Un endpoint LLM può diventare un piano di controllo
Un honeypot di SANS ISC ha ricevuto il 30 agosto 2026 una sessione reale di coding-agent con 88 messaggi, history, output del filesystem e un manifest dei tool locali. Il punto non è il contenuto della richiesta in sé. Il punto è che un endpoint di inference accettato come backend può ricevere già portato dentro il contesto operativo dell’agente.
Quando l’agente si fida del server per decidere il passo successivo, la risposta non resta solo testo: può indirizzare chiamate ai tool che girano sulla macchina client, e quindi toccare file e shell locali. Per chi usa coding agent o assistenti connessi a endpoint esterni o self-hosted, il confine da proteggere non è solo l’app, ma anche il servizio a cui l’agente parla; lì passa parte della fiducia operativa.