# OWASP Top 10 per agenti AI: come usarla in una PMI

[Pagina originale](https://danilolapegna.com/guides/owasp-top-10-agentic-pmi.html)

Lingua: it. Aggiornamento del contenuto: 2026-10-16.

Dieci domande per verificare la sicurezza di un agente AI, cinque prove da cui partire e i risultati da conservare dopo i test.

Un agente AI trasforma email d'ordine in bozze nel gestionale. Un addetto conferma prima dell'invio: sembra un flusso prudente. Ma se le credenziali dell'agente permettono di scrivere direttamente sugli ordini, esiste un altro percorso che può aggirare quella conferma.

Parti da questa verifica: chiedi a chi gestisce il sistema quali azioni siano davvero consentite alle credenziali dell'agente. Per un flusso che prepara soltanto bozze, la conferma definitiva dell'ordine deve essere negata anche quando viene tentata direttamente.

La [OWASP Top 10 for Agentic Applications 2026](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/) organizza dieci categorie di rischio per questi sistemi. Pubblicata nel dicembre 2025, è un riferimento tecnico, non una legge né una certificazione. Serve a trasformare «è sicuro?» in domande e prove sul tuo caso.

## Che cosa cambia quando l'AI può agire

Un modello che scrive testo può sbagliare la risposta. Un agente dispone anche di strumenti: può leggere archivi, inviare email o modificare dati. L'errore può quindi diventare un'azione esterna.

Le istruzioni contenute in una email o in un documento possono influenzare il modello e deviarlo dal compito. Non sono codice eseguibile, ma possono indurre il sistema a usare uno strumento in modo pericoloso. Va protetto il passaggio dal contenuto letto all'azione autorizzata.

Conta anche la combinazione degli strumenti. Leggere una scheda cliente e inviare un'email sono due capacità utili; insieme possono consentire la divulgazione di informazioni al destinatario sbagliato. Elencare gli strumenti singolarmente non basta a capire quali percorsi consentono.

## Le dieci categorie, tradotte in domande concrete

| Codice e nome OWASP | Domanda da fare sul sistema |
|---|---|
| ASI01 · Agent Goal Hijack | Un testo esterno può cambiare l'obiettivo dell'agente? |
| ASI02 · Tool Misuse & Exploitation | Uno strumento può essere usato con parametri o sequenze pericolose? |
| ASI03 · Identity & Privilege Abuse | Le credenziali consentono più del necessario o permettono di assumere un ruolo non autorizzato? |
| ASI04 · Agentic Supply Chain Vulnerabilities | Un aggiornamento di modello, strumento o dipendenza può alterare il comportamento senza verifica? |
| ASI05 · Unexpected Code Execution | Il sistema può eseguire codice che non avevi previsto? |
| ASI06 · Memory & Context Poisoning | Un'istruzione ostile può restare in memoria e influenzare richieste successive? |
| ASI07 · Insecure Inter-Agent Communication | Un agente può accettare un messaggio senza verificarne origine e autorità? |
| ASI08 · Cascading Failures | Un errore può propagarsi ad altri agenti o creare nuove esecuzioni? |
| ASI09 · Human-Agent Trust Exploitation | Una risposta convincente può indurre la persona a confermare senza controllare? |
| ASI10 · Rogue Agents | Esistono agenti non autorizzati, compromessi o rimasti attivi senza un responsabile? |

Per ciascuna categoria annota un evento possibile, il controllo che dovrebbe fermarlo e la prova da raccogliere. Se non è pertinente, scrivi perché: un agente senza memoria persistente non ha lo stesso caso di prova di uno che conserva istruzioni fra sessioni.

## Cinque verifiche da cui partire

Questo è un ordine di lavoro proposto, non una graduatoria statistica dei problemi nelle PMI.

**Obiettivo, ASI01.** In un ambiente di prova isolato, aggiungi a una richiesta lecita un'istruzione che tenta di far leggere i dati di un altro cliente. Verifica separatamente che il modello mantenga il compito e che il sistema di autorizzazione impedisca comunque l'accesso. La [guida alla prompt injection](https://danilolapegna.com/guides/prompt-injection-2026-case-study-pmi.html) spiega come preparare la prova.

**Permessi, ASI03.** Riprendi l'ordine dell'apertura: creare una bozza deve riuscire; confermarlo usando le credenziali dell'agente deve fallire. Se le due azioni non possono essere separate, limita l'accesso attraverso un componente dedicato o lascia manuale quel passaggio. Vedi [permessi minimi per agenti AI](https://danilolapegna.com/guides/permessi-minimi-ai-agents-least-authority.html).

**Dipendenze, ASI04.** Registra modello, strumenti e versioni impiegate. Il DPA, cioè l'accordo sul trattamento dei dati personali, disciplina aspetti del trattamento: non garantisce che il modello rimanga identico. Per gli aggiornamenti servono condizioni del servizio, scelta di una versione fissa quando disponibile e prove ripetibili sui casi critici prima del cambio.

**Memoria, ASI06.** Inserisci un'istruzione ostile in un documento sintetico e verifica che non venga conservata come regola per il lavoro futuro. In una sessione successiva ripeti una richiesta lecita. La conservazione di dati personali è una verifica distinta: finalità, accessi e cancellazione non si risolvono soltanto impedendo l'avvelenamento della memoria.

**Controllo umano, ASI09.** Presenta al revisore una bozza con un errore noto, senza coinvolgere clienti reali. Può confrontarla con la fonte? Ha tempo e autorità per respingerla? Una casella «approvato» dimostra un passaggio nel flusso, non la qualità della verifica.

## Leggere correttamente l'esito

Nell'esempio iniziale, correggi i permessi nell'ambiente di prova. Esegui un ordine normale: deve arrivare alla bozza. Tenta poi la conferma diretta: il sistema deve negarla. Infine verifica che il rifiuto sia registrato e che una persona possa completare il lavoro dal percorso autorizzato.

Questa sequenza evita due errori opposti: dichiarare sicuro un sistema perché il modello ha rifiutato una volta, oppure bloccare il lavoro legittimo senza accorgersene. Quando manca una prova su un'azione critica, mantieni limitata quell'azione mentre chiarisci il controllo.

Il criterio progettuale che conta qui è che **la conferma umana protegge soltanto i percorsi che la attraversano**. Per questo controllo prima l'autorità effettiva degli strumenti, poi la qualità delle istruzioni al modello.

## Dalle prove alla documentazione

Conserva istruzioni versionate, mappa dei permessi, scenari provati, risultati e procedura per fermare il sistema. Per ogni controllo indica chi lo mantiene e quando va rieseguito, soprattutto dopo cambi di modello, strumenti o dati.

La documentazione rende verificabile il lavoro; non sostituisce controlli funzionanti. Il [quadro completo sulla sicurezza agentica](https://danilolapegna.com/guides/sicurezza-agentica-pmi.html) collega questi elementi. Per ricostruire le azioni senza registrare informazioni inutili, continua con la [guida ai log](https://danilolapegna.com/guides/audit-ready-agents-logging-incident-response.html).

OWASP e obblighi di legge restano distinti. Per capire se il tuo utilizzo comporta obblighi AI Act, usa la [guida per aziende e PMI](https://danilolapegna.com/guides/ai-act-per-aziende-pmi.html). Se fornisci un servizio a un cliente finanziario nel perimetro DORA, le richieste contrattuali vanno valutate sulla funzione supportata.

## Il prossimo passo

Scegli un flusso e prepara la tabella evento, controllo, prova, responsabile. Se riesci a eseguire e mantenere le verifiche internamente, hai già una strada. Se emerge un'azione importante senza controllo dimostrabile, porta la tabella al [servizio di sicurezza per agenti AI](https://danilolapegna.com/services/hardening-controllo-agente-ai). La prima decisione è delimitare quella lacuna, non comprare indiscriminatamente altri strumenti.

## Domande frequenti

### Cos'è la OWASP Top 10 for Agentic Applications?

Un riferimento tecnico pubblicato da OWASP nel dicembre 2025. Organizza dieci categorie di rischio, identificate dai codici ASI01–ASI10, per sistemi che usano strumenti, memoria e azioni concatenate. Completa la Top 10 per applicazioni basate su modelli linguistici con le verifiche specifiche degli agenti.

### La OWASP Top 10 Agentic è obbligatoria per legge?

No, è un framework di riferimento, non un obbligo normativo. Può però essere usato in due diligence o nei requisiti contrattuali. Mappare i controlli alle categorie OWASP rende verificabile il ragionamento senza trasformare il framework in una certificazione.

### Da quali rischi conviene iniziare la verifica?

La guida propone di partire da istruzioni ostili, permessi, dipendenze, memoria e controllo umano: categorie ASI01, ASI03, ASI04, ASI06 e ASI09. È un ordine di lavoro, non una classifica statistica dei problemi nelle PMI. Valuta poi tutte le categorie sul tuo flusso.

### Da dove si parte per allineare un agente AI alla OWASP Agentic?

Elenca gli strumenti consentiti, separa lettura e scrittura, richiedi una conferma per le azioni importanti, imposta limiti di spesa e prova tentativi ostili. I registri devono permettere di ricostruire i passaggi critici senza duplicare contenuti inutili. Collega ciascun controllo alla categoria OWASP pertinente e a una prova concreta.

## Fonti

[OWASP Top 10 for Agentic Applications 2026](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/)

[OWASP Top 10 for LLM Applications](https://genai.owasp.org/llm-top-10/)

[EU AI Act (Regulation 2024/1689) · official text](https://eur-lex.europa.eu/eli/reg/2024/1689/oj)

[Digital Operational Resilience Act (DORA) · official text](https://eur-lex.europa.eu/eli/reg/2022/2554/oj)

[NIST AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework)

Contenuto realizzato con assistenza AI e revisione umana.