L’evoluzione della fiducia digitale: la sfida degli agenti AI nell’autenticazione

Negli ultimi anni, l’emergere di agenti di intelligenza artificiale (AI) che svolgono transazioni e compiti amministrativi sta mettendo in discussione il tradizionale modello di fiducia digitale. Questo modello si basa sull’assunto che dietro ogni accesso ci sia una persona reale, ma con l’avvento degli agenti AI, le cose stanno cambiando.

Molti sistemi di autenticazione e verifica dell’identità sono progettati per confermare se chi richiede un’azione ha le credenziali giuste. Tuttavia, è fondamentale non solo identificare chi sta accedendo, ma anche comprendere chi ha autorizzato quell’azione e con quali limiti. La distinzione tra autenticazione, identità e autorità diventa quindi cruciale.

In ambito aziendale, controlli di ruolo ed eleggibilità sono già applicati in settori come i servizi finanziari e la sanità. Tuttavia, l’infrastruttura esistente è più avanzata nella verifica dell’identità rispetto all’applicazione delle deleghe di autorità. È qui che entra in gioco il principio del minimo privilegio: agli agenti devono essere richieste mandate specifiche e limitate, piuttosto che un accesso permanente esteso. Questo approccio è essenziale, poiché un agente compromesso o mal configurato potrebbe causare danni significativi.

Per ogni azione intrapresa da un agente AI, è fondamentale rispondere a cinque domande chiave:

• Chi o cosa agisce?
• Chi ha autorizzato l’azione?
• Cosa può fare l’agente?
• Sotto quali vincoli opera?
• Se l’autorità è ancora valida?

Questo approccio si basa su modelli di delega “on-behalf-of” già presenti negli standard di identità. Inoltre, strumenti come i portafogli digitali possono ospitare mandati verificabili meccanicamente, revocabili e affiancati alle credenziali verificate di persone o organizzazioni.

È necessario estendere le autorità e i framework esistenti, incluso il quadro di fiducia per i servizi di verifica digitale, rafforzato dal Data (Use and Access) Act nel Regno Unito, per considerare i delegati software. Spostare la verifica dell’autorità prima che l’agente agisca, documentare chi concede i poteri e limitarne l’ambito sono misure indicate per ridurre l’esposizione a rischi potenziali.

In conclusione, mentre gli agenti AI continuano a proliferare, è essenziale rivedere e aggiornare i sistemi di autenticazione e verifica dell’autorità per garantire un ambiente digitale sicuro e affidabile.