--- id: CP-264 slug: agenti-ia-strumenti-mcp lang: it title: Agenti IA, strumenti e protocollo MCP description: "Un agente IA richiama strumenti al posto Suo: posta, file, API. Cosa può sbagliare e come limitarne i diritti di accesso." canonical_url: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ markdown_url: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Agenti IA, strumenti e protocollo MCP», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ (CC BY 4.0) wing: 4 theme: master_ai reflex: air-048 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ fr: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ en: https://startbrain.io/cyberpedia/en/articles/ai-agents-tool-use-mcp/ de: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ es: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ nl: https://startbrain.io/cyberpedia/nl/articles/ai-agents-tools-mcp-protocol/ sources: - "n": 1 title: "Toolformer: Language Models Can Teach Themselves to Use Tools" publisher: arXiv url: https://arxiv.org/abs/2302.04761 published: "2023-02-09" accessed: "2026-11-03" - "n": 2 title: "ReAct: Synergizing Reasoning and Acting in Language Models" publisher: arXiv url: https://arxiv.org/abs/2210.03629 published: "2022-10-06" accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 5 title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection" publisher: arXiv url: https://arxiv.org/abs/2302.12173 published: "2023-02-23" accessed: "2026-11-03" - "n": 6 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 7 title: "Technical Blog: Strengthening AI Agent Hijacking Evaluations" publisher: NIST url: https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations published: "2025-01-17" accessed: "2026-11-03" - "n": 8 title: Security and governance - Microsoft Copilot Studio publisher: Microsoft url: https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance accessed: "2026-11-03" --- # Agenti IA, strumenti e protocollo MCP Un agente IA è un modello linguistico a cui sono stati dati degli strumenti: leggere una casella di posta, aprire file, consultare un sito, richiamare un'API. Alcuni studi del 2022 e del 2023 descrivono modelli addestrati a decidere quali API richiamare, quando farlo e con quali argomenti [1], oppure sollecitati con pochi esempi ad alternare ragionamento e azioni e a consultare fonti esterne [2]. L'OWASP, che cura l'elenco dei principali rischi delle applicazioni basate su modelli linguistici, parla di «agency»: la capacità di richiamare funzioni o di interagire con altri sistemi tramite estensioni, che i fornitori chiamano anche strumenti, competenze o plugin. La scelta di quale estensione avviare può essere affidata all'agente stesso, che decide in base alla richiesta o al risultato di una chiamata precedente [3]. Per il dipendente la domanda diventa semplice: cosa può fare questo agente a mio nome, e chi controlla prima che lo faccia? ## In 30 secondi - Dove succede: in qualsiasi assistente che legge le Sue e-mail, i Suoi documenti o pagine web e può agire (inviare o eliminare) senza che Lei faccia clic a ogni passaggio [3]. - Cosa vuole l'attaccante: inserire un'istruzione in un contenuto che l'agente leggerà, in modo che agisca al suo posto, per esempio inoltrando e-mail sensibili [3]. - Il riflesso: dare all'agente il minimo indispensabile di diritti, esigere la Sua conferma prima di qualsiasi azione con effetti (invio, eliminazione, pubblicazione) e rileggere ciò che ha preparato [3]. - Se è già successo: avvisi il team sicurezza, indicando la data e gli strumenti collegati all'agente in quel momento. I registri di attività degli strumenti servono a individuare le azioni anomale [3]. ## Domande dirette ### Cosa distingue un agente da un semplice assistente di conversazione? Un assistente di conversazione risponde. Un agente agisce: effettua chiamate ripetute al modello, basandosi sul risultato delle chiamate precedenti per orientare le successive [3]. Ogni strumento collegato amplia ciò che un errore o una manipolazione possono provocare. ### Cos'è il protocollo MCP? Le fonti raccolte per questa scheda non descrivono MCP. Trattano gli strumenti, le estensioni e i connettori in generale, e i rischi descritti più avanti valgono per qualsiasi modo di collegare un agente a uno strumento. Il protocollo in sé non è quindi approfondito qui. ### Cos'è un'iniezione di prompt indiretta? È il caso in cui il modello riceve istruzioni nascoste in un contenuto esterno, come un sito o un file, e ne modifica il comportamento [4]. Nel 2023 alcuni ricercatori hanno mostrato che questa via permette di attaccare a distanza, senza un'interfaccia diretta, applicazioni che integrano un modello, collocando le istruzioni in dati che possono essere recuperati [5]. L'attaccante non ha bisogno di accedere all'IA: scrive qualcosa che prima o poi sarà letto da essa [6]. Il testo può persino essere invisibile a una persona, purché il modello lo interpreti [4]. ### Si possono bloccare questi attacchi con un filtro? Non completamente. L'OWASP ritiene incerto che esista una prevenzione infallibile [4]. L'NCSC britannico spiega che i modelli attuali non fanno alcuna distinzione tra istruzioni e dati: si limitano a prevedere la parola successiva. Ritiene che l'iniezione di prompt potrebbe non essere mai risolta del tutto, a differenza dell'iniezione SQL, e raccomanda di ridurre il rischio e l'impatto [6]. Mette inoltre in guardia contro i prodotti che dichiarano di «fermare» l'iniezione di prompt [6]. ### Cosa devo rileggere prima di lasciare agire l'agente? Tutto ciò che esce dal Suo perimetro: e-mail inviate o file condivisi. L'OWASP porta l'esempio di un invio di e-mail in cui l'utente rilegge e approva ogni messaggio redatto dall'agente [3]. ## Come funziona Un'applicazione affida al modello un insieme di strumenti, poi lascia che sia il modello a scegliere quali richiamare [3]. Le istruzioni dello sviluppatore e il contenuto da elaborare (un'e-mail, una pagina, un file) arrivano in un unico input. Gli agenti attuali si basano in genere su questa miscela di istruzioni affidabili e dati non attendibili [7]. L'NCSC ne ricava una conseguenza pratica. Quando l'agente richiama strumenti o API in base a ciò che dice il modello, un attaccante che lo manipola ottiene l'equivalente di un accesso diretto a quegli strumenti, con lo scenario peggiore che ne deriva [6]. ## Cosa fa Lei L'OWASP elenca le misure che riducono l'eccesso di poteri di un agente. Non sempre Lei ne controlla la configurazione, ma può chiederle al team che distribuisce lo strumento. - Ridurre gli strumenti: se l'agente non ha bisogno di leggere un indirizzo web, non gli si offre questa funzione [3]. - Ridurre le funzioni: un'estensione che riassume le e-mail ha bisogno solo di leggerle, non di eliminarle né di inviarne [3]. - Preferire strumenti precisi a strumenti aperti, del tipo «eseguire un comando»: con questi ultimi si può lanciare qualsiasi altro comando [3]. - Ridurre i permessi: uno strumento che legge un database non deve collegarsi con un'identità che può anche modificare o eliminare [3]. - Agire con i Suoi diritti, non con un account generico molto privilegiato. Per un repository di codice, l'OWASP cita una connessione OAuth con l'ambito minimo [3]. - Richiedere una conferma umana per le azioni ad alto impatto [3]. - Registrare l'attività degli strumenti per individuare le azioni anomale e limitare la frequenza delle richieste, per ridurre il numero di azioni indesiderate possibili in un dato intervallo di tempo [3]. L'NCSC propone una regola semplice: quando un modello elabora informazioni provenienti da un terzo, i suoi privilegi scendono a quelli di quel terzo. Un agente che legge e-mail di persone esterne non deve quindi avere accesso a strumenti privilegiati [6]. Sul versante delle piattaforme, Microsoft descrive per Copilot Studio controlli riservati agli amministratori: criteri sui dati per connettori, azioni e richieste HTTP, analisi delle dipendenze dei connettori prima della distribuzione, registri di controllo e possibilità di disattivare la pubblicazione di agenti che usano l'IA generativa. I progettisti di agenti possono anche configurare gli strumenti perché vengano eseguiti con le credenziali dell'utente [8]. ## Le trappole - L'agente con diritti eccessivi. L'OWASP distingue tre cause: troppe funzioni, troppi permessi, troppa autonomia [3]. Un'estensione provata durante lo sviluppo e poi abbandonata può restare accessibile all'agente [3]. Anche un'estensione di terzi scelta per leggere documenti può essere in grado di modificarli ed eliminarli [3]. - L'istruzione nascosta in un'e-mail. Nell'esempio dell'OWASP, un'e-mail in arrivo manipolata spinge un assistente di posta a frugare nella casella e a inoltrare informazioni sensibili all'attaccante [3]. - L'immagine che fa trapelare la conversazione. Un utente chiede all'IA di riassumere una pagina che contiene istruzioni nascoste, le quali le fanno inserire un'immagine che punta a un indirizzo: la conversazione privata esce così [4]. - Il documento alterato in una base di conoscenza. Se un attaccante altera un documento usato da un'applicazione di generazione aumentata dal recupero, la risposta dell'IA può diventare fuorviante [4]. - La catena tra strumenti. Un'iniezione può provenire da una chiamata precedente a un'estensione compromessa, o da un altro agente compromesso in un sistema multi-agente [3]. - Il test unico che rassicura a torto. Il NIST osserva che un modello può resistere agli attacchi già noti e cedere ad attacchi concepiti per lui [7]. ## Casi reali ### Febbraio 2023: dimostrazione su Bing Chat e assistenti di codice Alcuni ricercatori, tra cui Kai Greshake e Sahar Abdelnabi, hanno presentato il 23 febbraio 2023 un articolo che mostra attacchi per iniezione indiretta contro sistemi reali, tra cui la Chat di Bing basata su GPT-4 e motori di completamento del codice. Secondo loro, elaborare un prompt recuperato può equivalere all'esecuzione di codice arbitrario e controllare se e come vengono richiamate altre API. Rilevano una carenza di difese efficaci in quel momento [5]. ### Gennaio 2025: la valutazione del NIST sul dirottamento di agenti Il 17 gennaio 2025 il Center for AI Standards and Innovation del NIST ha pubblicato le proprie prove di dirottamento di agenti sul framework AgentDojo. Gli attacchi concepiti appositamente per il modello testato sono passati da un tasso di successo dell'11% (il miglior attacco di riferimento) all'81% [7]. Su cinque compiti di iniezione, tra cui l'invio di un codice di autenticazione a un terzo e l'esecuzione di uno script dannoso, il successo medio era del 57% con un tentativo e dell'80% con 25 tentativi per attacco [7]. Si trattava di ambienti simulati, non di incidenti in azienda [7]. ## Fonti 1. arXiv, «Toolformer: Language Models Can Teach Themselves to Use Tools», 9 febbraio 2023. https://arxiv.org/abs/2302.04761 (consultato il 3 novembre 2026) 2. arXiv, «ReAct: Synergizing Reasoning and Acting in Language Models», 6 ottobre 2022. https://arxiv.org/abs/2210.03629 (consultato il 3 novembre 2026) 3. OWASP, «LLM06:2025 Excessive Agency». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consultato il 3 novembre 2026) 4. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultato il 3 novembre 2026) 5. arXiv, «Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection», 23 febbraio 2023. https://arxiv.org/abs/2302.12173 (consultato il 3 novembre 2026) 6. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 dicembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultato il 3 novembre 2026) 7. NIST, «Technical Blog: Strengthening AI Agent Hijacking Evaluations», 17 gennaio 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (consultato il 3 novembre 2026) 8. Microsoft, «Security and governance - Microsoft Copilot Studio». https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.