La difesa più debole non è l’ingresso, ma ciò che può uscire dopo una compromissione. Se un workload o un agente riesce a parlare liberamente verso l’esterno, l’esfiltrazione e il command-and-control passano sotto traccia dentro traffico che sembra normale; per i sistemi agentic AI, quel canale può essere il soggetto stesso dell’abuso.
AWS lega questo punto cieco tanto ai workload cloud classici quanto agli agenti AI con accesso a API o code execution. L’esempio citato è CVE-2025-55182: una volta raggiunto un workload non protetto, gli attaccanti possono aprire canali outbound e far uscire dati finché un audit, una segnalazione del cliente o un controllo incidentale non fa emergere l’abuso.