La partita degli agenti AI si gioca sul cruscotto
La vera promessa dell'AI agentica è l'autonomia tracciabile, garantita da policy formali, rate limiting e telemetria, non dalle dimensioni del modello.
Cedar e Dogwood impongono policy verificabili e limiti temporali, mentre OpenTelemetry riconduce ogni token al centro di costo
La differenza tra un agente che esegue un compito e un agente che diventa un vettore di spesa incontrollata non sta nel modello linguistico che lo alimenta. Sta in un dettaglio architetturale che quasi nessuno discute: la capacità di interrompere una catena di azioni nel momento esatto in cui l’autorizzazione decade. Amazon lo ha capito e lo ha tradotto in Cedar, il linguaggio di autorizzazione open source che impone confini deterministici e verificabili su ciò che un agente può fare. Non linee guida, non prompt di sistema: policy formali che un compilatore può validare prima del deployment.
Se Cedar definisce il perimetro, il vero meccanismo di controllo emerge quando ogni azione dell’agente viene valutata ex novo contro tre elementi: l’identità dell’agente, l’attività autorizzata e le risorse già toccate nel grafo delle policy. Il principio è radicale: l’autorizzazione per un’operazione non si eredita da quella precedente.
Il modello di accesso agentico di Cloudflare spiega questa atomizzazione con una chiarezza che manca alla maggior parte delle architetture enterprise. Ogni singolo passo viene valutato separatamente, e questo cambia tutto per chi deve mettere in produzione senza moltiplicare i rischi.
Non è il modello a sforare il budget
L’ossessione per i benchmark nasconde il problema reale: consumare token a velocità sostenibile. La configurazione del rate limiting su AgentCore Gateway permette di definire regole basate su OAuth o IAM per richieste al minuto, connessioni concorrenti e throughput di token. La parte meno raccontata è che il conteggio di input e output token nel rate limiting non fa sconti: entrambi incidono sui limiti, e questa simmetria costringe a progettare flussi dove l’agente non può semplicemente generare output lunghissimi per compensare prompt scarni.
Il limite di velocità non è soltanto una misura di costo. È un controllo di sicurezza operativa che impedisce escalation a cascata. Quando il sistema di rate limiting sul gateway di AgentCore applica i vincoli per utente attraverso ogni strumento, modello e agente dietro il gateway, sta imponendo che un singolo account OAuth o IAM non possa saturare l’intera capacità di calcolo disponibile. In architetture multi-tenant, questo è l’unico argine contro i runaway loop.
Sequenze pericolose, non azioni singole
La novità più rilevante emersa di recente non è un modello più potente ma Dogwood, un nuovo linguaggio di policy open source per agenti AI, creato per estendere le politiche di AgentCore oltre il singolo passo. Dogwood valuta le azioni in sequenza, riconoscendo che un’operazione innocua se presa isolatamente può diventare distruttiva se ripetuta dieci volte. La valutazione sequenziale delle politiche temporali introduce vincoli come “puoi chiamare questa API al massimo cinque volte in un minuto e solo se non hai già modificato la stessa risorsa nel passo precedente”. Non è intelligenza artificiale: è controllo deterministico innestato su un sistema probabilistico.
Questa combinazione di rate limiting a livello gateway e politiche temporali ridefinisce lo stack di sicurezza per agenti. Senza di essa, qualsiasi architettura agentica è esposta a un problema che i modelli linguistici da soli non risolveranno mai: la mancanza di memoria dei vincoli operativi tra un’inferenza e l’altra.
Tracciare ogni token fino al centro di costo
Se non puoi attribuire il consumo, non puoi addebitarlo né giustificarlo. Le metriche OpenTelemetry emesse da Codex risolvono questo problema alla radice: espongono dati granulari come codex.turn.token_usage, codex.turn.tool.call e codex.conversation.turn.count direttamente nel flusso di osservabilità. A valle, la dashboard di Codex per dipartimenti e centri di costo incrocia modello, tipo di token, utente e team con la sessione di origine.
L’attribuzione scende a livello di singola chiamata grazie a l’attribuzione delle metriche per utente con il local collector, che inietta obbligatoriamente user.id ed user.email come attributi di risorsa OpenTelemetry. Per la spesa reale, i report di costo IAM di CUR 2.0 chiudono il cerchio, associando il principal IAM a ogni frazione di dollaro consumata su Amazon Bedrock.
Tutto questo non serve a dimostrare che l’AI agentica funziona. Serve a dimostrare che può funzionare sotto il controllo della tesoreria aziendale, con audit trail completi e senza sorprese il giorno della chiusura contabile. Chi progetta agenti oggi deve smettere di inseguire l’ultimo modello e iniziare a costruire il cruscotto che trasformerà un prototipo in un servizio. La partita si vince quando il CFO può aprire una dashboard e vedere, per ogni dipartimento e per ogni agente, esattamente quanti token sono stati consumati e se le policy temporali hanno bloccato una sequenza anomala prima che diventasse un incidente. Senza questo livello di tracciabilità, gli agenti restano giocattoli per demo.
La vera promessa dell’AI agentica non è l’autonomia: è l’autonomia tracciabile. E il tracciamento si costruisce con linguaggi di policy, limiti di velocità e telemetria, non con le dimensioni del modello.
