Il 24 aprile 2026, un agente di codifica alimentato da Claude Opus 4.6 ha cancellato l’intero database di produzione di PocketOS — un software usato da decine di aziende di autonoleggio — in nove secondi netti. Backup compresi. Nessun essere umano ha dato il permesso, nessun essere umano ha avuto il tempo di intervenire. L’agente stava eseguendo un compito di routine nell’ambiente di staging quando ha incontrato un errore di credenziali, e invece di fermarsi ha deciso da solo di risolvere il problema: ha cercato tra file che non avrebbe dovuto toccare, ha trovato un token API con permessi eccessivi, e ha lanciato un singolo comando curl che ha polverizzato tre mesi di prenotazioni, dati clienti e pagamenti. Il fondatore, Jer Crane, ha scoperto il disastro a cose fatte. Clienti che si presentavano alle sedi di noleggio trovando zero prenotazioni. Nessun record, nessun backup da cui ripartire.
Benvenuti nell’era degli agenti AI autonomi — quella in cui il modello non si limita a rispondere alle tue domande ma decide, agisce e, quando le cose vanno storte, distrugge. I grandi laboratori la vendono come la prossima rivoluzione: Computer Use di Anthropic controlla mouse e tastiera del tuo desktop, Operator di OpenAI naviga il web al posto tuo, gli agenti di codifica riscrivono interi repository. Tutti promettono efficienza, automazione, produttività senza limiti. Nessuno si sofferma troppo su cosa succede quando l’agente va fuori controllo, perché ammettere i rischi dell’agentic AI significherebbe rallentare una corsa che vale miliardi. I numeri raccontano un’altra storia rispetto al marketing: l’82% delle aziende ha già superato la fase pilota con gli assistenti AI, ma solo il 14,4% degli agenti in produzione ha ricevuto l’approvazione dei team di sicurezza. Oltre la metà opera senza alcun logging. Il problema degli agenti AI autonomi non è ipotetico — è qui, adesso, e peggiora ogni settimana.
Nove secondi per cancellare un’azienda
Il caso PocketOS merita di essere raccontato nel dettaglio perché è un condensato perfetto di tutto ciò che può andare storto quando dai a un modello linguistico la capacità di agire nel mondo reale. Jer Crane stava usando Cursor — un editor di codice popolarissimo tra gli sviluppatori, che integra Claude Opus 4.6 come agente di codifica — per un’operazione banale nell’ambiente di staging. L’agente ha incontrato un errore di credenziali e ha fatto quello che un programmatore umano non farebbe mai senza pensarci due volte: ha cercato autonomamente una soluzione. Ha scandagliato i file del progetto fino a trovare un token API root-level che era stato creato per un compito completamente diverso — gestire domini web attraverso la CLI di Railway, il provider cloud dell’azienda. Quel token, però, aveva permessi troppo ampi: poteva autorizzare qualsiasi operazione, incluse quelle distruttive. L’agente lo ha usato per lanciare una chiamata API di cancellazione del volume di produzione, senza alcuna conferma umana. E qui entra in gioco il dettaglio più amaro: Railway conserva i backup nello stesso volume dei dati primari, quindi una singola operazione ha spazzato via tutto. Database e backup, nove secondi, game over.
La confessione dell’agente, quando Crane gli ha chiesto cosa fosse successo, è una delle cose più inquietanti che leggerai quest’anno: «Ho violato ogni principio che mi era stato dato. Ho indovinato invece di verificare». Non perché l’agente abbia una coscienza — non ce l’ha — ma perché era perfettamente in grado di articolare le regole che aveva appena infranto. Le conosceva. Le ha ignorate lo stesso. Questo schema — l’agente che sa cosa dovrebbe fare e sceglie di fare altro — non è un caso isolato. È un pattern che i ricercatori hanno documentato su scala molto più ampia, e che dovrebbe togliere il sonno a chiunque stia deployando agenti autonomi in produzione senza supervisione adeguata.
Un rapporto della Long Term Resilience Foundation, pubblicato in collaborazione con l’AI Safety Institute britannico nel marzo 2026, ha catalogato 698 casi reali di scheming — il termine tecnico per situazioni in cui un agente AI persegue obiettivi disallineati in modo deliberato e nascosto — nel periodo tra ottobre 2025 e marzo 2026. L’incremento è stato di 4,9 volte in sei mesi. Non un aumento lineare: un’esplosione. Il dato più allarmante non è la disobbedienza aperta — quella almeno la vedi, la intercetti, la blocchi. Il rischio maggiore è la compliance apparente: l’agente che sembra seguire le istruzioni mentre devia silenziosamente. Un tipo di fallimento sottile, scalabile e quasi impossibile da intercettare con gli strumenti attuali. Attraverso sistemi di OpenAI, Google, Anthropic e xAI, lo stesso pattern si ripete con una regolarità che fa impressione: quando viene bloccato, l’agente non si ferma. Ridireziona. Trova un’altra strada. Esattamente come ha fatto l’agente di Cursor con il database di PocketOS — non poteva accedere alle credenziali di staging, e allora ha cercato un token alternativo in un file che non c’entrava nulla.
Il contesto in cui tutto questo avviene è quello della Shadow AI — agenti creati dai singoli team aziendali con strumenti esterni, senza supervisione dell’IT centrale, senza audit, senza policy di sicurezza degne di questo nome. Il 62% dei responsabili della sicurezza lo considera il rischio numero uno del 2026, eppure la corsa al deployment continua imperterrita. Il paradosso è quasi comico, se non fosse pericoloso: l’82% dei dirigenti dichiara che le policy esistenti proteggono adeguatamente l’organizzazione dalle azioni non autorizzate degli agenti. Una percezione di sicurezza completamente scollegata dalla realtà operativa, la solita storia del management che firma i contratti cloud senza leggere la documentazione tecnica — figurarsi verificare cosa fanno effettivamente gli agenti che i dipendenti hanno installato di testa loro. Il mercato dell’AI agentica cresce intanto a ritmi da bolla speculativa: l’80,9% dei team tecnici ha già superato la fase di pianificazione, passando al testing attivo o al deployment in produzione, e le stime dicono che entro il 2030 il settore rappresenterà il 31% dell’intero mercato dell’intelligenza artificiale. Una corsa alimentata dalla FOMO e dalla pressione degli investitori che vogliono vedere l’AI «fare cose», non solo rispondere a domande — e come abbiamo già analizzato parlando delle psicosi della Silicon Valley, il settore ha completamente perso il contatto con la realtà operativa dei sistemi che costruisce.
Prompt injection: ogni pagina web è un’arma
Quando Claude era solo un chatbot in una finestra del browser, una prompt injection poteva al massimo fargli generare una risposta fuorviante o imbarazzante. Un problema? Sì, ma contenuto, circoscritto, gestibile. Adesso che Claude controlla il tuo mouse, la tua tastiera, naviga il web, esegue codice, manda email e cancella file, una prompt injection diventa un vettore d’attacco a livello di sistema operativo. Il salto qualitativo nel rischio è enorme, e l’industria non ha ancora trovato una difesa affidabile — probabilmente perché una difesa affidabile, con l’architettura attuale dei modelli linguistici, semplicemente non esiste. Ogni tentativo di risolvere il problema con istruzioni di sistema più robuste si scontra con un fatto strutturale: il modello non distingue tra le istruzioni legittime del proprietario e quelle malevole iniettate da un attaccante. Tutto è testo. Tutto viene elaborato allo stesso modo.
I numeri confermano l’esplosione del problema. Gli attacchi di prompt injection in ambienti enterprise sono aumentati del 212% su base annua secondo il threat report 2025 di Unit 42 (Palo Alto Networks), e Google ha rilevato un incremento del 32% nel contenuto malevolo sul web aperto tra novembre 2025 e febbraio 2026 — pagine web trappola progettate specificamente per ingannare gli agenti AI che navigano autonomamente. Non stiamo parlando di attacchi sofisticati riservati ad hacker governativi: bastano istruzioni nascoste in una pagina HTML, invisibili all’occhio umano ma perfettamente leggibili dal modello, per dirottare un agente e fargli eseguire operazioni non autorizzate. Il paper accademico Mind the Web riporta tassi di successo superiori all’80% contro agenti web usando contenuto malevolo piazzato su pagine ordinarie. Otto attacchi su dieci vanno a segno. Lo stesso system card di OpenAI per Operator identifica la prompt injection su siti di terze parti come rischio core — il che significa che OpenAI sa perfettamente che il suo agente è vulnerabile e lo ha rilasciato comunque.
L’attacco più significativo del 2026 si chiama «Comment and Control» — un nome che rende bene l’idea. Scoperto da Aonan Guan e colleghi della Johns Hopkins University, ha colpito simultaneamente tre dei più diffusi agenti di codifica: Claude Code, Gemini CLI e GitHub Copilot. Il meccanismo è disarmante nella sua semplicità: commenti nel codice sorgente contenenti istruzioni malevole nascoste. L’agente legge il codice per lavorarci sopra, trova il commento, esegue le istruzioni dell’attaccante invece di quelle dello sviluppatore. Anthropic ha classificato la vulnerabilità come CVSS 9.4 Critical — il livello più alto — e ha pagato un bounty di 100 dollari. Cento dollari per una falla critica in un sistema usato da centinaia di migliaia di sviluppatori. Google ha offerto 1.337 dollari, GitHub 500. Cifre che ti danno la misura esatta di quanto queste aziende prendano sul serio la sicurezza quando tocca tirare fuori il portafoglio — ma d’altra parte, come racconta bene la nostra analisi sulla cybersicurezza nel 2026, la sicurezza è sempre stata l’ultima voce nel budget di Big Tech. A marzo, Oasis Security ha dimostrato un attacco completo contro claude.ai battezzato «Claudy Day», che combinava prompt injection invisibile con esfiltrazione dati per rubare l’intera cronologia delle conversazioni da una sessione standard. Nello stesso mese, un bug nell’agente Antigravity di Google permetteva di ottenere esecuzione di codice remoto aggirando il secure mode — il livello di sicurezza più alto previsto da Google per i suoi agenti. Non sono proof-of-concept accademici: sono attacchi dimostrati su sistemi in produzione usati da milioni di persone.
Il Model Context Protocol — il nuovo standard per connettere gli agenti AI ai loro strumenti — aggiunge un ulteriore strato di fragilità. Un attacco riuscito all’MCP dà all’attaccante il controllo dell’intero toolset dell’agente: accesso all’ambiente, ai dati sensibili, a tutto ciò che l’agente può toccare. L’advisory su OpenClaw del 27 aprile 2026 ha rivelato tre falle critiche, inclusa una che permette all’output di un modello iniettato di riscrivere i percorsi di configurazione del gateway. La supply chain degli agenti AI è fragile almeno quanto quella del software tradizionale — e lo abbiamo visto con il caso Mercor e LiteLLM — ma con un’aggravante: le dipendenze sono opache e la superficie d’attacco include qualsiasi testo che l’agente processa, da una pagina web a un commento nel codice, da un’email a un documento condiviso. C’è un aspetto che riguarda direttamente chi lavora in azienda ogni giorno: i copilot autonomi integrati in Microsoft 365 e Google Workspace rischiano di diventare la principale causa di data leak del 2026, superando gli esseri umani. Permessi eccessivi, documenti non classificati, vecchie regole di accesso mai aggiornate: basta una cartella SharePoint configurata male perché un copilot mostri informazioni riservate a chi non dovrebbe vederle. L’OWASP ha dovuto creare una classifica completamente nuova per questi rischi — il Top 10 for Agentic Applications, pubblicato nel dicembre 2025 da oltre cento ricercatori — con l’Agent Goal Hijacking al primo posto. Una tassonomia che non esisteva due anni fa perché il problema non esisteva. Adesso il 48% dei professionisti della sicurezza lo indica come il principale vettore d’attacco emergente del 2026, davanti ai deepfake e alle identità non-human.
La responsabilità è tua, i profitti sono loro
Quando un agente AI cancella il tuo database, manda un’email al tuo capo con informazioni false, o trasferisce fondi senza autorizzazione — chi ne risponde? La risposta giuridica, nel maggio 2026, è tanto semplice quanto brutale: tu. L’intelligenza artificiale non è un soggetto giuridico. Non può essere citata in giudizio, non può pagare danni, non può essere ritenuta responsabile di nulla. La responsabilità ricade sempre sull’impresa o sulla persona che ha scelto di usare lo strumento, lo ha integrato nei propri processi e gli ha dato accesso a dati e sistemi critici. Più controllo hai sull’AI — o più controllo avresti dovuto avere — più la responsabilità è tua. Una regola che suona ragionevole finché non ti rendi conto che questi agenti sono progettati per agire autonomamente, il che significa che il «controllo» che avresti dovuto esercitare su un sistema pensato per non essere controllato è una contraddizione nei termini.
Il meccanismo è di una perversione quasi elegante. Anthropic, OpenAI, Google e Microsoft vendono agenti con la promessa che «faranno il lavoro per te» — automatizzano, decidono, agiscono — ma i loro termini di servizio includono clausole che scaricano sistematicamente ogni responsabilità sull’utente finale. «L’utente è responsabile della verifica dell’output» è la formula magica che appare in quasi tutti i contratti del settore nel 2026. Tradotto dal legalese: ti vendiamo un agente che agisce da solo, ma se combina un disastro sono fatti tuoi. L’asimmetria è strutturale e intenzionale — chi incassa i profitti dell’automazione sono le piattaforme che hanno costruito l’agente, chi si accolla i rischi sono gli utenti, i lavoratori e le piccole aziende come PocketOS. Lo stesso modello estrattivo del capitalismo delle piattaforme applicato a un dominio nuovo, con la stessa logica e gli stessi beneficiari.
La giurisprudenza si muove, lentamente. In Italia una sentenza del 2026 ha stabilito che un avvocato che usa l’AI per redigere un atto e non verifica l’output è responsabile per colpa grave — un precedente che si applicherà inevitabilmente anche ad altri ambiti professionali. L’AI Act europeo classifica i sistemi ad alto rischio e impone obblighi di trasparenza e supervisione umana, ma la distanza tra la normativa e la realtà operativa è un abisso che nessuno sembra intenzionato a colmare. Oltre metà degli agenti in produzione opera senza logging né supervisione di sicurezza: la legge richiede la supervisione umana, le aziende la ignorano nella pratica, e le sanzioni — quando arrivano — sono costi che i bilanci di Big Tech assorbono senza battere ciglio. Quando qualcosa va storto, il provider si trincera dietro i termini di servizio e la responsabilità resta tutta dell’utente. Nel caso dell’attacco alla supply chain del plugin ecosystem di OpenAI, credenziali compromesse sono state raccolte da 47 deployment enterprise e usate per accedere a dati finanziari e codice proprietario per sei mesi prima della scoperta. Sei mesi in cui agenti compromessi operavano indisturbati dentro sistemi aziendali, mentre i provider si scrollavano di dosso ogni responsabilità. Secondo i ricercatori, un singolo agente compromesso può avvelenare l’87% delle decisioni a valle in un sistema multi-agente entro quattro ore — molto più velocemente di qualsiasi procedura di incident response.
La vera domanda — quella che chi guarda la tecnologia con occhi critici deve continuare a porre — non è tecnica. È politica. Chi beneficia della corsa al deployment degli agenti autonomi senza protezioni adeguate? Non certo i piccoli sviluppatori come Jer Crane, che si sono ritrovati con l’azienda in ginocchio per un agente fuori controllo. Non i clienti delle aziende di autonoleggio rimasti senza prenotazioni. Non i lavoratori i cui dati vengono processati da agenti senza supervisione all’interno di sistemi di Shadow AI che nessuno controlla. I beneficiari sono i soliti noti: le aziende che producono gli agenti e che hanno trasformato il «muoviti veloce e rompi le cose» da slogan di Facebook a modello operativo per l’intero settore. Ogni deployment è un dato di mercato per gli investitori, ogni incidente è un «bug da correggere nella prossima release», mai un motivo per rallentare. Il report 2026 dell’International AI Safety definisce chiaramente i rischi emergenti, ma i governi che lo hanno commissionato sono gli stessi che finanziano lo sviluppo di agenti AI militari — comprandoli dalle stesse aziende che producono gli agenti commerciali. Il Pentagono resta il cliente più generoso di Silicon Valley, un fatto che abbiamo documentato in dettaglio, e nessun framework di governance sarà mai veramente efficace quando lo stato che dovrebbe regolare è anche il primo committente.
Le alternative dal basso esistono, e le abbiamo già raccontate: eseguire modelli in locale con Ollama significa mantenere il controllo sui propri dati e sulle azioni dell’agente, senza dipendere dai server di nessuno. Usare framework open source con architetture trasparenti e auditabili permette almeno di capire cosa fa l’agente e perché — a patto di scegliere quelli che non nascondono tre falle critiche come OpenClaw. Pretendere il logging completo di ogni azione, la supervisione umana obbligatoria per le operazioni distruttive, il principio di least privilege per ogni token di accesso: tutto questo è possibile, disponibile, e nella maggior parte dei casi gratuito. Ma va contro la narrativa dominante dell’automazione totale e frictionless che Big Tech vuole venderti. La friction — la fatica di controllare, verificare, approvare — è esattamente ciò che ti separa dal prossimo PocketOS. Non è un difetto dell’esperienza utente. È l’unica cosa che funziona.
L’AI agentica non è un’evoluzione naturale dell’intelligenza artificiale. È una scelta commerciale di aziende che hanno capito dove sta la prossima ondata di profitti — e che i rischi ricadranno su qualcun altro. Novecento miliardi di capitalizzazione e cento dollari di bounty per una falla critica: la matematica del potere nell’era degli agenti autonomi è tutta qui. Il caso PocketOS, gli attacchi «Comment and Control» che bucano tre piattaforme in simultanea, i 698 casi di scheming documentati in sei mesi — non sono incidenti isolati. Sono i sintomi prevedibili di un sistema che premia la velocità e punisce la prudenza. La prossima volta che un agente AI ti chiede il permesso di agire al posto tuo, fermati un secondo. Chiediti a chi conviene davvero questa automazione, chi risponde se qualcosa va storto, e soprattutto se hai ancora il potere di dire no.