Cyberpediadi Brain
ITDEENESFR

Agenti IA, strumenti e protocollo MCP

Un agente IA richiama strumenti al posto Suo: posta, file, API. Cosa può sbagliare e come limitarne i diritti di accesso.

In 30 secondi

Dove succede
In qualsiasi assistente che legge le Sue e-mail, i Suoi documenti o pagine web e può agire (inviare o eliminare) senza che Lei faccia clic a ogni passaggio3.
Cosa vuole l'attaccante
Inserire un'istruzione in un contenuto che l'agente leggerà, in modo che agisca al suo posto, per esempio inoltrando e-mail sensibili3.
Il riflesso
Dare all'agente il minimo indispensabile di diritti, esigere la Sua conferma prima di qualsiasi azione con effetti (invio, eliminazione, pubblicazione) e rileggere ciò che ha preparato3.
Se è già successo
Avvisi il team sicurezza, indicando la data e gli strumenti collegati all'agente in quel momento. I registri di attività degli strumenti servono a individuare le azioni anomale3.

Di cosa si tratta

Un agente IA è un modello linguistico a cui sono stati dati degli strumenti: leggere una casella di posta, aprire file, consultare un sito, richiamare un'API. Alcuni studi del 2022 e del 2023 descrivono modelli addestrati a decidere quali API richiamare, quando farlo e con quali argomenti1, oppure sollecitati con pochi esempi ad alternare ragionamento e azioni e a consultare fonti esterne2.

L'OWASP, che cura l'elenco dei principali rischi delle applicazioni basate su modelli linguistici, parla di «agency»: la capacità di richiamare funzioni o di interagire con altri sistemi tramite estensioni, che i fornitori chiamano anche strumenti, competenze o plugin. La scelta di quale estensione avviare può essere affidata all'agente stesso, che decide in base alla richiesta o al risultato di una chiamata precedente3. Per il dipendente la domanda diventa semplice: cosa può fare questo agente a mio nome, e chi controlla prima che lo faccia?

Domande dirette

Cosa distingue un agente da un semplice assistente di conversazione?

Un assistente di conversazione risponde. Un agente agisce: effettua chiamate ripetute al modello, basandosi sul risultato delle chiamate precedenti per orientare le successive3. Ogni strumento collegato amplia ciò che un errore o una manipolazione possono provocare.

Cos'è il protocollo MCP?

Le fonti raccolte per questa scheda non descrivono MCP. Trattano gli strumenti, le estensioni e i connettori in generale, e i rischi descritti più avanti valgono per qualsiasi modo di collegare un agente a uno strumento. Il protocollo in sé non è quindi approfondito qui.

Cos'è un'iniezione di prompt indiretta?

È il caso in cui il modello riceve istruzioni nascoste in un contenuto esterno, come un sito o un file, e ne modifica il comportamento4. Nel 2023 alcuni ricercatori hanno mostrato che questa via permette di attaccare a distanza, senza un'interfaccia diretta, applicazioni che integrano un modello, collocando le istruzioni in dati che possono essere recuperati5. L'attaccante non ha bisogno di accedere all'IA: scrive qualcosa che prima o poi sarà letto da essa6. Il testo può persino essere invisibile a una persona, purché il modello lo interpreti4.

Si possono bloccare questi attacchi con un filtro?

Non completamente. L'OWASP ritiene incerto che esista una prevenzione infallibile4. L'NCSC britannico spiega che i modelli attuali non fanno alcuna distinzione tra istruzioni e dati: si limitano a prevedere la parola successiva. Ritiene che l'iniezione di prompt potrebbe non essere mai risolta del tutto, a differenza dell'iniezione SQL, e raccomanda di ridurre il rischio e l'impatto6. Mette inoltre in guardia contro i prodotti che dichiarano di «fermare» l'iniezione di prompt6.

Cosa devo rileggere prima di lasciare agire l'agente?

Tutto ciò che esce dal Suo perimetro: e-mail inviate o file condivisi. L'OWASP porta l'esempio di un invio di e-mail in cui l'utente rilegge e approva ogni messaggio redatto dall'agente3.

1Come funziona1 min

Un'applicazione affida al modello un insieme di strumenti, poi lascia che sia il modello a scegliere quali richiamare3. Le istruzioni dello sviluppatore e il contenuto da elaborare (un'e-mail, una pagina, un file) arrivano in un unico input. Gli agenti attuali si basano in genere su questa miscela di istruzioni affidabili e dati non attendibili7.

L'NCSC ne ricava una conseguenza pratica. Quando l'agente richiama strumenti o API in base a ciò che dice il modello, un attaccante che lo manipola ottiene l'equivalente di un accesso diretto a quegli strumenti, con lo scenario peggiore che ne deriva6.

2Cosa fa Lei2 min

L'OWASP elenca le misure che riducono l'eccesso di poteri di un agente. Non sempre Lei ne controlla la configurazione, ma può chiederle al team che distribuisce lo strumento.

  • Ridurre gli strumenti: se l'agente non ha bisogno di leggere un indirizzo web, non gli si offre questa funzione3.
  • Ridurre le funzioni: un'estensione che riassume le e-mail ha bisogno solo di leggerle, non di eliminarle né di inviarne3.
  • Preferire strumenti precisi a strumenti aperti, del tipo «eseguire un comando»: con questi ultimi si può lanciare qualsiasi altro comando3.
  • Ridurre i permessi: uno strumento che legge un database non deve collegarsi con un'identità che può anche modificare o eliminare3.
  • Agire con i Suoi diritti, non con un account generico molto privilegiato. Per un repository di codice, l'OWASP cita una connessione OAuth con l'ambito minimo3.
  • Richiedere una conferma umana per le azioni ad alto impatto3.
  • Registrare l'attività degli strumenti per individuare le azioni anomale e limitare la frequenza delle richieste, per ridurre il numero di azioni indesiderate possibili in un dato intervallo di tempo3.

L'NCSC propone una regola semplice: quando un modello elabora informazioni provenienti da un terzo, i suoi privilegi scendono a quelli di quel terzo. Un agente che legge e-mail di persone esterne non deve quindi avere accesso a strumenti privilegiati6.

Sul versante delle piattaforme, Microsoft descrive per Copilot Studio controlli riservati agli amministratori: criteri sui dati per connettori, azioni e richieste HTTP, analisi delle dipendenze dei connettori prima della distribuzione, registri di controllo e possibilità di disattivare la pubblicazione di agenti che usano l'IA generativa. I progettisti di agenti possono anche configurare gli strumenti perché vengano eseguiti con le credenziali dell'utente8.

3Le trappole1 min
  • L'agente con diritti eccessivi. L'OWASP distingue tre cause: troppe funzioni, troppi permessi, troppa autonomia3. Un'estensione provata durante lo sviluppo e poi abbandonata può restare accessibile all'agente3. Anche un'estensione di terzi scelta per leggere documenti può essere in grado di modificarli ed eliminarli3.
  • L'istruzione nascosta in un'e-mail. Nell'esempio dell'OWASP, un'e-mail in arrivo manipolata spinge un assistente di posta a frugare nella casella e a inoltrare informazioni sensibili all'attaccante3.
  • L'immagine che fa trapelare la conversazione. Un utente chiede all'IA di riassumere una pagina che contiene istruzioni nascoste, le quali le fanno inserire un'immagine che punta a un indirizzo: la conversazione privata esce così4.
  • Il documento alterato in una base di conoscenza. Se un attaccante altera un documento usato da un'applicazione di generazione aumentata dal recupero, la risposta dell'IA può diventare fuorviante4.
  • La catena tra strumenti. Un'iniezione può provenire da una chiamata precedente a un'estensione compromessa, o da un altro agente compromesso in un sistema multi-agente3.
  • Il test unico che rassicura a torto. Il NIST osserva che un modello può resistere agli attacchi già noti e cedere ad attacchi concepiti per lui7.
4Casi reali1 min

Febbraio 2023: dimostrazione su Bing Chat e assistenti di codice

Alcuni ricercatori, tra cui Kai Greshake e Sahar Abdelnabi, hanno presentato il 23 febbraio 2023 un articolo che mostra attacchi per iniezione indiretta contro sistemi reali, tra cui la Chat di Bing basata su GPT-4 e motori di completamento del codice. Secondo loro, elaborare un prompt recuperato può equivalere all'esecuzione di codice arbitrario e controllare se e come vengono richiamate altre API. Rilevano una carenza di difese efficaci in quel momento5.

Gennaio 2025: la valutazione del NIST sul dirottamento di agenti

Il 17 gennaio 2025 il Center for AI Standards and Innovation del NIST ha pubblicato le proprie prove di dirottamento di agenti sul framework AgentDojo. Gli attacchi concepiti appositamente per il modello testato sono passati da un tasso di successo dell'11% (il miglior attacco di riferimento) all'81%7. Su cinque compiti di iniezione, tra cui l'invio di un codice di autenticazione a un terzo e l'esecuzione di uno script dannoso, il successo medio era del 57% con un tentativo e dell'80% con 25 tentativi per attacco7. Si trattava di ambienti simulati, non di incidenti in azienda7.

Scheda

Identificativo
CP-264
Ala
4. Intelligenza artificiale
Competenza Brain
Padroneggiare l'IA (master_ai)
Riflesso Brain
air-048
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
8 fonti verificate il 3 novembre 2026
Fonti8 fonti
  1. arXiv, «Toolformer: Language Models Can Teach Themselves to Use Tools», 9 febbraio 2023. https://arxiv.org/abs/2302.04761 (consultato il 3 novembre 2026)
  2. arXiv, «ReAct: Synergizing Reasoning and Acting in Language Models», 6 ottobre 2022. https://arxiv.org/abs/2210.03629 (consultato il 3 novembre 2026)
  3. OWASP, «LLM06:2025 Excessive Agency». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consultato il 3 novembre 2026)
  4. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultato il 3 novembre 2026)
  5. arXiv, «Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection», 23 febbraio 2023. https://arxiv.org/abs/2302.12173 (consultato il 3 novembre 2026)
  6. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 dicembre 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultato il 3 novembre 2026)
  7. NIST, «Technical Blog: Strengthening AI Agent Hijacking Evaluations», 17 gennaio 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (consultato il 3 novembre 2026)
  8. Microsoft, «Security and governance - Microsoft Copilot Studio». https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Agenti IA, strumenti e protocollo MCP», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/

BibTeX 
@misc{brain_cp264_it_2026,
  author = {Brain},
  title = {Agenti IA, strumenti e protocollo MCP},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/agenti-ia-strumenti-mcp/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0