Ariel Assaraf, CEO di Coralogix, usa un test legato a Gemini per dire che la sicurezza degli agenti AI non si gioca nei prompt, ma nel punto in cui il software può davvero chiamare la rete e toccare sistemi reali. In quel test, una config error ha dato all’agente accesso a Internet e lo ha portato dentro tre sistemi veri.
Il punto è semplice: un prompt può descrivere un limite, ma non può fermare da solo una chiamata di rete o l’uso di una credenziale. Il blocco deve stare fuori dal modello, nell’execution layer, con network isolation, target allowlists, credenziali a scopo limitato e un’autorizzazione indipendente prima di ogni azione.
Per chi costruisce o approva assistenti con accesso a tool, browser o sistemi interni, la lezione è che i prompt non sono un confine di sicurezza. Servono controlli di esecuzione e log delle azioni osservabili, altrimenti un agente può risultare “corretto” e produrre comunque effetti dannosi.