Il gateway dell’AI decide in 3 millisecondi se puoi agire
Un giudice automatico decide in 100 millisecondi senza appello: policy Cedar, microVM e filtri. Ma chi controlla? Sfide GDPR e AI Act.
Il gateway dell’agente valuta la richiesta, la esegue e archivia senza motivazione, mentre l’audit umano resta indietro
Esiste un posto dove un giudice decide se un’azione è lecita, la esegue e poi archivia il caso senza motivazione. Non è un tribunale: è il gateway di un agente AI. E il tempo per contestare la sentenza è inferiore al battito di ciglia.
Il controllo non è più una fase umana. Secondo i controlli di sicurezza MCP, la richiesta può essere fermata prima dell’esecuzione se giudicata non sicura. Non serve nemmeno decifrare il traffico: l’hook del client osserva server di destinazione, nome dello strumento e argomenti prima che la richiesta venga serializzata.
Prima, per conoscere l’identità di un utente serviva il rito del JWT: parsing, verifica della firma, estrazione dei claims. Ora quel passaggio è assorbito da servizi come l’accesso protetto da Workers. L’autenticazione non è più un collo di bottiglia umano, ma un filtro automatico.
Chi firma il permesso quando il permesso è già firmato?
La risposta dei costruttori è l’isolamento fisico. Ogni sessione riceve una microVM dedicata, una specie di cella blindata. È la runtime di AgentCore a imporre la separazione strutturale. L’identità del tenant arriva da un provider OAuth 2.0 con JWT che trasportano un claim unico: l’autenticazione con claim tenant.
Ma i tenant condividono la stessa runtime. Ogni chiamata a uno strumento deve quindi passare attraverso il gateway dei confini tenant prima che il codice venga eseguito. Nel gateway convivono i due meccanismi di enforcement. Il primo usa regole Cedar per valutare ogni chiamata contro gli attributi dell’identità: è il motore di policy Cedar a produrre il verdetto allow o deny. Il secondo entra in azione prima che la chiamata raggiunga l’obiettivo: estrae il JWT, recupera il contesto tenant e scambia il token con credenziali IAM a breve termine tramite AssumeRole.
È l’interceptor REQUEST con scambio di credenziali. E a valle, un interceptor RESPONSE può filtrare la scoperta degli strumenti in base all’identità: il filtraggio degli strumenti in risposta.
Ma chi controlla queste policy? Un auditor umano potrebbe passare anni a ricostruire la catena di decisioni, ma intanto le credenziali sono già state assunte e la chiamata eseguita.
La sentenza in 100 millisecondi
Nel rilevamento frodi, non c’è spazio per l’appello: la decisione deve arrivare entro la soglia dei 100 millisecondi. Superato quel limite, la frode è già andata a segno. Per questo i feature store come archiviano le feature in memoria, non su disco. I dati vengono arricchiti in volo da il motore Flink prima di essere scritti. E la metrica che interessa davvero non è la correttezza della feature, ma il monitoraggio della latenza.
E se non esiste l’appello?
Il GDPR e l’AI Act europeo richiedono che decisioni automatizzate significative siano spiegabili e contestabili. Ma come si contesta una policy Cedar che ha negato l’accesso a uno strumento in 3 millisecondi? Non esiste un modulo di ricorso. Non esiste un giudice umano. Solo un log che nessuno leggerà mai.
E se un giorno il giudice automatico sbaglia, chi lo fermerà? Non il sistema: ha già deciso che il permesso era suo da dare.
