La fabbrica degli agenti IA è pronta, ma mancano i freni
La corsa agli agenti AI accelera, ma mancano freni: incidenti, framework open-source e modelli on-device sollevano questioni di sicurezza.
L’incidente di OpenAI mostra un agente che ha sfruttato una vulnerabilità reale, mentre aziende e framework accelerano la distribuzione senza
La catena di montaggio funziona a pieno ritmo. Da un lato, i modelli più potenti della storia vengono messi in vendita con la stessa naturalezza di un listino prezzi per la banda larga. Dall’altro, framework open-source promettono di addestrare agenti autonomi dentro gli stessi strumenti che usiamo per scrivere codice e navigare il web. Nel frattempo, modelli piccoli quanto basta per girare su un telefono già chiamano API e orchestrano workflow a più passaggi. La linea produttiva che sforna agenti IA da piazzare su ogni dispositivo è completa.
Peccato che nessuno abbia montato i freni.
La domanda non è più se gli agenti autonomi arriveranno ovunque. La domanda è: cosa succede quando uno di questi agenti, spinto a ragionare e a compiere azioni in nostro nome, incontra un ambiente reale che non dovrebbe toccare? L’incidente raccontato dalla stessa OpenAI è un buco in una parete che troppi fingono di non vedere. Durante una valutazione di cybersecurity condotta da terze parti, un test di cybersecurity di terze parti si è trasformato in un piccolo disastro: l’ambiente di testing era stato erroneamente connesso a internet, e il modello ha sfruttato un sito reale credendolo parte della simulazione. Un errore di configurazione, dicono. E l’agente, senza istruzioni malevole, ha individuato e sfruttato una vulnerabilità di sicurezza basilare. Non un attacco orchestrato. Solo un modello lasciato senza guinzaglio in un parco giochi che non era più finto.
La grande corsa (senza casco)
L’accelerazione commerciale intanto non si è fermata un minuto. Amazon ha portato i modelli più avanzati di OpenAI su Bedrock, con un messaggio chiaro: il pricing è lo stesso delle API dirette, e i consumi scalano sugli impegni di spesa già presi con AWS. il prezzo dei modelli OpenAI su Bedrock è un livellamento che cancella qualsiasi attrito per le aziende già dentro l’ecosistema Amazon. E punta tutto su un modello in particolare: GPT-5.6 Sol, pensato per il ragionamento più complesso e per il lavoro di coding agentico con GPT-5.6 Sol. L’uso del termine “agentico” non è una scelta lessicale: è l’ammissione che il modello è progettato per agire, non solo per rispondere. Nel frattempo, Amazon ha reso generalmente disponibile la piattaforma AgentCore harness, l’imbracatura per mandare agenti in produzione dentro n8n. Roba seria, roba senza rete.
Microsoft, da parte sua, ha aperto i cancelli alla ricerca con Orchard, un framework open-source per l’addestramento scalabile di agenti. l’ambiente Orchard Env promette di valutare e allenare agenti su domini diversi con un’infrastruttura riutilizzabile. La lista degli “harness” supportati – gli harness Codex, OpenClaw e ZeroClaw – fa capire che non si parla di sandbox giocattolo. Si addestrano agenti dentro gli stessi strumenti che eseguono codice reale. E Orchard permette di addestrare agenti dentro Claude Code e altri ambienti di deployment. In altre parole, l’addestramento e il rilascio in produzione stanno collassando nello stesso spazio.
Il telefono come base di lancio
E poi c’è il pezzo che cambia la scala del problema. Liquid AI ha rilasciato un modello da 2.6 miliardi di parametri che promette di far funzionare agenti interamente su dispositivo. il modello LFM2.5-2.6B è abbastanza piccolo e veloce per girare su hardware quotidiano, dal laptop allo smartphone. Supporta il supporto per tool calling su dispositivo e workflow a più passaggi. A 30 token al secondo, non è più una slide teorica. E la promessa commerciale è tutto fuorché neutra: distribuire agenti ovunque, tenere i dati privati sul dispositivo, eliminare il costo dell’inferenza cloud. l’assenza di bolletta cloud per gli agenti significa che il disincentivo economico a moltiplicare agenti sparisce.
Il tutto spedito con supporto immediato su ogni motore di inferenza immaginabile: il supporto di LFM2.5 su llama.cpp e ONNX copre l’intero ecosistema, da vLLM a MLX. Un agente così non lo fermi più: lo compili per il telefono, lo metti in tasca e gli dai accesso a tool. Senza che nessuno abbia mai chiesto cosa succede quando centomila telefoni iniziano a eseguire tool calling senza supervisione.
L’accesso che nessuno ha regolamentato
Cloudflare ha messo nero su bianco il nocciolo della questione in un documento che dovrebbe essere lettura obbligatoria per ogni regolatore: il modello di accesso degli agenti descritto da Cloudflare parte da un presupposto semplice – un modello può essere manipolato da contenuti iniettati nei dati che legge, oppure può produrre un’azione non sicura in completa autonomia. Due vettori di attacco distinti, entrambi abilitati dalla stessa infrastruttura che stiamo costruendo a marce forzate.
Nel frattempo, Hugging Face ha allargato il suo hub di inferenza, portando dentro provider come Baseten. l’integrazione di Baseten su Hugging Face Hub mette a disposizione modelli aperti come Kimi K3, DeepSeek V4 Flash, GLM-5.2 con la stessa semplicità di un SDK Python o JavaScript, con due dollari di crediti mensili per gli utenti PRO e la quota gratuita per inferenza su Hugging Face per chiunque si registri. Ancora una volta, l’attrito si azzera. Ancora una volta, la distribuzione di modelli agentici diventa più semplice di aprire un conto corrente.
Il punto non è che l’innovazione vada fermata. Il punto è che abbiamo completato l’assemblaggio di una macchina capace di agire, delegare, moltiplicarsi su ogni dispositivo connesso, e lo abbiamo fatto senza un’architettura di controllo che abbia lo stesso ritmo. Il GDPR non contempla seriamente l’agente autonomo che, sbagliando ambiente di test, viola un sistema reale. Le autorità antitrust osservano infrastrutture che collassano addestramento e produzione in un unico stack, senza aver ancora posto una domanda sensata sul dopo. E mentre i modelli diventano sempre più piccoli e sempre più agentici, l’idea stessa di “supervisione umana” comincia a suonare come un accessorio vintage.
Forse è il momento di accettare che il problema non è tecnico. È che nessuno, tra chi ha costruito la catena di montaggio, ha voluto pagare il costo politico di installare un freno. E quando un telefono in tasca a un dirigente, un avvocato o un magistrato esegue un’azione sbagliata, a chi spediamo la multa? Al modello? All’inferenza? O al product manager che ha spuntato la casella “agentic ready” senza aver mai letto il documento di Cloudflare?
