L'agentic AI incontra la sicurezza delle identità con IBM Verify Identity Protection

L'era dell'agentic AI è arrivata. I sistemi autonomi non si limitano a seguire le istruzioni; prendono decisioni, agiscono e accelerano l'innovazione alla velocità delle macchine. Dall'automazione delle transazioni finanziarie alla gestione dei workflow di cybersecurity, questi colleghi digitali trasformano le operazioni in vendite, finanza, risorse umane, IT e sicurezza. L'agentic AI agisce da amplificatore dei nostri sforzi, consentendoci di essere più produttivi.

Tuttavia, la stessa autonomia che guida l'innovazione con agentic AI può anche aprire la porta a significative vulnerabilità di sicurezza e amplificare non solo la produttività, ma anche i rischi. Secondo il report 2025 Cost of Data Breach, il 63% delle organizzazioni non ha una politica di sicurezza e governance dell'AI.

Il report  X-Force Threat Intelligence Index di IBM ha rilevato che il 30% delle violazioni dei dati inizia con attacchi basati sull'identità, e i tradizionali strumenti di gestione delle identità e degli accessi (IAM) non sono mai stati progettati per gestire identità autonome e auto-dirette. Con l'accelerazione dell'adozione dell'agentic AI, le organizzazioni devono affrontare agenti AI non gestiti, rischi di accesso ombra e una superficie di attacco completamente nuova.

Per rimanere all'avanguardia in quest'era di identità autonome e strumenti automatizzati, le aziende hanno bisogno di un nuovo paradigma di sicurezza costruito per la visibilità, il controllo e la governance. IBM Verify Identity Protection (VIP) consente alle organizzazioni di proteggere l'agentic AI mantenendo velocità, innovazione e fiducia.

Le recenti conferenze tecniche hanno portato un'ondata di annunci legati all'agentic AI, dai copilot di sicurezza ai bot IT automatizzati. Ma gli analisti avvertono dell'agent-washing: il rebranding delle automazioni semplici come AI completamente autonoma.

Forrester avverte che molti cosiddetti agenti sono solo script specifici per compiti specifici, non sistemi coordinati. E Gartner prevede che oltre il 40% dei progetti di agentic AI verranno annullati entro il 2027 a causa della mancanza di valore o di governance.

Per i responsabili della sicurezza, la chiarezza è importante. Considera la differenza tra agentic AI per la sicurezza e sicurezza per l'agentic AI:

• Agentic AI per la sicurezza: agenti AI che svolgono attività di sicurezza come il triage del phishing, la scansione delle vulnerabilità o la risposta agli incidenti.
• Sicurezza per l'agentic AI: garantire che tutti gli agenti AI delle unità di business siano rilevabili, governati, con privilegi minimi, con rotazione delle credenziali e monitorati continuamente per individuare eventuali deviazioni comportamentali o violazioni delle policy.

È anche importante che i responsabili della sicurezza comprendano le differenze tra i tipi di agenti AI.   

Gli agenti autonomi rappresentano un cambiamento fondamentale nell'IT aziendale:

• Dai bot monouso ai team digitali autonomi: i moderni agenti AI non si limitano a seguire le istruzioni; prendono decisioni in tempo reale e intraprendono azioni su tutti i sistemi, spesso con accesso privilegiato.
• Dagli ambienti controllati agli ecosistemi complessi: gli agenti AI ora comprendono hybrid cloud, piattaforme SaaS e sistemi legacy, molti al di fuori del perimetro di gestione delle identità e degli accessi (IAM).

Eppure questa velocità di innovazione crea punti ciechi critici, tra cui:

• Identità non gestite: gli agenti AI creati al di fuori della governance IT spesso non dispongono di un'adeguata gestione delle credenziali, revisioni o visibilità.
• Accesso ombra: i dipendenti che utilizzano account personali per gli strumenti di AI aggirano i controlli di sicurezza aziendali, rendendo le attività invisibili ai team IT e di sicurezza.
• Agenti compromessi: gli agenti AI compromessi possono attivare ransomware, rubare dati sensibili o eseguire azioni non autorizzate alla velocità della macchina.
• Deriva comportamentale: nel tempo, gli agenti possono deviare dai workflow o dai modelli di accesso previsti senza rilevamento, aumentando il rischio di esposizione.
• Attacchi zero-click: l'agentic AI può essere sfruttata per amplificare i rischi di attacchi zero-click.

I sistemi legacy di gestione delle identità e degli accessi (IAM) e di governance e amministrazione delle identità (IGA) non sono stati progettati per questo mondo dinamico e autonomo. Le organizzazioni necessitano di observability in tempo reale, applicazione del principio dei privilegi minimi e analisi comportamentale appositamente concepite per l'agentic AI.

Proteggere l'agentic AI non riguarda solo la tecnologia; si tratta di costruire una solida base per la sicurezza, la visibilità e il controllo delle identità. Ecco 4 passaggi che i responsabili della sicurezza possono intraprendere oggi:

1. Scopri tutte le identità: inizia con un inventario completo di tutte le identità della tua organizzazione, comprese le identità umane, non umane e basate sull'AI. Non puoi governare ciò che non vedi.
2. Implementa l'observability delle identità: ottieni visibilità in tempo reale sui flussi di accesso, sulle attività e sulle anomalie. Questo aiuta i team di sicurezza a individuare i rischi prima che si aggravino.
3. Applica le politiche dei privilegi minimi: limita l'accesso solo a ciò che è necessario. Applica la rotazione delle credenziali, i guardrail del tempo di esecuzione e i controlli human-in-the-loop per le azioni sensibili.
4. Monitora e verifica continuamente: rileva precocemente la deriva comportamentale, gli accessi non autorizzati e i rischi tra agenti attraverso processi di monitoraggio e audit automatizzati.

Con queste 4 best practice, le organizzazioni possono adottare con sicurezza l'agentic AI mantenendo la sicurezza, la conformità e la resilienza operativa. E IBM Verify Identity Protection è lo strumento giusto per aiutare le organizzazioni a trasformare queste best practice in realtà.

IBM Verify Identity Protection offre observability delle identità e rilevamento delle minacce basato sull'AI, progettato appositamente per le moderne aziende ibride. Con VIP, i team di sicurezza ottengono:

• Scoperta completa: trova e fa l'inventario automaticamente di tutte le identità (umane, non umane e agentiche) nei sistemi cloud e on-premise.
• Analytics comportamentali: rileva modelli di accesso insoliti, escalation dei privilegi o comportamenti compromessi degli agenti in tempo reale.
• Mappatura delle identità: consolida più account, inclusi gli accessi ombra o personali, in una visione unificata e verificabile delle identità.
• Applicazione delle politiche e automazione: applica i principi dei privilegi minimi, ruota le credenziali e correggi automaticamente le vulnerabilità.
• Monitoraggio continuo: traccia le comunicazioni tra gli agenti e applica i controlli di tempo di esecuzione per evitare derive o usi impropri.

L'agentic AI offre un potenziale di trasformazione automatizzando i workflow, accelerando le decisioni e sbloccando l'efficienza aziendale. Ma senza controlli adeguati, introduce anche identità non gestite, accessi ombra e rischi di violazione elevati.

IBM Verify Identity Protection offre ai leader della sicurezza la visibilità, l'automazione e la governance necessarie per scalare l'agentic AI in modo sicuro, consentendo l'innovazione senza compromettere la fiducia o la conformità.

Proteggi il futuro delle identità autonome