Il nuovo perimetro invisibile: agenti IA e identity sprawl sicurezza nelle organizzazioni
C’è un problema di sicurezza che cresce silenziosamente nelle infrastrutture aziendali italiane, e la maggior parte dei responsabili IT non lo vede ancora con chiarezza. Si chiama identity sprawl — la proliferazione incontrollata di identità digitali — e nel 2026 ha trovato un acceleratore potentissimo: gli agenti di intelligenza artificiale. La combinazione di questi due fenomeni sta creando un gap di visibilità e controllo che rappresenta una delle superfici di attacco più sottovalutate del momento. Capire come funziona, e soprattutto come gestirlo, è diventato un imperativo per qualsiasi organizzazione che voglia operare in sicurezza in ambienti cloud e ibridi.
Cosa si intende per identity sprawl e perché è esploso ora
Partiamo dall’inizio. L’identity sprawl è la moltiplicazione disordinata di identità digitali all’interno di un’organizzazione: account utente, account di servizio, chiavi API, token di autenticazione, certificati, bot automatizzati. Ogni volta che un’azienda adotta un nuovo servizio cloud, integra un’applicazione SaaS o automatizza un processo, genera nuove identità. Il problema è che queste identità si accumulano nel tempo senza essere sistematicamente censite, monitorate o revocate quando non più necessarie.
Fino a qualche anno fa, il problema era già rilevante ma gestibile. Le identità in gioco erano prevalentemente umane — dipendenti, collaboratori, fornitori — e i team IT avevano almeno un riferimento concreto: una persona fisica a cui associare diritti e responsabilità. Oggi, la situazione è radicalmente cambiata. Le Non-Human Identities (NHI) — ovvero tutte quelle identità che non appartengono a un essere umano ma a un sistema, un processo o un agente automatizzato — superano quelle umane di due ordini di grandezza nelle organizzazioni moderne. Non il doppio, non il triplo: cento volte di più.
Questo dato da solo dovrebbe far riflettere chiunque si occupi di sicurezza aziendale. Ogni NHI è un potenziale punto di accesso alle risorse critiche dell’organizzazione. Ogni chiave API dimenticata, ogni service account con privilegi eccessivi, ogni token scaduto ma ancora attivo è una porta che potrebbe essere aperta da un attaccante.
Gli agenti IA: la classe di identità più difficile da governare
Se le Non-Human Identities erano già una sfida complessa, l’arrivo degli agenti di intelligenza artificiale ha alzato ulteriormente il livello di difficoltà. Gli agenti IA non sono semplici script automatizzati che eseguono operazioni predefinite. Sono sistemi autonomi, capaci di prendere decisioni, interagire con altri sistemi, accedere a risorse e compiere azioni su delega di un utente umano — spesso senza che quest’ultimo sia consapevole di ogni singola operazione effettuata.
Questa autonomia operativa è esattamente il punto critico. Un agente IA può ricevere un mandato generico — “gestisci le richieste di approvvigionamento” o “monitora e rispondi alle email dei clienti” — e nel farlo accedere a decine di sistemi diversi, creare connessioni temporanee, richiedere permessi aggiuntivi. Ogni interazione genera potenzialmente nuove identità o estende quelle esistenti. E tutto questo avviene a una velocità che nessun processo di governance tradizionale riesce a seguire.
Gli agenti IA introducono nuove complessità nella gestione delle identità digitali. La loro capacità di adattare il comportamento al contesto e di interagire autonomamente con diversi sistemi rende più difficile monitorare gli accessi e individuare eventuali anomalie rispetto alle automazioni tradizionali.
A differenza di un bot che esegue sempre le stesse operazioni nello stesso modo, un agente IA adatta il proprio comportamento al contesto — il che rende molto più complesso definire cosa sia “normale” e cosa debba invece essere considerato anomalo e bloccato.
Per approfondire il quadro dei rischi associati a queste identità, vale la pena consultare la analisi di ICT Security Magazine sulle Non-Human Identities, che illustra anche la Top 10 dei rischi pubblicata da OWASP specificamente per questa categoria di soggetti digitali.
👉 Leggi anche: Microsoft aumenta gli aggiornamenti di sicurezza Windows grazie all’IA: cosa aspettarsi nel 2026
L’identità come nuovo perimetro: cosa dicono gli esperti
C’è una frase che circola sempre più spesso tra i CISO di tutto il mondo, e che sintetizza bene lo scenario attuale: l’identità è diventata il perimetro. Non il firewall, non la rete, non l’endpoint — l’identità. E nel contesto degli agenti IA, questo concetto acquista una rilevanza ancora maggiore.
Nel panorama attuale della cybersecurity, l’identità digitale sta assumendo un ruolo sempre più centrale nella protezione delle infrastrutture aziendali. Credenziali compromesse, account con privilegi eccessivi e token di autenticazione esposti rappresentano importanti vettori di attacco. Con la diffusione degli agenti IA, proteggere e governare le identità digitali diventa quindi una componente essenziale delle strategie di sicurezza.
Questo significa che investire esclusivamente in patch management, antivirus o sistemi di rilevamento delle intrusioni è necessario ma non sufficiente. Se un attaccante riesce a impossessarsi di un’identità — umana o non-umana — con privilegi sufficienti, può muoversi lateralmente nell’infrastruttura senza dover sfruttare alcuna vulnerabilità tecnica. È come avere una serratura blindata su una porta, ma lasciare la chiave sotto lo zerbino.
Il gap di visibilità: il problema che le organizzazioni non vedono
Il cuore del problema è la visibilità — o meglio, la sua assenza. La maggior parte delle organizzazioni non ha una mappatura completa di tutte le identità presenti nella propria infrastruttura. Sanno chi sono i loro dipendenti, probabilmente hanno un sistema di gestione degli accessi per gli utenti umani. Ma le NHI? I service account creati tre anni fa per un’integrazione poi abbandonata? Le chiavi API generate da un fornitore esterno e mai revocate? Gli agenti IA dispiegati da un team di sviluppo in modo autonomo?
Questi elementi esistono, operano, consumano risorse e — soprattutto — hanno accesso a sistemi critici. Ma non compaiono in nessun inventario. Non sono soggetti a revisioni periodiche. Non vengono disattivati quando il progetto che li ha generati viene chiuso. Questo è uno degli aspetti più critici dell’identity sprawl per la sicurezza aziendale: il problema non riguarda soltanto il numero crescente di identità digitali, ma soprattutto la difficoltà di individuarle, monitorarle e gestirle in modo efficace.
In ambienti cloud e ibridi, il problema si amplifica ulteriormente. Ogni provider cloud ha il proprio sistema di gestione delle identità. Un’organizzazione che utilizza più cloud pubblici, applicazioni SaaS e infrastrutture on-premise si trova a gestire ecosistemi di identità frammentati, spesso non integrati tra loro. Un’identità può avere permessi diversi su sistemi diversi, e nessun singolo strumento offre una vista unificata di tutto questo.
Il contesto italiano: la risposta istituzionale e le sfide delle PMI
In Italia, la consapevolezza su questi temi sta crescendo, anche grazie al lavoro delle istituzioni. Il CERT-AgID — il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale — ha pubblicato un’analisi dedicata all’IA agentica e alla sicurezza informatica, segnale che il tema è entrato nell’agenda anche delle autorità nazionali. Si tratta di un passo importante, perché la governance delle identità non-umane non è solo una questione tecnica ma anche normativa e organizzativa.
Per approfondire la prospettiva istituzionale italiana, è utile fare riferimento all’analisi del CERT-AgID su IA agentica e sicurezza informatica, che offre una lettura del fenomeno dal punto di vista delle infrastrutture critiche nazionali.
👉 Leggi anche: HubSpot ricostruisce la piattaforma CRM attorno agli agenti AI: cosa cambia per le PMI italiane
Le grandi organizzazioni hanno spesso team dedicati e strumenti specializzati per affrontare queste sfide. Il vero punto critico, però, sono le PMI — che rappresentano la spina dorsale del tessuto produttivo italiano. Queste aziende stanno adottando strumenti IA a ritmo accelerato, spesso senza avere le risorse o le competenze per valutarne le implicazioni in termini di sicurezza delle identità. Un’azienda manifatturiera di medie dimensioni che integra un agente IA per gestire gli ordini o ottimizzare la supply chain sta potenzialmente aprendo nuovi vettori di rischio senza saperlo.
Strategie pratiche per governare l’identity sprawl
La buona notizia è che esistono approcci concreti per ridurre il rischio, anche senza dover rivoluzionare l’intera infrastruttura di sicurezza. Il punto di partenza è sempre la visibilità: non si può proteggere ciò che non si conosce.
Inventario continuo delle identità
Il primo passo è costruire — e mantenere aggiornato — un inventario completo di tutte le identità presenti nell’organizzazione, umane e non-umane. Questo include service account, chiavi API, certificati, token OAuth e, sempre più, le identità degli agenti IA. L’inventario non è un’operazione una-tantum: deve essere un processo continuo, integrato nei flussi di sviluppo e deployment.
Principio del minimo privilegio applicato alle NHI
Ogni identità — umana o non-umana — dovrebbe avere solo i permessi strettamente necessari per svolgere la propria funzione. Questo principio, noto come least privilege, è spesso applicato agli utenti umani ma ignorato per le NHI. Un agente IA che deve leggere dati da un database non ha bisogno di permessi di scrittura. Un service account che gestisce backup non ha bisogno di accedere ai sistemi di produzione. Ridurre il raggio d’azione di ogni identità limita drasticamente il danno potenziale in caso di compromissione.
Ciclo di vita delle identità non-umane
Le NHI devono avere un ciclo di vita definito: nascono per uno scopo, operano con permessi limitati e vengono disattivate quando non più necessarie. Questo richiede processi chiari — chi approva la creazione di un nuovo service account? Chi verifica periodicamente che sia ancora necessario? Chi è responsabile della sua revoca? Senza risposte a queste domande, l’accumulo di identità obsolete è inevitabile.
Monitoraggio comportamentale
Poiché gli agenti IA hanno pattern di comportamento variabili, il monitoraggio non può basarsi solo su regole statiche. È necessario adottare approcci di behavioral analytics capaci di identificare deviazioni significative rispetto al comportamento atteso di un’identità. Un agente che improvvisamente accede a sistemi a cui non aveva mai acceduto, o che opera in orari inusuali, è un segnale che merita attenzione.
Governance degli agenti IA come processo formale
Infine, ogni deployment di un agente IA dovrebbe essere soggetto a un processo formale di valutazione del rischio che includa l’analisi delle identità che l’agente utilizzerà, dei sistemi a cui avrà accesso e delle azioni che potrà compiere in modo autonomo. Questo non significa rallentare l’innovazione: significa adottarla in modo consapevole e controllato.
Verso una governance integrata dell’identità
Il fenomeno dell’identity sprawl rappresenta una sfida crescente per la sicurezza informatica delle organizzazioni. Con la progressiva diffusione degli agenti IA e delle automazioni aziendali, la gestione delle identità non umane richiederà strumenti di monitoraggio, processi di governance e controlli sempre più strutturati.
Le organizzazioni che oggi investono nella governance delle identità — costruendo processi, strumenti e competenze adeguati — si troveranno in una posizione di vantaggio significativo rispetto a chi affronterà il problema solo dopo aver subito un incidente.
La sfida non è puramente tecnica. È organizzativa, culturale e strategica. Richiede che la sicurezza delle identità venga trattata come una priorità di business — non come un problema dell’IT da risolvere con un nuovo strumento — e che i CISO abbiano la visibilità e l’autorità necessarie per governare un perimetro che oggi include entità autonome capaci di agire per conto dell’organizzazione. In questo scenario, l’identità non è solo il nuovo perimetro: è il campo di battaglia principale su cui si gioca la sicurezza aziendale del presente e del futuro.
Questo articolo è stato realizzato con il supporto dell’AI e sottoposto a revisione editoriale.