In Breve
- Cosa sono gli agenti di intelligenza artificiale?
- Sono sistemi automatizzati che completano transazioni e gestiscono compiti amministrativi.
- Perché è importante la verifica dell'autorità?
- Per garantire che le azioni siano autorizzate e limitate a specifici ambiti d'azione.
- Qual è il principio del minimo privilegio?
- Richiede che gli agenti abbiano solo accesso limitato e specifico, riducendo i rischi di compromissione.
Con l’avanzare della tecnologia, l’uso di agenti di intelligenza artificiale (AI) per completare transazioni e gestire compiti amministrativi sta mettendo in crisi il tradizionale modello di fiducia digitale. Questo modello si basa sull’assunto che dietro ogni accesso ci sia un individuo identificabile. Tuttavia, la crescente automazione solleva interrogativi cruciali sulla verifica dell’autorità e sull’autenticazione.
Molti sistemi di autenticazione sono progettati per confermare che chi richiede un’azione possieda le credenziali appropriate, ma non necessariamente per accertare chi ha autorizzato quell’azione e con quali limiti. La distinzione tra autenticazione, identità e autorità diventa quindi fondamentale. Non basta sapere chi accede a un sistema; è essenziale comprendere chi ha dato il permesso, cosa può fare e per quanto tempo.
In ambito aziendale, settori come i servizi finanziari e la sanità hanno già implementato controlli di ruolo e di eleggibilità. Tuttavia, l’infrastruttura attuale è più avanzata nella verifica dell’identità rispetto all’applicazione di deleghe di autorità. Per affrontare queste sfide, è stato suggerito di adottare il principio del minimo privilegio: agli agenti dovrebbe essere richiesto di operare con mandati specifici e limitati, piuttosto che avere accesso illimitato. Questo approccio è cruciale, poiché un agente compromesso o mal configurato potrebbe causare danni significativi.
Per ogni azione intrapresa da un agente AI, è fondamentale poter rispondere a cinque domande chiave: chi o cosa agisce, chi ha autorizzato l’azione, cosa può fare, sotto quali vincoli e se l’autorità è ancora valida. Questo metodo si basa su modelli di delega “on-behalf-of” già presenti negli standard di identità.
Strumenti come i portafogli digitali possono svolgere un ruolo importante in questo contesto, ospitando mandati verificabili meccanicamente e revocabili, affiancati da credenziali verificate di persone o organizzazioni. È necessario estendere le autorità e i framework esistenti, inclusi quelli previsti dal Data (Use and Access) Act nel Regno Unito, per considerare anche i delegati software.
È fondamentale spostare la verifica dell’autorità prima che un agente agisca, documentare chi concede i poteri e limitarne l’ambito. Queste misure sono essenziali per ridurre l’esposizione a rischi prima che le implementazioni di agenti superino i controlli progettati per governarle.
