NIST: consultazione su rischi e standard di sicurezza per gli AI agent

Il punto non è “un altro documento” sulla sicurezza informatica. La consultazione riguarda un cambio di paradigma: gli AI agent sono sistemi che pianificano e compiono azioni. Non sono solo modelli che generano testo o codice, ma sistemi che, tramite software di orchestrazione e strumenti, possono modificare stati esterni (dati, infrastrutture, servizi).

Per questo la sicurezza non può fermarsi al modello. La superficie di attacco include prompt, dati, tool, permessi, log, update e interazioni con controparti umane o digitali. In questo quadro, NIST chiede input su pratiche e metodi per rendere gli agent sicuri, valutabili e monitorabili lungo tutto il ciclo di vita.

La Request for Information (RFI) è uno strumento pratico: NIST chiede al settore di portare evidenze. Il documento è costruito per raccogliere ciò che oggi è frammentato tra ricerca, sperimentazioni aziendali e incidenti gestiti internamente.

Sommario dei contenuti

• Che cos’è la RFI e perché conta
• Scadenze e come inviare un contributo
• Cos’è un AI agent secondo NIST
• Minacce e vulnerabilità: cosa entra nel perimetro
• Controlli e pratiche: cosa può diventare “standard”
• Valutazione e monitoraggio: misurare la sicurezza
• Impatto per aziende, PA e supply chain
• Guida pratica alla partecipazione
• FAQ

Che cos’è la RFI e perché conta

NIST chiarisce l’obiettivo: raccogliere informazioni che supportino innovazione e adozione sicura degli AI agent. Non è una consultazione “accademica”: è una richiesta di input destinata a influenzare linee guida, controlli e metodi di assessment.

Il cuore della notizia è la transizione da “best practice raccontate” a “best practice dimostrabili”. Quando un ente che produce standard chiede esempi, metriche e metodi, significa che il tema sta entrando nella fase della normalizzazione.

Scadenze e come inviare un contributo

La scadenza indicata nell’avviso è il 9 marzo 2026, alle 23:59 (Eastern Time). L’invio avviene tramite Regulations.gov indicando il docket NIST-2025-0035.

C’è un punto pratico spesso ignorato: la consultazione segnala che i commenti possono essere pubblicati senza modifiche. Per questo è sensato inviare contenuti utili ma privi di dati personali non necessari o informazioni riservate.

Cos’è un AI agent secondo NIST

Nel documento, NIST descrive gli AI agent come sistemi capaci di pianificare e compiere azioni autonome che impattano sistemi o ambienti reali. Tipicamente combinano almeno un modello generativo con software di scaffolding che equipaggia il modello di strumenti. Possono includere più sotto agent, con software che ne orchestra le interazioni, e possono essere impiegati con poca o nessuna supervisione umana.

Questo è il nodo di sicurezza: quando un sistema non solo “risponde”, ma agisce, la questione diventa controllare permessi, tool, azioni e traiettorie. La stessa azione corretta in un contesto può essere pericolosa in un altro, se cambi ambiente, credenziali o dataset.

Minacce e vulnerabilità: cosa entra nel perimetro

NIST sottolinea che alcune vulnerabilità sono “classiche” (per esempio autenticazione o gestione della memoria), ma qui il focus è diverso: i rischi specifici che emergono quando i modelli di machine learning sono embedded in un sistema agente.

Tra i rischi citati nel documento: attacchi adversarial in training o inference (anche quando i modelli interagiscono con dati potenzialmente ostili, come nella prompt injection indiretta), data poisoning, backdoor intenzionali e comportamenti che minacciano confidenzialità, disponibilità o integrità anche senza compromissione diretta (per esempio “specification gaming” o obiettivi non allineati).

Un aspetto importante è la variabilità: NIST chiede come i rischi cambino in base a capacità del modello, scaffold, tool use, modalità di deployment (interno o esterno), hosting (on premises, cloud, edge), use case e uso multi agente.

Controlli e pratiche: cosa può diventare “standard”

NIST chiede quali controlli tecnici, processi e pratiche possano migliorare la sicurezza degli agent in sviluppo e deployment. Il documento mette sul tavolo sia best practice note (minimo privilegio e architettura zero trust) sia approcci più recenti, come l’instruction hierarchy e pattern di agent design con modelli “trusted”.

Tre livelli di controllo richiesti nella RFI

• Model level: misure per aumentare robustezza a prompt injection e input ostili.
• System level: restrizioni su tool e dati, pattern di orchestrazione, monitoraggio continuo e guardrail.
• Human oversight: approvazioni per azioni consequenziali, gestione dati sensibili e permessi di rete.

Valutazione e monitoraggio: misurare la sicurezza

La RFI chiede metodi per anticipare, identificare e valutare minacce e vulnerabilità durante lo sviluppo e dopo il rilascio. La domanda di fondo è: come trasformare la sicurezza degli agent in qualcosa che si può testare, tracciare e confrontare nel tempo.

Un punto delicato riguarda la documentazione lungo la supply chain: NIST chiede quali dati o documenti dagli sviluppatori upstream possano aiutare i provider downstream a gestire i rischi. E chiede anche quali disclosure, se pubbliche o obbligatorie, potrebbero creare nuove vulnerabilità e come gestirle in modo sicuro tra le parti.

Impatto per aziende, PA e supply chain

Per un’azienda che sta introducendo agent in produzione, la consultazione è un segnale: la sicurezza degli agent sta andando verso una fase di standardizzazione. Questo può tradursi in richieste più chiare su:

• Governance: chi autorizza cosa, con quali logiche di rischio e quali approvazioni.
• Architettura: permessi granulari, tool isolation, sandbox, gestione segreti e credenziali.
• Assurance: test, red teaming, incident detection, logging e monitoraggio dell’ambiente di deployment.
• Lifecycle: patching, update, rollback e controllo delle dipendenze.

Guida pratica alla partecipazione

Se hai un caso d’uso reale, l’approccio più efficace è costruire un contributo che sia leggibile e verificabile: descrivere il tipo di agent (capacità, scaffold, tool), l’ambiente (cloud, on premises, edge), la natura dei dati e i controlli già in uso.

NIST indica anche una lista di domande da considerare prioritarie per chi ha banda limitata: è un suggerimento importante perché segnala cosa l’ente ritiene più urgente per trasformare l’esperienza del settore in indicazioni concrete.

La consultazione NIST è interessante per un motivo semplice: sposta la discussione dalla “sicurezza del modello” alla sicurezza del sistema agente. Un agent non è un LLM in isolamento: è un LLM con strumenti, permessi e possibilità di compiere azioni. Questo trasforma l’AI in una componente che entra nei flussi, e quindi nelle responsabilità di sicurezza.

NIST, inoltre, mette insieme due famiglie di rischi che spesso vengono trattate separatamente: i rischi tipici della cybersecurity (permessi, logging, patching) e quelli tipici dei modelli (prompt injection, poisoning, backdoor, misalignment). È un invito implicito a smettere di “scegliere un campo” e iniziare a progettare controlli ibridi, misurabili e mantenibili.

Per il mercato, questa è una buona notizia se letta nel modo giusto: le regole non sono un freno, sono il modo con cui una tecnologia entra davvero in produzione. Se gli agent devono essere adottati su larga scala, devono essere anche auditabili. E l’audit richiede definizioni, metriche e prove, non solo promesse.

A cura di Junior Cristarella.