 categorie che coprono l’intero confine di fiducia dell’AI: calcolo, controllo, applicazione e passaggi fra questi ambiti. E questo senza considerare soggetti malintenzionati. Sono situazioni in cui nulla è guasto, i log sembrano a posto, eppure il sistema continua a perdere dati.

Le maggiori lacune non riguardano la connettività: MCP sta risolvendo questo problema. Riguardano ciò che succede dopo che un agente si è collegato. La maggior parte delle organizzazioni non sa rispondere a tre domande fondamentali: Come si comporta davvero la nostra AI? Chi la controlla? E come dimostriamo che le politiche sono state applicate?

La ricerca ha mostrato che i limiti vengono configurati, ma mai fatti rispettare. Una politica esiste in un documento, in un file di configurazione o in un’impostazione stabilita al momento del rilascio, ma non vincola il sistema in esecuzione. Un assistente AI per i dirigenti inserisce informazioni rilevanti non pubbliche in un invito sul calendario. Un assistente RAG fornisce a un analista junior informazioni finanziarie destinate al consiglio di amministrazione. L’SDK di un fornitore sottrae silenziosamente 10 milioni di query nell’arco di 12 mesi. In ogni caso i controlli di accesso erano presenti. I dati sono comunque fuoriusciti.

Finché le imprese non colmeranno la distanza fra politica configurata e politica effettivamente applicata, MCP standardizzerà la porta d’ingresso. Ma la casa resterà incustodita.

Quando gli agenti AI ottengono accesso a sistemi sensibili e dati proprietari, quali nuovi rischi per privacy e conformità emergono, ai quali le imprese spesso non sono preparate?

La maggior parte delle imprese pensa alla privacy in termini di dati archiviati o in transito. Questo modello non regge nei flussi di lavoro agentici, perché il rischio maggiore è l’esposizione dei dati mentre vengono utilizzati.

Ecco che cosa intendo. Un produttore di auto ad alte prestazioni usa l’AI lungo la propria linea di montaggio. I dati grezzi sembrano innocui: letture dei sensori, sequenze temporali e controlli di qualità. Ma un grande modello linguistico può ormai ricostruire processi produttivi proprietari dalle tracce di dati generate incidentalmente dall’attività. Ciò che cinque anni fa era rumore è oggi un progetto pronto per un concorrente.

La ricerca AI Leak Surface documenta questo schema in decine di scenari. Gli strumenti di telemetria operativa acquisiscono per impostazione predefinita l’intero contenuto dei dati AI. In una banca europea, 2,1 milioni di prompt con informazioni di identificazione personale confluivano in un’istanza SaaS negli Stati Uniti perché nessuno aveva modificato le impostazioni predefinite del monitoraggio delle prestazioni applicative (APM). La memoria degli agenti lascia filtrare il contesto fra sessioni. Le tracce delle catene di ragionamento espongono interi fascicoli investigativi a piattaforme di osservabilità accessibili a collaboratori esterni. I tradizionali quadri di conformità non sono stati progettati per rilevare questo tipo di fuoriuscita. Presupponevano che fossero gli esseri umani a spostare i dati, a velocità umana.

Perché la Confidential AI sta diventando un complemento necessario a MCP, e come affronta problemi che i soli standard di accesso non possono risolvere?

MCP stabilisce chi può accedere a cosa e come, mentre la Confidential AI affronta ciò che succede dopo la concessione dell’accesso. Sono livelli complementari.

Gli standard di accesso, da soli, non possono impedire compromissioni della sicurezza durante l’esecuzione, deviazioni progressive dalle politiche o usi non autorizzati dei dati. Considerala così: MCP offre un modo standardizzato per collegare gli agenti ai sistemi. La Confidential AI offre garanzie crittografiche che, una volta collegati, quegli agenti possano fare soltanto ciò per cui sono autorizzati, e che tu possa dimostrarlo.

La Confidential AI fornisce queste garanzie durante l’esecuzione per dati, identità, codice e comunicazione. Offre una prova verificabile dell’esecuzione e assicura che la privacy e l’applicazione delle politiche non si fermino al confine di accesso, ma continuino mentre l’AI ragiona, genera e agisce attivamente. Senza di essa, MCP è un solido fondamento. Ma le fondamenta, da sole, non rendono sicuro un edificio.

In pratica, come si presenta la fiducia verificabile per un’impresa che impiega agenti AI autonomi in flussi di lavoro critici?

Fiducia verificabile significa poter dimostrare quale codice è stato eseguito, dove, secondo quali politiche, a quali dati ha avuto accesso e come si è comportato il sistema nel tempo.

Prendiamo una compagnia assicurativa che usa agenti AI per elaborare lettere con richieste di risarcimento. Prima dell’esecuzione, l’attestazione hardware verifica l’identità dell’agente e l’integrità dell’ambiente. Durante l’esecuzione, il vincolo crittografico alle politiche all’interno di un ambiente di esecuzione fidato protetto dall’hardware (Trusted Execution Environment, TEE) garantisce la protezione dei dati e l’applicazione delle politiche. Dopo l’esecuzione, una traccia di audit a prova di manomissione registra esattamente ciò che è accaduto.

Il rischio nei flussi di lavoro agentici non è che un agente sfugga al controllo. Il vero rischio è non riuscire a dimostrare se una politica è stata applicata o se i dati sensibili sono stati protetti mentre gli agenti erano operativi, prima, durante e dopo. Questo è ciò che significa fiducia verificabile.

Perché la tradizionale supervisione umana non regge quando i sistemi agentici operano alla velocità delle macchine, e come dovrebbero le organizzazioni ripensare la governance in questo nuovo ambiente?

Per decenni internet ha avuto una barriera di protezione invisibile: noi. Gli esseri umani leggono i contenuti, cliccano intenzionalmente e non agiscono in silenzio su cento sistemi contemporaneamente.

L’AI agentica cancella questi presupposti dall’oggi al domani. Gli agenti operano di continuo, prendono decisioni alla velocità delle macchine e possono essere manipolati tramite ambienti progettati per gli esseri umani, ma sfruttabili dalle macchine. Una pagina web malevola non deve ingannare un’AI come ingannerebbe una persona: può semplicemente darle istruzioni.

Con appena l’1% di rischio per agente, una rete di 100 agenti affronta una probabilità di violazione della sicurezza del 63%. Aumentando la scala a mille, si arriva al 99,99%. Una governance che richiede la presenza di un essere umano nel processo non può tenere il passo con questi numeri. La supervisione deve passare dai controlli reattivi alle garanzie durante l’esecuzione. Significa flussi di lavoro zero trust, applicazione delle politiche per impostazione predefinita ed esecuzione verificabile che non dipenda da una persona che scopra il problema a posteriori.

Quali sono i problemi di sicurezza più comuni che osservi quando le imprese sperimentano con l’AI agentica senza un livello di fiducia integrato?

Lo schema che vedo più spesso è quello di imprese che lasciano agire e coordinare gli agenti senza alcuna garanzia crittografica sul loro comportamento. Elaborano proprietà intellettuale sensibile affidandosi alla speranza.

Quello che segue è prevedibile, e abbiamo documentato gli schemi specifici nella ricerca AI Leak Surface. Le compromissioni della sicurezza durante l’esecuzione aggirano le tradizionali difese perimetrali perché l’agente è già dentro la rete. Le catene di agenti autonomi provocano errori a cascata. Un solo agente sfruttato innesca un effetto domino nei sistemi connessi. La logica proprietaria fuoriesce attraverso tracce di dati che nessuno aveva pensato di monitorare. Gli agenti perdono la capacità di distinguere l’intento aziendale dagli input malevoli, perché durante l’esecuzione mancano un’identità verificabile o un vincolo alle politiche.

Non sono situazioni ipotetiche. Abbiamo mappato 46 vie attraverso cui i dati sfuggono ai controlli previsti, anche quando nulla sembra guasto. Gli agenti AI generano e condividono dati alla velocità delle macchine. Senza misure di protezione verificabili durante l’esecuzione, integrate nel flusso di lavoro, gli errori si propagano più rapidamente di quanto qualsiasi team di sicurezza possa rilevarli o reagire.

Come riescono le organizzazioni più avanzate a sfruttare capacità AI sofisticate e, allo stesso tempo, a proteggere i dati più sensibili?

Le organizzazioni che affrontano bene il problema trattano privacy e governance come acceleratori, non come freni. È questo il punto fondamentale.

Nella pratica vedo le imprese più avanzate abbinare capacità AI sofisticate a piattaforme di Confidential AI che offrono garanzie verificabili, non soltanto liste di controllo della conformità. Rendono disponibili dati sensibili per l’innovazione AI, mantenendo protette le informazioni proprietarie anche quando i flussi di lavoro operano autonomamente.

Prima la questione veniva presentata come una scelta fra capacità e sicurezza. Le organizzazioni che procedono più velocemente hanno rifiutato del tutto questo compromesso. Integrano la fiducia verificabile nelle fondamenta della strategia AI, così da poter valorizzare i dati più preziosi. Nel frattempo i concorrenti restano bloccati nella fase pilota, facendo funzionare l’AI su dataset ripuliti che non producono risultati significativi.

In base a quello che vedi oggi, come pensi che evolveranno i modelli di governance dell’AI aziendale nei prossimi anni, quando i sistemi agentici passeranno dai progetti pilota alla piena produzione?

La governance passerà dalla burocrazia alla prova. È il modo più semplice per dirlo. I primi modelli di governance erano pensati per software che operava a ritmi umani: politiche sulla carta, approvazioni prima del rilascio e verifiche dopo che qualcosa era andato storto. I sistemi agentici smentiscono ognuno di questi presupposti. Operano di continuo, agiscono autonomamente e generano effetti a cascata alla velocità delle macchine.

Vediamo una governance che si sposta verso la verificabilità durante l’esecuzione come nuovo confine di sicurezza, sostenuta da garanzie crittografiche che dimostrano il comportamento in ogni fase del ciclo di vita di un agente, prima, durante e dopo. Lo stesso schema che abbiamo visto con HTTPS sta diventando la norma per il traffico web. Nessuno discute più se cifrare le connessioni web. Fra pochi anni nessuno discuterà più se verificare l’esecuzione dell’AI mentre avviene. Sarà un requisito di base.

Grazie per l’ottima intervista. I lettori che desiderano saperne di più possono visitare OPAQUE.