L’AI Agentic trasforma la diffusione delle identità non umane in una superficie di attacco ingovernabile

Gli ambienti cloud moderni sono costruiti su migliaia di credenziali non umane che detengono potenti accessi e raramente ricevono l’attenzione che meritano. Gli account di servizio, le chiavi API, i token OAuth e altre credenziali non umane autenticano silenziosamente il comportamento delle applicazioni, ma sono spesso inventariati in modo insufficiente, raramente ruotati e difficili da governare. Il rapporto M-Trends 2026 di Mandiant, che attinge da oltre 450.000 ore di risposta agli incidenti, conferma ciò che molti team di sicurezza sospettavano da anni: queste identità di macchina sono diventate un vettore di attacco principale nelle violazioni cloud. Gli attaccanti stanno raccogliendo token OAuth a lunga durata, compromettendo i vendor SaaS di terze parti per rubare chiavi codificate e utilizzare poi quei segreti per spostarsi negli ambienti per il furto di dati su larga scala. La scoperta non sorprende realmente nessuno che segue questo spazio, ma ciò che è allarmante per questi operatori è ciò che viene sovrapposto al problema. Le organizzazioni che lottano per governare gli account di servizio che già possiedono stanno contemporaneamente distribuendo sistemi AI agentic che coniano nuove identità non umane a un ritmo che i processi di governance pre-AI non erano stati progettati per gestire. Quella collisione, tra un problema noto e un nuovo acceleratore, è dove si trova l’esposizione.

La matematica della diffusione delle identità non umane

I rapporti sono difficili da accettare fino a quando non si lavora con la matematica. Uno studio recente pubblicato all’inizio di questo anno ha scoperto che le identità non umane superano gli utenti umani di 82 a 1 negli ambienti aziendali. Nel loro rapporto sull’outlook della sicurezza delle identità 2026, ManageEngine ha riferito che quasi la metà delle organizzazioni che hanno partecipato al sondaggio vedono rapporti superiori a 100 a 1, con alcuni settori che raggiungono 500 a 1. Tra il primo semestre 2024 e il primo semestre 2025, l’azienda media ha visto un aumento del 44% del volume di identità non umane.

La diffusione delle identità non umane negli ambienti aziendali era già in corso prima che i sistemi AI agentic diventassero diffusi. Questa crescita è stata in gran parte guidata dal passaggio al cloud computing, dall’adozione di architetture di microservizi e dall’aumento dell’integrazione delle piattaforme SaaS. Tuttavia, l’AI agentic non si limita ad aggiungere a questa sfida esistente in modo lineare. Cambierà fondamentalmente il ritmo e la portata del problema nel futuro. Ogni agente distribuito per investigare autonomamente gli avvisi, orchestrare i flussi di lavoro o accedere ai repository di dati richiede la propria infrastruttura di identità. Di conseguenza, le organizzazioni stanno sperimentando un rapido aumento del numero di credenziali, token di accesso e ambiti di autorizzazione, insieme all’emergere di sottogenti che possiedono le proprie catene di identità. Di conseguenza, gli strumenti tradizionali non saranno probabilmente più in grado di tracciare o quantificare in modo affidabile il numero di identità non umane attive all’interno di un’organizzazione in un determinato momento.

Perché questo è un problema di intelligence delle minacce

L’aritmetica della superficie di attacco cambia quando sono coinvolti gli agenti. Un attaccante che compromette un account umano privilegiato ha ottenuto l’accesso a un’identità. Un attaccante che ottiene l’accesso a una credenziale di agente mal configurata, o avvelena i dati che un agente elabora, o inietta istruzioni nel flusso di input di un agente, eredita le autorizzazioni di un sistema autonomo connesso a decine di servizi downstream.

Gli incidenti stanno già materializzandosi. Nel 2025, AppOmni ha divulgato CVE-2025-12420 nella integrazione di Virtual Agent di ServiceNow, un difetto che ha consentito agli attaccanti non autenticati di impersonare qualsiasi utente utilizzando solo un indirizzo e-mail, bypassando MFA e SSO per eseguire agenti AI con privilegi amministrativi. Le vulnerabilità OpenClaw che sono emerse all’inizio del 2026, che interessano un framework di agente AI open-source con oltre 135.000 stelle su GitHub, hanno dimostrato che un sito web malintenzionato poteva dirottare l’agente AI di uno sviluppatore senza richiedere plugin o interazione dell’utente. Il lavoro di casistica di Mandiant ha documentato il gruppo di attaccanti UNC6395 che ruba token OAuth da un fornitore SaaS per accedere agli ambienti dei clienti in oltre 700 organizzazioni.

La portata di un incidente di identità non è più limitata da ciò che una persona può accedere. È limitata da ciò che un agente era autorizzato a fare, che in molti ambienti di produzione oggi significa che non è praticamente limitata per nulla.

Il divario di governance è architettonico

La Cloud Security Alliance e Strata Identity hanno condotto un sondaggio tra i leader della sicurezza alla fine del 2025 e hanno scoperto che solo il 18% ha espresso una grande fiducia che gli strumenti IAM potessero gestire le identità degli agenti. Solo il 28% poteva tracciare le azioni degli agenti fino a un sponsor umano in tutti gli ambienti. Le principali preoccupazioni che guidano gli investimenti raccontano la storia: esposizione dei dati sensibili (55%), azioni non autorizzate (52%), abuso delle credenziali (45%) e incapacità di scoprire o registrare gli agenti (40%).

Questi dati descrivono un ambiente in cui i team di sicurezza sanno che gli agenti sono in esecuzione, ma non possono rispondere in modo affidabile a chi li possiede, a cosa sono autorizzati ad accedere, a cosa hanno accesso o a come revocare le loro credenziali in modo pulito. I framework di identità che sostengono la maggior parte dei programmi di sicurezza aziendale presuppongono la capacità di attribuire azioni a un principale. Quando un agente genera un sottogente, che a sua volta genera un’altra azione, che attiva un terzo sistema, l’attribuzione diventa un problema di grafo piuttosto che un problema di lookup. La maggior parte delle organizzazioni non dispone degli strumenti per attraversare quel grafo.

Il rapporto sullo stato della sicurezza AI 2026 di Cisco ha quantificato il divario di preparazione dall’altra parte: mentre la maggior parte delle organizzazioni ha pianificato di distribuire l’AI agentic, solo il 29% ha riferito di essere preparata a proteggere quelle distribuzioni. Il restante 71% manca di preparazione non perché gli attacchi sono ipotetici, ma perché gli attacchi non assomigliano a ciò che gli strumenti esistenti erano progettati per catturare.

Il problema della velocità

Le organizzazioni che gestiranno meglio questo problema saranno quelle che trattano l’identità degli agenti con la stessa disciplina del ciclo di vita che applicano agli account umani privilegiati. In particolare, proprietà definita, ambito di autorizzazione minimale, pianificazione della rotazione e un kill switch credibile. La creazione di identità a velocità di macchina non può essere governata da processi di approvazione a velocità umana. Gli strumenti di governance devono funzionare alla stessa velocità degli strumenti di distribuzione. Per la maggior parte delle organizzazioni, quegli strumenti non esistono in produzione. Ciò che manca non è la consapevolezza che le identità non umane sono un rischio. È l’infrastruttura di governance che può operare alla stessa velocità degli sistemi che creano quelle identità. Ogni settimana che il divario persiste, la distanza tra ciò che i team di sicurezza possono vedere e ciò che sta effettivamente funzionando si allarga di un’altra generazione di distribuzioni di agenti.