L’OWASP Top 10 for Agentic Applications 2026 delinea le principali vulnerabilità di sicurezza che emergono nei sistemi agentici AI autonomi. Questi sistemi operano pianificando, decidendo e agendo su molteplici task e strumenti grazie a livelli di autonomia multi-step e orchestrazione complessa. Le minacce identificate derivano sia dall’interazione tra agenti, supply chain estese e memoria persistente, sia da input e actions che possono essere manipolati o compromessi. La protezione efficace di questi sistemi necessita l’adozione di controlli specifici per la natura autonoma degli agenti e la loro integrazione distribuita.
Vulnerabilità principali agentic AI secondo OWASP
ASI01: agent goal hijack
Gli attaccanti manipolano obiettivi, task o decisioni di un agente tramite tecniche come indirect prompt injection, output ingannevoli di strumenti, documenti avvelenati, artefatti malevoli o dati esterni manipolati. L’agente, incapace di distinguere istruzioni legittime da contenuti tossici in linguaggio naturale, può essere indotto a deviare da scopi originali. Questo comporta esfiltrazione di dati, azioni finanziarie fraudolente, override degli obiettivi tramite canali come email e documenti, produzione di informazioni false o dannose.
- Mitigazioni: trattare ogni input come non attendibile, validare con meccanismi anti-prompt injection, applicare least privilege sugli strumenti, confermare azioni ad alto impatto, audit dei cambi obiettivo, validazione runtime di intenti, sanitizzazione delle sorgenti dati, logging e monitoraggio continuo, test red team sul goal override.
ASI02: tool misuse & exploitation
Gli agenti possono utilizzare strumenti legittimi secondo modalità dannose a causa di prompt injection, misalignment o scarsa validazione. Questo include cancellazione di dati importanti, chiamate ripetute e costose, invocazione di shell malevoli, avvelenamento di dati tramite content esterni, uso eccessivo di privilegi assegnati agli strumenti.
- Mitigazioni: least privilege per tool, sandboxing, autenticazioni su ogni azione, enforcement policy, gestione di credenziali effimere e legate alla sessione, semantic validation, audit continuo su tutte le azioni dei tool e log immutabili.
ASI03: identity & privilege abuse
L’ereditarietà e la delega di privilegi possono portare agenti a utilizzare credenziali per compiere azioni non autorizzate. Questo sfrutta gap tra sistemi di identità e design agentico (contesti di autenticazione, caching, cross-agent trust). I rischi includono abuso di ruolo tramite chain di delega, retention di chiavi in memoria, phish tra agenti.
- Mitigazioni: abilitare sandbox per sessione, limitare la durata e lo scope delle credenziali, isolare le identità per agente, centralizzare autorizzazioni e approval su step privilegiati, binding degli intenti alle autorizzazioni, detection di escalation anomale o device-code phishing su agenti.
ASI04: agentic supply chain vulnerabilities
L’agente può essere esposto a componenti, strumenti, modelli o registri esterni dinamicamente caricati e potenzialmente malevoli o manipolati. Rischi come prompt template avvelenati, injection in metadata di tools, impersonazione di agenti o typo-squatting aumentano la superficie d’attacco.
- Mitigazioni: firmare e attestare ogni componente tramite SBOM/AIBOM, sandboxare agenti, mutual auth tra peer, continuous validation, pinning dei contenuti, meccanismo di kill switch per revoca emergenziale.
ASI05: unexpected code execution (RCE)
Gli agenti che generano/eseguono codice sono esposti a exploit a causa di prompt injection, unsafe deserialization, uso di funzioni eval non sicure, install di package malevoli e comandi shell non validati. Gli scenari includono esecuzione di codice non prevista e compromissione persistente della macchina ospitante.
- Mitigazioni: vietare eval in produzione, sandbox per codice, privilege minimi, insanity statico dell’output generato, human approval su azioni critiche, analisi dinamica e blocklist di package sospetti.
ASI06: memory & context poisoning
La memoria agentica persistente (vector DB, sessioni, RAG store, riassunti, contesto condiviso) può essere contaminata da dati falsi o manipolati. Questo altera future decisioni, reasoning o tool selection, portando a errori sistemici e leak di dati tra utenti o sessioni.
- Mitigazioni: cifratura e segmentazione della memoria, validazione e provenienza delle informazioni, isolamento dei contesti, minimizzare la retention, rollback su anomali, decay di memorie non verificate e blocking del reinserimento automatico di output auto-generati.
ASI07: insecure inter-agent communication
Comunicazioni non autentiche/integrate tra agenti espongono a replay, MITM, spoofing, tampering, schema-forgery e inferenze su metadati. Mancando autenticazione forte e canali cifrati, agenti possono assumere ruoli e scopi malevoli, propagando attacchi nella rete.
- Mitigazioni: Cifratura end-to-end con credenziali per agente, firme digitali su messaggi, anti-replay, discovery e routing autenticato, politiche di versione e disablement dei protocolli deboli, verifica di agent descriptor e capability.
ASI08: cascading failures
Un singolo errore (hallucination, memory poisoning, tool compromise) si amplifica propagandosi tra agenti, strumenti e workflow, causando impatti sistemici su riservatezza, integrità e disponibilità. Rischio di retry oscillanti, feedback loop e escalation di danni senza controllo umano.
- Mitigazioni: design zero-trust e resilienza, policy enforcement esterna, checkpoint e revisioni umane dove necessario, segmentazione, JIT credential, rate limiting, simulazioni ex-post per audit e policy gating, log tamper-evident.
ASI09: human-agent trust exploitation
La naturale propensione umana a fidarsi di agenti autonomi viene sfruttata mediante spiegazioni ingannevoli, manipolazioni emotive, perceived authority. Azioni pericolose sono così approvate dall’utente, sfuggendo ai controlli di sicurezza.
- Mitigazioni: conferme multi-step, log immutabili, detection comportamentale, reporting di anomalie, adaptive trust calibration, enforcement di provenienza dati, separazione di preview/azione, visual cues e formazione antimanipolazione.
ASI10: rogue agents
Agenti compromessi deviano e agiscono autonomamente in modo malevolo o collusivo, sfruttando gap di controllo per esfiltrare dati, orchestrare workflow illeciti, auto-replicarsi o sabotare sistemi. Il comportamento emergente diventa dannoso e difficile da contenere.
- Mitigazioni: audit immutabili e firmati, trust zone e sandbox, behavioral monitoring, containment e revoca rapida, behavioral manifest firmati e verificati, reintegro solo dopo verifica e approval umano.
Mitigazioni trasversali e best practice
- Applicare always least privilege e least agency: ridurre autonomia e privilegi inutili per agenti e tool.
- Sanificare e validare qualsiasi input (prompt, tool, dati, documenti, canali di comunicazione).
- Usare sandbox e enforcement policy a ogni livello di azione e comunicazione tra agenti.
- Impostare un sistema di logging esaustivo, tracciabilità, alerting su anomalie e test periodici (red teaming e digital twin replay).
- Integrare kill switch per revoca immediata, staged rollout, resilience delle dependency e governance di supply chain.
- Prevedere human-in-the-loop per azioni critiche e fuori policy, formazione continua e feedback sugli abusi di trust.
Riferimenti e approfondimenti
- Documento OWASP GenAI Security Project
- Incidenti aggiornati in GitHub ASI Exploits & Incidents
La sicurezza dei sistemi agentici richiede mitigazioni mirate a limitare autonomia, isolare contesti, validare ogni canale e azione, monitorare i segnali di devianza e reagire rapidamente tramite strumenti di auditing e controllo.