Autorizzazione degli agenti

L’autorizzazione degli agenti è il controllo che decide se un agente AI può compiere un’azione specifica, con argomenti specifici, per conto di un mandante specifico, nel momento in cui l’agente la propone. Riguarda gli strumenti che l’agente può chiamare, i record che può leggere o modificare, gli importi e i limiti applicabili e le azioni che richiedono prima l’approvazione di una persona.

Gli agenti hanno bisogno di questo controllo per ogni azione perché scelgono il passo successivo durante l’esecuzione. L’elenco completo delle azioni che un agente tenterà non è noto al momento del deployment, quindi un ruolo assegnato una volta all’avvio non può stabilire se un determinato pagamento, aggiornamento di un record o messaggio a un cliente sia accettabile. L’OWASP Top 10 for LLM Applications chiama questo rischio Excessive Agency (LLM06:2025) e lo riconduce a tre cause: funzionalità eccessive, permessi eccessivi e autonomia eccessiva. Ciascuna è una questione di autorizzazione.

Un’architettura praticabile ha tre livelli. L’identità registra quale agente, in quale versione, sta agendo e per conto di chi; il registro degli agenti AI conserva questa informazione. I permessi elencano gli strumenti, i dati e i limiti concessi all’agente secondo il principio del minimo privilegio, messi per iscritto nel suo mandato dell’agente. La decisione per singola azione valuta ogni azione proposta rispetto ai permessi e al contesto corrente e restituisce uno di quattro esiti: allow, warn, require_approval o block.

Le banche ricertificano già a intervalli fissi gli accessi del personale. La stessa revisione si applica agli agenti: il responsabile conferma che ogni permesso è ancora necessario, e i permessi inutilizzati o eccessivi vengono rimossi. Anche la revoca fa parte dell’autorizzazione. Un kill switch per agenti ritira tutti i permessi in una volta. Nel nostro ambiente di sviluppo, una policy le cui regole non corrispondevano alla struttura dell’input di un agente ha applicato la decisione predefinita e bloccato l’esecuzione, mentre il suo autore si aspettava una richiesta di approvazione. Verificate ogni policy su input reali prima di pubblicarla.

In KLA i permessi sugli strumenti stanno nel Tool Catalog, e il KLA Policy Engine valuta le chiamate agli strumenti proposte rispetto alla policy pubblicata dell’agente prima che vengano eseguite. Un esito require_approval trattiene l’azione come Decision Request in Decision Desk finché un revisore non decide.