L’Evoluzione della Fiducia Digitale: Agenti AI e Verifica dell’Autorità

Negli ultimi anni, l’adozione di agenti di intelligenza artificiale (AI) per svolgere transazioni e compiti amministrativi ha messo in crisi il tradizionale modello di fiducia digitale. Questo modello si basa sull’assunto che dietro ogni accesso ci sia una persona, ma la crescente automazione richiede una revisione profonda delle nostre pratiche di autenticazione e verifica dell’identità.

Tradizionalmente, i sistemi di autenticazione sono progettati per confermare se chi richiede un’azione possiede le credenziali corrette. Tuttavia, la questione fondamentale ora è chi ha autorizzato quell’azione e con quali limiti. È cruciale distinguere tra autenticazione, identità e autorità. Non basta identificare chi accede; è necessario sapere chi ha dato il permesso, cosa può fare e per quanto tempo.

In ambito aziendale, controlli di ruolo ed eleggibilità sono già applicati in settori come i servizi finanziari e la sanità. Tuttavia, l’infrastruttura attuale è più avanzata nella verifica dell’identità che nell’applicazione delle deleghe di autorità. Questo porta a una necessità urgente di rivedere le pratiche esistenti.

Una delle soluzioni suggerite è l’adozione del principio del minimo privilegio. Questo approccio implica che agli agenti devono essere richieste mandati specifici e limitati, piuttosto che un accesso permanente esteso. Un agente compromesso o mal configurato può causare danni significativi, quindi è fondamentale limitare le sue capacità.

Per ogni azione eseguita da un agente AI, è essenziale rispondere a cinque domande chiave: chi o cosa agisce, chi lo ha autorizzato, cosa può fare, sotto quali vincoli e se l’autorità è ancora valida. Questo modello si basa su pratiche di delega già presenti negli standard di identità, come il modello “on-behalf-of”.

Inoltre, strumenti innovativi come i portafogli digitali possono ospitare mandati verificabili meccanicamente, revocabili e affiancati alle credenziali verificate di individui o organizzazioni. Questi strumenti possono migliorare la sicurezza e la trasparenza nelle interazioni digitali.

Le autorità e i framework esistenti, incluso il quadro di fiducia per i servizi di verifica digitale, devono essere ampliati per considerare i delegati software. È fondamentale spostare la verifica dell’autorità prima che l’agente agisca, documentare chi concede i poteri e limitare l’ambito di azione. Queste misure sono indicate per ridurre l’esposizione e garantire che le implementazioni di agenti AI non superino i controlli progettati per governarle.