In che modo la governance dell’AI riduce i rischi per la sicurezza

La governance dell’AI riduce i rischi di sicurezza applicando l’accesso con privilegi minimi, proteggendo i dati e le credenziali gestiti dai sistemi di AI e rendendo verificabile ogni azione dell’AI. Questo è importante perché la maggior parte delle organizzazioni distribuisce l’AI più velocemente di quanto riesca a governarla. I dipendenti adottano strumenti non autorizzati e gli agenti AI autonomi vengono creati con le identità utente esistenti. Ognuna di esse aggiunge identità di macchine non monitorate che ampliano la superficie di attacco: proprio quella lacuna che la governance colma.

Continua a leggere per saperne di più su cosa sia la governance dell’AI, sui rischi che aiuta a ridurre e su come Keeper^® aiuta a gestire gli agenti AI e a proteggere le credenziali, gli accessi e i dati su cui si basano.

Cos’è la governance dell’AI?

La governance dell’AI è l’insieme di politiche, processi e controlli che disciplinano il modo in cui i sistemi di AI vengono distribuiti, consultati e monitorati all’interno di un’organizzazione. Riduce il rischio di sicurezza applicando l’accesso con privilegi minimi e rendendo ogni azione dell’AI trasparente e tracciabile. In pratica, ciò significa sapere esattamente quale AI è in esecuzione, a cosa può accedere e cosa fa.

Una solida governance dell’AI si basa su cinque pilastri:

I rischi che la governance dell’AI aiuta a ridurre

Senza governance, ogni strumento e agente AI che un’organizzazione adotta diventa un punto cieco. La governance riduce questo rischio offrendo ai team di sicurezza visibilità e controllo su come viene usata l’AI, a cosa può accedere e come si comporta. Ecco i principali rischi che affronta.

Shadow AI

La shadow AI è l’uso di strumenti di AI che un’organizzazione non ha approvato o di cui non è a conoscenza. Quando i dipendenti incollano informazioni sensibili in chatbot o assistenti di programmazione non approvati per lavorare più velocemente, nessuno dispone di un inventario degli strumenti in uso, di una politica su quali dati possano essere condivisi o di visibilità su come tali modelli conservino e riutilizzino tali input. La shadow AI sta creando una crisi d’identità non gestita, ma la governance riduce il rischio richiedendo l’individuazione e una politica prima che l’AI entri in contatto con dati sensibili.

Accesso permanente

Gli agenti e gli account AI accumulano un accesso permanente, indipendentemente dal fatto che lo utilizzino attivamente. L’accesso permanente è uno dei maggiori rischi per la sicurezza in qualsiasi ambiente, perché qualsiasi credenziale residua può essere sfruttata da un criminale informatico. L’AI peggiora la situazione, poiché gli agenti vengono creati rapidamente, ricevono un ampio accesso per completare un’attività e vengono raramente riesaminati o revocati. Maggiore è l’accesso permanente, più ampie sono la superficie di attacco e di conseguenza il raggio di esplosione quando un’identità viene compromessa. La governance dell’AI riduce questo rischio puntando alla ZSP, in cui nessuna identità detiene un accesso permanente. Le identità ricevono invece un accesso temporaneo per un’attività specifica, e tale accesso viene automaticamente revocato una volta completata l’attività.

Fuga di dati

I sistemi di AI sono sicuri solo quanto i dati che vi fluiscono. Le informazioni inserite in un prompt non spariscono semplicemente una volta che il modello risponde. A seconda del fornitore e del piano, le informazioni possono essere registrate, conservate o utilizzate per addestrare il modello e, in alcuni casi, riapparire nei risultati di un altro utente. La governance riduce questo rischio controllando in primo luogo a quali dati i sistemi di AI possono accedere e quali possono ingerire.

Esposizione di credenziali e segreti

Gli script, le pipeline e le applicazioni di AI necessitano di credenziali come chiavi API, token e password per funzionare. Troppo spesso, tali segreti vengono inseriti in modo statico direttamente nel codice o nelle impostazioni di configurazione, da dove possono trapelare attraverso repository, registri o violazioni di sicurezza per poi essere riutilizzati dai criminali informatici. La governance riduce tale rischio richiedendo che i segreti vengano conservati, gestiti e iniettati in modo sicuro, invece di essere incorporati dove chiunque possa trovarli.

Proliferazione delle NHI

Le NHI sono identità delle macchine, tra cui agenti AI, account di servizio e bot, che si autenticano e agiscono in autonomia. L’AI ha accelerato la crescita delle NHI e le identità macchina ora superano gli utenti umani di molte volte. Tuttavia, raramente vengono gestite con lo stesso rigore, lasciando un accesso permanente e credenziali statiche che nessuno esamina o ruota. La governance colma il divario estendendo agli NHI gli stessi controlli di accesso, titolarità e gestione del ciclo di vita degli account umani.

Prompt injection

In un attacco di tipo prompt injection, i cybercriminali creano input dannosi per dirottare il comportamento di un modello di AI, sovrascrivendone le istruzioni per far trapelare dati, compiere azioni rischiose o eludere i controlli di sicurezza. L’accesso con privilegi minimi limita i danni: un agente AI dirottato può accedere solo a ciò che gli è stato strettamente consentito. Le organizzazioni che monitorano l’attività dell’AI possono rilevare il comportamento anomalo innescato da un’iniezione prima che si diffonda.

In che modo Keeper aiuta a governare l’AI agentica

La governance dell’AI riduce il rischio solo quando i team la applicano per ogni identità che entra in contatto con l’AI. Keeper offre quella governance da un’unica piattaforma.

Gestisci l’AI agentica su tutti gli endpoint

Gli assistenti di programmazione basati sull’AI e gli agenti AI autonomi vengono eseguiti con l’identità di chi li ha avviati, il che significa che ereditano i privilegi dell’utente e possono leggere file sensibili, eseguire comandi privilegiati o accedere a servizi esterni. Keeper Endpoint Privilege Manager (Keeper EPM) gestisce tali agenti allo stesso modo in cui gestisce gli utenti umani con accesso privilegiato. Keeper EPM rileva quali agenti sono in esecuzione su un endpoint, decide se a un determinato agente è consentito l’avvio e limita ciò che un agente in esecuzione può eseguire, valutando ciascuna richiesta indipendentemente dai diritti dell’utente. Un agente non può ereditare silenziosamente privilegi eccessivi o agire senza supervisione: ogni azione sensibile viene consentita, negata o messa in attesa di approvazione.

Gestione sicura dei segreti per le NHI

Le credenziali necessarie al funzionamento dell’AI finiscono spesso per essere incorporate in modo statico in script, pipeline e applicazioni, dove rimangono esposte e possono essere riutilizzate dai criminali informatici. Keeper Secrets Manager elimina le credenziali hardcoded memorizzandole in una cassaforte crittografata e iniettandole in modo sicuro solo in fase di esecuzione. Progettato per le identità macchina e gli account di servizio, offre loro un accesso controllato invece di segreti permanenti che nessuno monitora. Keeper Secrets Manager si integra anche con i flussi di lavoro degli agenti AI tramite il Model Context Protocol (MCP), in modo che gli agenti recuperino i segreti di cui hanno bisogno su richiesta anziché memorizzarli localmente.

Applica l’accesso con privilegi minimi e Just-in-Time (JIT)

I privilegi permanenti possono trasformare un solo agente AI compromesso in un grave incidente di sicurezza. KeeperPAM^® applica la politica “Zero Standing Privileges” (ZSP) e l’accesso JIT (Just-in-Time) su tutti gli account con privilegi e sui sistemi con cui interagisce l’AI, in modo che l’accesso venga concesso solo per un’attività specifica e revocato non appena l’attività è completata. La rotazione e la scoperta automatizzate delle credenziali le mantengono costantemente sotto controllo. Rimuovendo l’accesso permanente, Keeper riduce al minimo l’accesso con autorizzazioni eccessive e il raggio di esplosione dell’AI di qualsiasi account compromesso, lasciando meno risorse alla portata di un criminale informatico.

Implementa la crittografia zero-knowledge

La protezione dei dati gestiti dall’AI inizia garantendo che solo gli utenti autorizzati possano leggerli. L’architettura zero-knowledge di Keeper fa sì che la crittografia e la decrittografia avvengano solo sul dispositivo dell’utente; i dati non sono mai visibili a Keeper, né a riposo né in transito. I livelli di difesa approfondita (Defense-in-Depth, DiD), come la crittografia dei dati inattivi supportata da HSM, garantiscono un’ulteriore protezione dei dati archiviati. Questo riduce notevolmente il rischio di fuga di dati e accessi non autorizzati, perché le informazioni sensibili su cui si basano i sistemi di AI e le credenziali rimangono crittografate e leggibili solo dagli utenti autorizzati.

Rileva e monitora le minacce AI

Anche con controlli di accesso granulari, i team devono sapere quando qualcosa si comporta in modo anomalo. KeeperAI^® combina il rilevamento delle minacce guidato dall’AI, il rilevamento delle anomalie e le informazioni sulle sessioni per tutte le attività privilegiate con la classificazione dei livelli di rischio, consentendo ai team di concentrarsi su ciò che conta di più. Invece di lasciare che un comportamento dannoso o sospetto passi inosservato fino a quando il danno non è ormai fatto, Keeper lo rileva in tempo reale e lo trasforma in avvisi su cui i team di sicurezza possono intervenire immediatamente.

Supporta auditing, reporting e conformità

La governance dell’IA dipende dalla capacità di dimostrare quali azioni abbiano compiuto gli strumenti e gli account dell’AI. Il modulo per segnalazioni e avvisi avanzati (ARAM) di Keeper fornisce la registrazione dettagliata degli eventi, report personalizzati, avvisi configurabili e l’integrazione SIEM, offrendo ai team la piena responsabilità per ogni azione di AI e privilegiata. Keeper offre anche un’ampia copertura di conformità:

• SOC 2 Tipo 2
• ISO 27001
• Certificato FedRAMP High
• Autorizzazione GovRamp High
• FIPS 140-3
• HIPAA
• GDPR

Con Keeper, i team di sicurezza non si limitano a colmare le lacune di audit, ma si allineano ai framework che definiscono sempre più l’uso responsabile dell’AI, come il NIST AI RMF e l’EU AI Act.

Proteggi subito l’accesso all’AI oggi Keeper

La governance dell’AI trasforma il rischio per la sicurezza dell’AI da qualcosa di non gestito a qualcosa di controllato. Applica l’accesso con privilegi minimi per ogni identità umana e macchina, proteggi le credenziali, i segreti e i dati da cui dipende l’AI e rendi ogni azione dell’AI verificabile con una governance che garantisce visibilità e controllo su come l’AI opera nei tuoi ambienti. Keeper riunisce governance dell’AI agentica, gestione dei segreti, accesso privilegiato e completa verificabilità in un’unica piattaforma, in modo da poter governare l’AI senza dover combinare più strumenti.

Inizia la tua prova gratuita di KeeperPAM per prendere il controllo dell’AI in esecuzione nei tuoi ambienti.