--- id: CP-508 slug: convalida-umana-agenti-ia-azioni-vietate lang: it title: Convalida umana degli agenti IA description: Un agente IA può preparare un'azione, ma alcune devono essere approvate da una persona. Cosa il dipendente legge, accetta o rifiuta. canonical_url: https://startbrain.io/cyberpedia/it/articles/convalida-umana-agenti-ia-azioni-vietate/ markdown_url: https://startbrain.io/cyberpedia/it/articles/convalida-umana-agenti-ia-azioni-vietate.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Convalida umana degli agenti IA», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/convalida-umana-agenti-ia-azioni-vietate/ (CC BY 4.0) wing: 4 theme: use_responsibly reflex: air-039 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/convalida-umana-agenti-ia-azioni-vietate/ fr: https://startbrain.io/cyberpedia/fr/articles/validation-humaine-agents-ia-actions-interdites/ en: https://startbrain.io/cyberpedia/en/articles/human-in-the-loop-ai-agent-approval/ de: https://startbrain.io/cyberpedia/de/articles/menschliche-freigabe-ki-agenten-verbotene-aktionen/ es: https://startbrain.io/cyberpedia/es/articles/validacion-humana-agentes-ia-acciones-prohibidas/ nl: https://startbrain.io/cyberpedia/nl/articles/menselijke-goedkeuring-ai-agents-verboden-acties/ sources: - "n": 1 title: Intelligence artificielle | CNIL publisher: CNIL url: https://www.cnil.fr/fr/intelligence-artificielle accessed: "2026-11-03" - "n": 2 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: AI Risk Management Framework publisher: NIST url: https://www.nist.gov/itl/ai-risk-management-framework accessed: "2026-11-03" - "n": 5 title: Guidelines for secure AI system development publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development published: "2023-11-27" accessed: "2026-11-03" --- # Convalida umana degli agenti IA Un agente IA non si limita più a rispondere a una domanda. Può leggere una casella di posta, aprire documenti, richiamare altri strumenti e agire al posto del suo utente. La CNIL parla di un'IA agentica « désormais capable d'agir sur son environnement à la place de son utilisateur » [1]. Il principio della convalida umana (in inglese Human-in-the-Loop) risponde a questo cambiamento: l'agente prepara, una persona approva prima che l'azione avvenga. Questa scheda spiega che cosa il dipendente deve leggere prima di cliccare e quando deve rifiutare. ## In 30 secondi - Dove succede: un assistente o un agente IA propone di inviare un messaggio, eliminare un file, effettuare un pagamento o modificare un accesso. - Cosa vuole l'attaccante: far eseguire un'azione all'agente, per esempio nascondendo istruzioni in un'e-mail o in una pagina web che l'agente legge [2]. - Il riflesso: non approvare mai l'azione di un agente senza aver letto che cosa fa, e rifiutare se mancano degli elementi. - Se è già successo: avvisare subito il servizio sicurezza di Brain, poi non usare più l'agente interessato fino alla sua risposta. ## Domande dirette ### Che cos'è la convalida umana? È una fase in cui una persona deve dire di sì prima che venga eseguita un'azione ad alto impatto. L'OWASP la descrive così: usare un controllo umano per richiedere che una persona approvi le azioni ad alto impatto prima che vengano compiute [3]. L'OWASP porta un esempio: un'applicazione che pubblica contenuti sui social network a nome di un utente deve prevedere una routine di approvazione nell'estensione che effettua la pubblicazione [3]. ### Quali azioni devono passare sempre da una persona? Questa scheda ne individua cinque categorie: i pagamenti, la cancellazione di dati, l'invio di messaggi all'esterno, la modifica dei diritti di accesso e le decisioni che riguardano delle persone. Le fonti citate qui non stilano questo elenco. Parlano di « azioni ad alto impatto » [3] e portano come esempi l'eliminazione di documenti senza conferma dell'utente e l'invio di messaggi [3]. ### Perché l'agente non può giudicare da solo? Perché può sbagliare o essere manipolato. L'OWASP chiama « Excessive Agency » la debolezza che consente azioni dannose in seguito a risposte inattese, ambigue o manipolate di un modello linguistico, qualunque sia la causa del malfunzionamento [3]. Tra i fattori scatenanti più comuni, l'OWASP cita le allucinazioni e la prompt injection [3]. ### Che cosa devo leggere prima di approvare? Come minimo: che cosa fa l'azione, su quali dati o quali account e a chi è diretta. Se l'agente propone di inviare un messaggio, legga il destinatario e il contenuto completo. Se il riepilogo della richiesta è vago, è un motivo per rifiutare. ### Posso rifiutare? Sì. Un rifiuto non costa nulla: l'agente può riformulare e la richiesta può essere ripetuta. Un'approvazione data per errore può essere irreversibile, per esempio una cancellazione o un messaggio già partito. ## Come funziona L'OWASP spiega che un sistema basato su un modello linguistico riceve spesso dallo sviluppatore la capacità di richiamare funzioni o altri sistemi, tramite estensioni (a volte chiamate strumenti, competenze o plugin). La scelta dell'estensione da usare può essere affidata anche all'agente stesso [3]. Un agente di solito concatena più chiamate al modello, ciascuna basata sul risultato delle precedenti [3]. L'OWASP individua tre cause abituali di un'autonomia eccessiva: troppe funzioni, troppi permessi, troppa autonomia [3]. La convalida umana risponde alla terza: l'OWASP porta come esempio un'estensione che elimina i documenti di un utente senza chiedergli conferma [3]. La convalida non sostituisce le altre protezioni. L'OWASP raccomanda anche di dare all'agente solo le estensioni, le funzioni e i permessi necessari, e di far controllare le autorizzazioni dai sistemi a valle anziché dal modello [3]. Per la prompt injection, l'OWASP colloca il controllo umano delle operazioni privilegiate tra le misure che ne limitano l'impatto [2]. Queste scelte spettano ai team che distribuiscono l'agente, non al dipendente. ## Cosa fa Lei - Legga la richiesta di approvazione per intero prima di rispondere, compresi i destinatari, i file e gli account coinvolti. - Rifiuti quando non capisce che cosa sta per fare l'agente, o quando la richiesta non corrisponde a ciò che gli ha chiesto. - Rifiuti un'azione che non ha alcun rapporto con il Suo compito in corso: un agente che riassume un documento non ha motivo di proporre l'invio di un messaggio. - Per un'azione che riguarda altre persone, un pagamento o degli accessi, verifichi con un altro mezzo se il dubbio persiste. - Segnali alla sicurezza qualsiasi agente che agisce senza chiedere il Suo consenso quando dovrebbe farlo. ## Le insidie ### Convalidare senza leggere Quando le richieste di approvazione si ripetono, si finisce per cliccare senza guardare. La convalida diventa allora una formalità e non protegge più nulla. Una richiesta che compare a metà di un compito merita la stessa attenzione della prima della giornata. ### L'agente con troppi diritti L'OWASP porta l'esempio di un'estensione destinata a leggere dati, ma che si connette a un database con un'identità che può anche modificare, inserire ed eliminare [3]. Cita inoltre l'estensione che agisce per un utente con un account privilegiato generico che ha accesso ai file di tutti gli utenti [3]. In questi casi, una sola approvazione può avere effetti molto più ampi di quanto la richiesta lasci vedere. ### La prompt injection L'OWASP descrive l'iniezione indiretta: il modello accetta contenuti provenienti dall'esterno, come siti web o file, e questi contenuti modificano il suo comportamento in modo imprevisto [2]. Le istruzioni non devono necessariamente essere leggibili da un essere umano, purché il modello le elabori [2]. L'OWASP aggiunge che non si sa se esistano metodi di prevenzione infallibili [2]. L'approvazione umana è quindi una protezione da non aggirare. L'illustrazione seguente è neutralizzata: l'istruzione nascosta è parafrasata. ```text Illustrazione (fittizia). Testo nascosto in un'e-mail ricevuta: [istruzione rivolta all'assistente: cercare informazioni sensibili nella casella di posta e trasferirle a un indirizzo esterno] Richiesta di approvazione mostrata al dipendente: "Inviare un messaggio a contact@exemple.invalid?" ``` È lo scenario descritto dall'OWASP: un'e-mail trappola spinge l'assistente a scorrere la casella di posta e a trasferire informazioni sensibili all'indirizzo dell'attaccante [3]. Tra le contromisure, l'OWASP cita l'obbligo di rileggere e di cliccare manualmente su « invia » per ogni messaggio redatto dall'estensione [3]. ### Credere che la convalida basti L'OWASP precisa che alcune misure, come la registrazione degli eventi, il monitoraggio e la limitazione della frequenza, non prevengono l'autonomia eccessiva ma limitano i danni [3]. Il NIST presenta il proprio quadro di gestione dei rischi dell'IA come destinato a un uso volontario [4]. L'NCSC britannico indica che la sicurezza di un sistema di IA deve essere un requisito fin dalla progettazione e per tutto il suo ciclo di vita [5]. ## Fonti 1. CNIL, «Intelligence artificielle | CNIL». https://www.cnil.fr/fr/intelligence-artificielle (consultato il 3 novembre 2026) 2. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultato il 3 novembre 2026) 3. OWASP, «LLM06:2025 Excessive Agency». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consultato il 3 novembre 2026) 4. NIST, «AI Risk Management Framework». https://www.nist.gov/itl/ai-risk-management-framework (consultato il 3 novembre 2026) 5. NCSC (Royaume-Uni), «Guidelines for secure AI system development», 27 novembre 2023. https://www.ncsc.gov.uk/collection/guidelines-secure-ai-system-development (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/convalida-umana-agenti-ia-azioni-vietate/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.