International Watch · Agentic AI · Identity Governance · Deeper QEN Analysis
Un agente non può agire con l’identità dell’utente
I dieci principi NIST trasformano identità, mandato, autorizzazione ed evidenze in un’architettura operativa per governare gli agenti di IA.
· Cognitive Logic · Cut-off: 28 ottobre 2026
Stato: indicazioni tecniche preliminari e volontarie pubblicate dal NIST il 27 ottobre 2026. Non costituiscono una norma vincolante, una NIST Special Publication definitiva o un nuovo requisito federale.
L’identità dell’utente non basta
Un agente di intelligenza artificiale può consultare documenti, utilizzare strumenti, chiamare API, comunicare con altri agenti e completare transazioni. Se opera utilizzando direttamente l’identità e i privilegi dell’utente, diventa però difficile distinguere chi abbia realmente compiuto ogni azione.
La domanda non è soltanto chi abbia avviato il processo. Occorre ricostruire quale agente sia stato eseguito, chi gli abbia conferito il mandato, quali autorizzazioni abbia ricevuto, quali limiti fossero attivi e quali evidenze permettano di verificarne le azioni.
Il NIST ha pubblicato il 27 ottobre 2026 dieci principi per progettare sistemi di identità, autenticazione e autorizzazione destinati agli agenti di IA.
Il documento non introduce nuovi obblighi. Definisce però una prima architettura operativa per impedire che l’autonomia tecnica produca una zona priva di attribuzione, controllo e responsabilità.
Dalla gestione dell’incidente alla prevenzione
Il nuovo documento completa le pratiche congiunte NIST, NSA e CISA sugli incidenti degli agenti avanzati, pubblicate il 16 ottobre 2026.
Quelle pratiche riguardavano rilevamento, contenimento, arresto, conservazione delle evidenze e decisione di riavvio. I nuovi principi intervengono prima dell’incidente: definiscono come l’agente debba essere identificato, incaricato e autorizzato.
mandante → mandato → identità → delegazione → autorizzazione → azione → evidenza
Se uno di questi collegamenti manca, anche un registro tecnicamente completo può non essere sufficiente a stabilire perché un’azione fosse consentita e chi ne fosse responsabile.
Un’identità distinta e verificabile
Il primo principio richiede che ogni agente possieda un’identità distinta da quella degli utenti umani e dai comuni service account.
L’identità dovrebbe essere crittograficamente verificabile e collegata almeno allo specifico workload, all’ambiente di esecuzione, alla configurazione approvata, alla versione dell’agente e all’organizzazione responsabile.
L’agente non dovrebbe quindi presentarsi a un servizio esterno come se fosse semplicemente l’utente che lo ha attivato. Questa distinzione consente di attribuire le azioni alla componente software che le ha materialmente eseguite.
Non elimina la responsabilità umana o organizzativa. Permette, al contrario, di collegarla a un soggetto tecnico identificabile.
La delegazione non può ampliare l’autorità
Gli agenti possono affidare parti del compito a sub-agenti o servizi esterni. Il NIST propone che l’intera catena di delegazione resti crittograficamente collegata al soggetto che ha conferito il mandato originario.
L’autorità deve inoltre ridursi lungo la catena. Un sub-agente non dovrebbe ricevere privilegi superiori a quelli dell’agente che lo ha incaricato.
Questo criterio contrasta la perdita di attribuzione nelle architetture multi-agente e l’accumulo progressivo di autorizzazioni durante l’esecuzione.
Per ogni delegazione dovrebbe essere possibile dimostrare chi l’abbia generata, quale compito sia stato trasferito e quali limiti siano stati mantenuti.
Nessun privilegio permanente
Il terzo principio combina minimo privilegio, separazione delle funzioni e assenza di autorizzazioni permanenti.
Un agente inattivo non dovrebbe conservare diritti operativi. Quando riceve un compito, dovrebbe ottenere soltanto gli accessi indispensabili per completarlo.
Le autorizzazioni dovrebbero essere temporanee, circoscritte a uno specifico destinatario, collegate al compito, revocabili durante l’esecuzione e nuovamente verificate per ciascun accesso rilevante.
Questa impostazione riduce gli effetti di credenziali sottratte, manipolazione del contesto e deviazione dell’agente dal mandato originario.
La supervisione umana richiede soglie
Il NIST non tratta la supervisione umana come una generica presenza nel processo. Richiede soglie di rischio capaci di interrompere l’autonomia e trasferire la decisione alla persona competente.
L’escalation dovrebbe conservare l’evento che l’ha attivata, il rischio rilevato, l’azione proposta, il contesto necessario, il responsabile della decisione, la motivazione e l’eventuale override.
Il documento segnala inoltre il rischio di consent fatigue: se le richieste di approvazione sono troppo frequenti o prive di informazioni utili, la revisione umana può trasformarsi in una conferma automatica.
La qualità del controllo dipende quindi dall’autorità del revisore e dalla sufficienza delle evidenze presentate.
Il mandato deve precedere l’azione
Uno degli elementi più innovativi riguarda il mandato crittograficamente firmato.
Prima dell’esecuzione, il soggetto che incarica l’agente dovrebbe poter definire risultato atteso, azioni consentite e vietate, strumenti utilizzabili, dati accessibili, limiti economici o temporali e condizioni che impongono l’escalation.
Il mandato può accompagnare l’agente durante l’interazione con strumenti, servizi e altri agenti. Diventa così una base verificabile per autorizzazione, audit e attribuzione della responsabilità.
Il NIST non indica ancora uno standard interoperabile definitivo per rappresentarlo. La nozione di intento, le informazioni da includere e la tutela dei dati personali restano temi aperti.
Il modello non deve autorizzare sé stesso
Il settimo e l’ottavo principio separano il reasoning dell’agente dalla decisione di accesso.
Il modello può stabilire quale azione vorrebbe compiere. Non dovrebbe però essere la stessa componente probabilistica a decidere se l’azione sia autorizzata.
Il NIST propone che reasoning e policy enforcement siano architetturalmente separati, che l’accesso sia governato principalmente da regole deterministiche e che prompt o contenuti non affidabili non possano modificare credenziali e permessi.
Questa separazione riconosce un limite strutturale: nei modelli linguistici dati e istruzioni entrano attraverso lo stesso flusso. Le sole guardrail applicate al modello non costituiscono quindi un sistema completo di autorizzazione.
Monitoraggio ed evidenze indipendenti
Gli ultimi due principi riguardano monitoraggio continuo e prove immutabili.
Il sistema dovrebbe rilevare comportamento anomalo, variazioni della configurazione, escalation dei privilegi, deviazioni dal mandato, accessi insoliti e compromissione dell’agente o dell’ambiente.
Le evidenze non dovrebbero essere conservate in un registro modificabile dallo stesso agente.
Il NIST richiede una catena di custodia indipendente, resistente alle alterazioni e append-only, comprendente identità, mandato, delegazioni, autorizzazioni, chiamate agli strumenti, azioni eseguite o respinte, timestamp, risultati ed escalation umane.
Un agente compromesso non deve poter cancellare o riscrivere la storia delle proprie azioni.
Dieci principi, dieci verifiche
| Principio NIST | Controllo da verificare | Evidenza essenziale |
|---|---|---|
| Identità distinta | Identità separata da utenti e service account | ID agente, versione, workload e configurazione |
| Delegazione | Autorità collegata e progressivamente attenuata | Mandante, scope iniziale e scope derivati |
| Privilegio minimo | Nessun diritto permanente quando l’agente è inattivo | Matrice dei permessi ed eccezioni autorizzate |
| Autorizzazione revocabile | Accessi temporanei e contestuali | Token, durata, audience, revoche e accessi respinti |
| Escalation umana | Soglie che bloccano le azioni sensibili | Trigger, revisore, decisione e motivazione |
| Mandato | Obiettivo e limiti definiti prima dell’azione | Mandato firmato e strumenti autorizzati |
| Separazione architetturale | Reasoning distinto dal policy enforcement | Architettura, regole e test di prompt injection |
| Accesso deterministico | Decisioni allow/deny governate da policy | Regola applicata, input e risultato |
| Monitoraggio continuo | Rilevazione di anomalie, drift e abusi | Baseline, soglie, alert e azioni correttive |
| Evidenza immutabile | Log indipendenti e append-only | Timestamp, hash, azioni e catena di custodia |
Fatto, limite e inferenza
Fatto verificato: il NIST ha pubblicato dieci principi iniziali per la gestione dell’identità e delle autorizzazioni degli agenti, elaborati anche sulla base di oltre 600 contributi ricevuti dal progetto NCCoE.
Fatto verificato: il progetto mira a produrre una futura guida NIST SP 1800 con architetture, implementazioni dimostrative e lezioni operative.
Limite: i principi non costituiscono ancora uno standard definitivo. Non esiste una certificazione di conformità né un unico protocollo approvato per identità, mandato e delegazione.
Inferenza: questi principi possono diventare un riferimento per contratti, due diligence, assurance e valutazioni dei sistemi agentici anche fuori dagli Stati Uniti. L’autorevolezza tecnica del NIST non li rende, da sola, giuridicamente obbligatori.
La lettura QEN
Per QEN Sovereign, il contributo principale consiste nella distinzione tra agente, mandante e autorità esercitata.
Un’azione non è verificabile soltanto perché compare in un log. È necessario collegarla a:
identità → mandato → autorizzazione → contesto → azione → risultato → decisione
Il quadro di valutazione dovrebbe quindi considerare identità e versione dell’agente, provenienza del mandato, catena delle delegazioni, autorizzazione applicata alle chiamate degli strumenti, separazione tra reasoning ed enforcement, soglie di escalation e integrità delle evidenze.
Questa lettura non implica che tali controlli siano già presenti o assenti nell’implementazione QEN. Definisce il perimetro di una verifica documentata.
L’AI Governance Assessment può utilizzare i principi NIST come riferimento per distinguere un controllo dichiarato da un controllo sostenuto da evidenze verificabili.
Conclusione
Un agente non dovrebbe agire usando indistintamente l’identità dell’utente. Deve poter essere riconosciuto come soggetto tecnico distinto, senza diventare per questo un soggetto privo di responsabilità.
L’identità serve a stabilire quale componente abbia agito. Il mandato indica perché fosse autorizzata. La delegazione mostra come l’autorità sia stata trasferita. Le evidenze permettono di verificare se l’azione abbia rispettato i limiti.
La governance degli agenti comincia quando questa catena resta ricostruibile anche dopo che l’azione è stata completata.
Fonti primarie
- NIST, Design Tenets for Agent Identity Management Systems, 27 ottobre 2026.
- NCCoE, Agentic AI Identity and Authorization Project Resource Hub.
- NCCoE, Software and AI Agent Identity and Authorization.
- NCCoE, Summary of Comments on the Concept Paper.
- NIST, Key Practices for Incident Readiness and Response, 16 ottobre 2026.
Fonti consultate il 28 ottobre 2026. L’analisi distingue le indicazioni ufficiali NIST dalle inferenze editoriali e metodologiche di Cognitive Logic.