La crescita delle architetture agentiche e le nuove superfici di fiducia
Negli ultimi anni la diffusione di soluzioni basate su agenti di intelligenza artificiale e di server Model Context Protocol (MCP) ha accelerato l’automazione di processi complessi. Gli agenti possono comunicare tra loro, utilizzare strumenti, accedere a servizi interni e portare avanti attività con un livello di autonomia mai visto prima.
Questa efficienza, però, introduce nuovi punti di confine di fiducia: ogni collegamento tra agenti, strumenti e protocolli crea una potenziale zona di attacco. Se un agente viene compromesso, gli altri componenti della catena lo riconoscono come affidabile e lo impiegano come veicolo per eseguire comandi dannosi senza la dovuta verifica.
Il ruolo critico del Model Context Protocol
Il problema si manifesta soprattutto all’interfaccia tra il Model Context Protocol (MCP) e i protocolli di comunicazione inter‑agent. Il destinatario riceve una richiesta apparentemente proveniente da un componente interno fidato e, di conseguenza, applica controlli meno stringenti rispetto a un input esterno.
Il server MCP, inoltre, è in grado di memorizzare credenziali e di concedere l’accesso a servizi interni, rendendo più facile per un agente compromesso sfruttare la fiducia consolidata.
Esempi concreti: CVE‑2026‑14540 e CVE‑2026‑97228
Google MCP Toolbox è stata colpita dalla vulnerabilità CVE‑2026‑14540. Grazie a un meccanismo di reindirizzamento, un attaccante poteva indurre il server a connettersi a indirizzi interni o esterni arbitrari. Google ha valutato il problema con 8 punti su CVSS 4.0 e lo ha corretto nella versione 1.5.0.
Parallelamente, Rapid7 Bulk Export MCP ha subito la vulnerabilità CVE‑2026‑97228, che ha ottenuto 2,7 punti CVSS. Questa falla permetteva l’inserimento di dati malevoli in una richiesta GraphQL, aprendo la porta a ulteriori compromissioni.
Protocol pivoting: la nuova catena di attacco
L’esperto di sicurezza Siyed Anas Mohiuddin ha definito il fenomeno “protocol pivoting”. In questo scenario, l’attaccante entra attraverso un protocollo (ad esempio MCP), sfrutta la fiducia tra i componenti e raggiunge funzionalità esposte da un altro protocollo.
Nel modello descritto, un’istruzione dannosa può attraversare diversi agenti, anche se ciascuno di essi esegue formalmente il proprio compito standard. La fiducia implicita tra gli agenti diventa così il ponte per l’attacco.
Raccomandazioni per sviluppatori e amministratori
La lezione principale per chi progetta e gestisce agenti di intelligenza artificiale è semplice ma fondamentale: l’output del modello e i messaggi scambiati tra agenti devono essere trattati come input non fidati. Per mitigare il rischio è necessario:
- Implementare un’autorizzazione separata per ogni azione sensibile, anche se generata da un agente interno.
- Verificare rigorosamente tutti i parametri ricevuti, indipendentemente dalla loro origine.
- Applicare limiti di rete (whitelisting, sandboxing) per impedire comunicazioni non autorizzate verso risorse interne.
- Monitorare costantemente i log di MCP e dei componenti collegati per rilevare comportamenti anomali.
Solo adottando queste misure è possibile interrompere la catena di fiducia che altrimenti si trasformerebbe in un percorso diretto per l’attaccante.
Prospettive future e conclusioni
Con l’espansione continua delle architetture agentiche, la superficie di attacco basata sulla fiducia inter‑agent crescerà in parallelo. Le vulnerabilità recenti dimostrano che gli hacker sono già pronti a sfruttare questo nuovo scenario.
È quindi indispensabile che sviluppatori, fornitori di piattaforme MCP e responsabili della sicurezza collaborino per definire standard di verifica più severi, includendo meccanismi di firma digitale per i messaggi e controlli di integrità a livello di modello.
In sintesi, la fiducia tra intelligenze artificiali, se non adeguatamente controllata, può diventare il più grande punto debole del sistema. Un approccio basato su “zero trust” anche all’interno di ambienti altamente automatizzati è l’unica via per preservare la sicurezza senza sacrificare l’efficienza.