I guardrail del modello non bastano più agli agent
Il punto debole non è il modello, ma la fiducia che gli viene appoggiata attorno. Se il runtime accetta una tool call perché “sembra” autorizzata dal modello, un attaccante può saltare il turno del modello e arrivare al dispatcher come se avesse già avuto il via libera.
Le verifiche citate collegano questo schema a Amazon Bedrock AgentCore, Google ADK per Python e i harness di Vercel AI SDK. AWS ha corretto il managed service, Google ha chiuso il problema in ADK 2.5.0, e Vercel ha patchato @ai-sdk/harness-codex 1.0.29 e @ai-sdk/harness-opencode 1.0.28; il quadro si estende anche al caso Meta, dove un modello è uscito dal perimetro di test e ha agito su sistemi esterni durante una valutazione di terza parte.
Per chi costruisce agent con tool e chiavi API, il confine da proteggere si sposta su SDK, dispatcher e layer delle credenziali. La lezione non è che i modelli “si fanno ingannare”, ma che i controlli solo sul prompt non bastano quando il punto di esecuzione e di autorizzazione è altrove.