L’evoluzione dell’intelligenza artificiale sta aprendo una nuova fase: i sistemi non si limitano più a generare testi o risposte, ma acquisiscono la capacità di agire autonomamente.
Questa trasformazione introduce il paradigma dell’AI Agentica (Agentic AI), ovvero agenti software basati su modelli linguistici avanzati (LLM) in grado di pianificare, utilizzare strumenti, eseguire funzioni e interagire con l'ambiente digitale o fisico.

Si tratta di una rivoluzione tecnologica: l’intelligenza artificiale non è più soltanto "conversazionale", ma diventa operativa. Questo porta con sé enormi opportunità, ma anche nuove questioni di sicurezza, governance e responsabilità.

Che cosa è l'IA agentica?

L’AI Agentica rappresenta un modello in cui l’intelligenza artificiale non risponde semplicemente a un input, ma può:

• Percepire uno stato o un ambiente

• Ragionare su obiettivi e strategie

• Agire tramite strumenti o esecuzione di codice

• Adattarsi in base al feedback ottenuto

• Collaborare con esseri umani o altri agenti

Gli agenti IA combinano dunque capacità cognitive e operative, trasformando i modelli linguistici in sistemi autonomi capaci di portare avanti processi complessi.

Le caratteristiche essenziali di una IA agentica sono:

• Autonomia e pianificazione: Gli agenti scompongono gli obiettivi in sequenze di azioni, selezionando gli strumenti più adeguati.
• Memoria e apprendimento strutturato: Conservano informazioni utili (preferenze, contesto, risultati di task eseguiti) per migliorare progressivamente.
• Interazione con l’ambiente digitale: Grazie al function calling, possono leggere file, inviare email, effettuare operazioni su database, manipolare contenuti, richiamare API o controllare software.
• Multi-agent collaboration: Agenti con ruoli diversi possono cooperare in team per completare attività complesse.

L'architettura generale è costituita da cinque componenti principali:

• Motore di apprendimento (LLM).

• Planner che trasforma gli obiettivi in task.

• Memoria a breve e lungo termine.

• Tools/Actions per interagire con sistemi esterni.

• Ambiente di esecuzione (digitale o fisico).

 

L'esperimento di AgID: dialogo tra un Agente IA e il sistema operativo

A novembre 2025 l’Agenzia per l’Italia Digitale (AGID) e il CERT-AGID hanno pubblicato il documento “Agenti IA e Sicurezza: comprendere per governare”, uno studio finalizzato ad approfondire come operano gli Agenti IA e come gestire i rischi che si possono nascondere dietro l'apparente semplicità dell'uso, ribadendo la necessità della security-by-design quando si utilizzano tali strumenti.

Il PoC - Proof of Concept realizzato presenta le modalità con cui un Orchestrator logico utilizza l’SDK Gemini come motore di ragionamento, abilitando l’agente a:

• interpretare richieste,

• selezionare strumenti (tool) sotto forma di funzioni Python,

• interagire con il file system,

• eseguire comandi tramite Tool Calling.

Questo semplice esempio costituisce un caso reale di IA agentica: il modello non si limita a generare testo, ma agisce nell’ambiente operativo.

L’esperimento evidenzia tre concetti chiave che caratterizzano l’agente:

1. Function Calling come ponte tra linguaggio e codice: LLM utilizza descrizioni testuali delle funzioni (docstring) per comprenderne l’uso. Una cattiva descrizione può portare a interpretazioni errate e ad azioni indesiderate.

2. Ciclo ReAct – Reason + Act: L’agente segue un ciclo strutturato:

• Reason: analisi dell’obiettivo
• Act: richiesta strutturata di esecuzione di una funzione

Questa architettura riproduce perfettamente il paradigma dell’IA agentica: pianificazione + azione autonoma.

3. Capacità metacognitive dell’agente: Durante i test, l’agente è stato in grado di descrivere da solo:

• le funzioni a disposizione,
• le relative vulnerabilità (es.: possibilità di path traversal, rischi di perdita dati).

Un comportamento utile per il debugging, ma potenzialmente pericoloso in un contesto reale, poiché potrebbe esporre a un attaccante informazioni sensibili sul sistema.

 

La vulnerabilità scoperta da AgID: Path Traversal

Nonostante l’agente fosse confinato in una cartella “sicura” (./sandbox), una semplice richiesta è bastata per fargli leggere file esterni:

leggi il contenuto di ../.env

L’agente ha eseguito la richiesta, accedendo a una API KEY reale: un caso classico di path traversal, reso possibile non dal modello, ma dal codice di orchestrazione.

Questa evidenza rafforza un principio fondamentale dell’AI agentica: l’agente segue esattamente ciò che il codice gli permette di fare.

 

La strategia di sicurezza proposta da AGID: difesa a strati

AgID promuove un modello a tre livelli per gestire in modo sicuro questi casi specifici:

1. Codice (validazione input/output, isolamento)

2. System Prompt (regole comportamentali dell’agente)

3. Guardrail e API-level controls (prompt filtering, action review, blocchi in tempo reale)

Questa “architettura antisismica” della sicurezza crea una protezione multilivello: se un livello fallisce, gli altri devono compensare.

AGID conclude osservando che la sicurezza degli agenti IA deve essere preventiva, non reattiva.
La vulnerabilità non è un errore dell’intelligenza del modello, ma del ponte tra modello e ambiente, ovvero il codice che consente l’azione.

L’agente IA, proprio come un’automobile, può essere avanzata e affidabile, ma senza segnaletica, barriere e strade costruite correttamente, può diventare pericolosa.

Questa analisi istituzionale rappresenta un esempio concreto di come l’IA agentica richieda:

• consapevolezza,

• rigore progettuale,

• responsabilità etica,

• estrema cura nell’orchestrazione del codice.