# valente-zalewski-beyond-zero-enterprise-security-ai-era-2026-07-20

## Veille

Articolo di ricerca pubblicato su **ACM Queue** (vol. 24, n. 3 — numero tematico "LLM") il **20 luglio 2026**, a firma di **Joseph Valente** (Director of Product Management, Alphabet Security) e **Michal Zalewski** (Distinguished Engineer, stratega di Alphabet Security — il *lcamtuf* della sicurezza offensiva). Licenza **CC BY 4.0**, **29.143 download** in dieci giorni, **un solo riferimento bibliografico**: il whitepaper **BeyondCorp** del 2014. Non è un dettaglio secondario — l'articolo si posiziona esplicitamente come **successore generico di BeyondCorp** e ne assume la funzione: *"pubblicare la visione affinché l'industria possa allinearvisi."* **Tesi**: il **modello a perimetro applicativo è a fine vita**. Le tre ipotesi su cui si fondava BeyondCorp — *chi accede è umano, le azioni avvengono a velocità umana, l'applicazione è il perimetro di fiducia corretto* — sono tutte e tre obsolete ora che gli agenti IA accedono ai dati a **10 volte la velocità degli umani** e ragionano su vasti corpus non strutturati. **Beyond Zero** sposta quindi il perimetro di fiducia **dall'applicazione alla singola azione sulla singola risorsa**, e l'indagine **dal post-mortem al tempo reale**. **Architettura a quattro componenti che formano un ciclo**: *governance autonoma* (che usa l'IA per costruire un **enterprise world model** vivente — Chi / Cosa / Come — per analogia esplicita con il world model di un'auto a guida autonoma), *raccolta eventi* (segnali server, client e **attività degli agenti**: prompt, piani di esecuzione, invocazioni di strumenti), *reasoning engine* (IA gerarchica, **rapida** per l'ABAC al momento dell'accesso e **lenta** per l'inferenza su una sequenza di azioni; verdetto *allow / deny / challenge*), e *infrastruttura di challenge* (**challenge** reversibili — giustificazione, tocco della chiave di sicurezza, approvazione, **selfie** — contro **contenimenti** durevoli, talvolta revocati solo dopo che il team di sicurezza ha interrogato il dipendente e il suo responsabile). **La mossa progettuale centrale è la separazione floor/ceiling**: **politiche statiche** (il floor, verificabile staticamente) sotto un **reasoning engine dinamico** (il ceiling) — un rifiuto esplicito di un modello *"completamente dinamico, difficile da verificare staticamente."* **Il vettore d'attacco nominato**: l'**ambient authority**, l'agente che eredita i permessi completi, spesso sovradimensionati, del proprio umano. **Tre riserve segnalate**: si tratta di un **vision paper, non di un war story** — zero metriche di produzione, zero tasso di falsi positivi, zero scala di deployment, mentre [[uber-engineering-agent-identity-crisis-zero-trust-spire-2026-05-21]] aveva pubblicato un P99 < 40 ms e migliaia di agenti in produzione due mesi prima; un'**incoerenza interna di ordine di grandezza** (decine di milioni di azioni/s nella definizione del problema contro migliaia di decisioni/s nell'abstract e nella conclusione); e un **enorme punto cieco europeo** — il sistema descritto è anche un apparato di sorveglianza dei dipendenti (selfie, segnali lato client, baselining rispetto al gruppo di pari), senza una riga su GDPR, proporzionalità o organismi di rappresentanza dei lavoratori.

## Titre Article

Beyond Zero: Enterprise security for the AI era

## Date

2026-07-20

## URL

https://spawn-queue.acm.org/doi/10.1145/3819083

## Keywords

Beyond Zero, BeyondCorp, fiducia zero, zero trust, perimetro di fiducia, trust boundary, sicurezza aziendale, autorizzazione a livello di risorsa, resource-level authorization, controllo degli accessi a livello di azione, ABAC, controllo degli accessi basato sugli attributi, velocità macchina, machine speed, autorità implicita, ambient authority, permessi sovradimensionati, agenti IA, agenti autonomi, identità agentica, intento dell'utente, intento dell'agente, allineamento dell'intento, prompt injection, enterprise world model, governance autonoma, raccolta eventi, reasoning engine, infrastruttura di challenge, challenge, contenimenti, verifica selfie, chiave di sicurezza, giustificazione, approvazione, floor ceiling, politiche statiche, politiche dinamiche, verificabilità statica, preprocessing, budget di latenza, cache calda, DLP, data loss prevention, SecOps, indagine in tempo reale, finestra di attività, activity window, esfiltrazione, rischio insider, contractor curioso, agente rogue, SalesGenie, azienda che si autodifende, la sicurezza come sistema immunitario, sicurezza degli agenti NIST, standard agentici, introspezione degli agenti, chain-of-thought, annotazioni delle richieste, PDP PEP, SaaS, Alphabet Security, Google, Michal Zalewski, lcamtuf, Joseph Valente, ACM Queue

## Authors

**Joseph Valente** — Director of Product Management, en charge des efforts de sécurité entreprise au sein d'**Alphabet Security** ; son périmètre couvre l'ensemble des business units d'Alphabet (Google Ads, DeepMind, YouTube, Devices, Cloud). Précédemment à l'origine de ce qui est devenu le **Sovereign Cloud de Google** (l'offre de compute souverain de Google Cloud) — détail notable pour un lectorat européen. Avant Google : cofondateur de Pathify et Ebla, passage par Bain & Company.

**Michal Zalewski** — Distinguished Engineer chez Google, **pilote la stratégie d'Alphabet Security**. Figure historique de la sécurité offensive (connu sous le pseudonyme **lcamtuf**), auteur de *Silence on the Wire* et *The Tangled Web* ; l'article mentionne *The Secret Life of Circuits* et son Substack. Ancien **CISO de Snap**, après plus d'une décennie à Google où il dirigeait l'information security & engineering (>100 ingénieurs), les design reviews et les exercices offensifs.

**Remerciements** (signal de portée interne) : 27 personnes citées chez Alphabet, dont **Heather Adkins** (VP Security Engineering), **Betsy Beyer** et **Rory Ward** (co-auteurs du BeyondCorp original), **Eric Grosse**, **Royal Hansen**, **Umesh Shankar**. La présence des auteurs de BeyondCorp valide la **filiation revendiquée**.

## Ton

**Profilo**: un articolo di **dottrina architetturale** pubblicato in una rivista professionale peer-reviewed (ACM Queue, il cui pubblico è *practitioner* più che accademico). Registro: **vision paper da hyperscaler** — né war story, né specifica, né marketing, ma un **documento di inquadramento di categoria**. Pubblico target: CISO, architetti di sicurezza, fornitori SaaS, organismi di standardizzazione.

**Stile**: una struttura **problema → soluzione → architettura → scenari → appello all'industria → conclusione**, la forma canonica di un whitepaper infrastrutturale. Tre marcatori:

1. **Demolizione per ipotesi**, piuttosto che per fatti. L'articolo non dice "BeyondCorp ha fallito" — **enumera le tre ipotesi** su cui si fondava e dimostra che nessuna regge più. Una figura retorica efficace: inquadra l'obsolescenza come strutturale piuttosto che congiunturale, quindi non risolvibile con una patch.
2. **La tabella di confronto come nucleo argomentativo** (tabella 1, otto righe, BeyondCorp → Beyond Zero). Ogni riga porta la propria giustificazione in linguaggio semplice. È il documento nel documento — la parte che verrà catturata con uno screenshot e ricondivisa.
3. **Lo scenario come prova**. Tre vignette (*il contractor curioso*, *l'amministratore improvvisamente sciocco*, *l'agente "rogue"*) fanno il lavoro che i numeri non fanno. La seconda è un piccolo capolavoro di dettaglio umano: un amministratore di sistema che, in un'altra finestra, pone **domande elementari sull'architettura del proprio stesso sistema** — *"informazioni che sarebbero ovvie per chiunque abbia esperienza in azienda."* Il segnale di compromissione non è tecnico, è **cognitivo**.

**Frasi marcatrici**: *"dalla sicurezza a velocità umana alla difesa ad alta frequenza mediata dall'IA,"* *"potenzia l'identità fondativa di BeyondCorp con un 'cervello',"* *"politiche statiche (il floor) … un reasoning engine dinamico (il ceiling),"* *"la bolla di accesso … si flette dinamicamente per essere più grande o più piccola,"* *"shock geometrico,"* *"un'azienda che si autodifende,"* *"la sicurezza come sistema immunitario,"* *"a differenza del brusco 'accesso negato' del passato."*

**Postura epistemica**: **esplicitamente prospettica**. *"Questo articolo segna una tappa nello sforzo di Google stesso per transitare verso il modello Beyond Zero, oltre a essere una visione della direzione in cui l'industria deve muoversi."* Gli autori non affermano di aver spedito nulla — annunciano una traiettoria e lanciano un appello all'industria. **Onesto sul proprio status**, il che non impedirà che il testo venga letto e citato come se descrivesse un sistema già in produzione.

## Pense-betes

- **Data / fonte**: **20 luglio 2026**, **ACM Queue** vol. 24 n. 3, CC BY 4.0, a firma di **Joseph Valente** (Alphabet Security) e **Michal Zalewski**. Un solo riferimento bibliografico: il whitepaper **BeyondCorp** del 2014.
- **Inquadramento chiave**: il perimetro applicativo è a fine vita. Lo zero trust classico ha spostato la fiducia dalla rete all'identità e al dispositivo, ma ha mantenuto l'**applicazione come unità di autorizzazione** — un'unità troppo grossolana ora che chi accede può ragionare su un intero corpus in pochi secondi. La nuova unità proposta è **la singola azione sulla singola risorsa**, indipendentemente dal percorso di accesso (front-end, API, MCP). ### Le tre ipotesi di BeyondCorp che l'articolo abbandona 1. Chi accede è **umano**. 2. Le azioni avvengono **a velocità umana**. 3. L'**applicazione** è il perimetro di fiducia corretto. Ognuna cade per un motivo diverso: non è una patch, è un cambio di modello. ### I quattro componenti, nell'ordine del ciclo | # | Componente | Contenuto | |---|-----------|---------| | 1 | **Governance autonoma** | usa l'IA per costruire un **enterprise world model** vivente — **Chi** (funzione, ruolo, anzianità, umano di controllo per un agente), **Cosa** (comprensione semantica della sensibilità dei dati), **Come** (assegnazioni, pattern di utilizzo e condivisione). Alimentato dai data warehouse HR e di gestione progetti. Analogia esplicita con il world model di un'auto a guida autonoma | | 2 | **Raccolta eventi** | segnali server (proxy, API, app di produttività), segnali client (stato del browser, accesso a file locali, attività dei processi, DLP), e **attività degli agenti** (prompt, piani di esecuzione, invocazioni di strumenti). Cache calda per la valutazione al momento dell'accesso, archivio a lungo termine per l'inferenza lenta | | 3 | **Reasoning engine** | IA gerarchica, distribuita tra server ed endpoint. **Rapido**: ABAC granulare, blocca al momento dell'accesso. **Lento**: anomalie complesse (un utente che accede al 500% di file in più rispetto al proprio gruppo di pari). Verdetto *allow / deny / challenge*, e **le decisioni stesse diventano attributi** riutilizzati a valle | | 4 | **Infrastruttura di challenge** | **challenge** reversibili (giustificazione, tocco della chiave di sicurezza, approvazione del responsabile, **selfie**) contro **contenimenti** durevoli, talvolta revocati solo dopo che il dipendente e il suo responsabile sono stati interrogati | ### La mossa progettuale: floor / ceiling Le politiche **statiche** = il floor (base di sicurezza e conformità, **verificabile staticamente**); il **reasoning engine** **dinamico** = il ceiling. Giustificazione esplicita: questo consente un comportamento dinamico *"senza passare a un modello completamente dinamico, difficile da verificare staticamente."* L'intera decisione di sicurezza non viene delegata al modello. Stessa figura architetturale dell'anello di vincoli in [[sfeir-code-review-anneau-contraintes-2026-07-30]]. ### Il vettore d'attacco nominato *"Lo sfruttamento dell'ambient authority, in cui a un agente vengono concessi i permessi completi, spesso sovradimensionati, del proprio utente umano."* Questo è il meccanismo per cui una prompt injection diventa un'esfiltrazione: l'agente non ha bisogno di elevare i privilegi, ne ha già troppi. La contromisura proposta non è un filtro sul prompt ma un **controllo di coerenza dell'intento** — *"L'intento dell'utente + l'intento dell'agente possono essere interpretati e verificati per garantirne l'allineamento,"* e *"L'attore umano deve confermare che l'accesso tentato dall'agente sia voluto dall'umano."* ### L'esempio SalesGenie, utilizzabile così com'è Un agente interno autorizzato a leggere i report di vendita interroga un documento di pianificazione strategica. | Modello | Verdetto | Motivo | |---|---|---| | BeyondCorp | **ALLOW** | certificato valido, macchina autorizzata, entrambe le identità possono leggere i report di vendita | | Beyond Zero | **CHALLENGE poi CONTAIN** | l'umano che ha emesso il prompt lavora solo su account del Nordest, i dati sono di massimo livello (rischio insider trading), la policy richiede un'assegnazione di lavoro valida | Intervento a tre fasi: conferma dell'intento da parte dell'umano, richiesta di approvazione al team proprietario, contenimento. *"Nella grande maggioranza dei casi, la decisione di contenere sarà autonoma."* ### La vera scommessa dell'architettura *"I compiti di inferenza devono essere anticipati"*: i budget di latenza al momento dell'accesso escludono il ragionamento al volo, quindi quasi tutto deve essere precalcolato. La qualità del controllo degli accessi diventa allora **esattamente pari alla qualità dei dati HR e di gestione progetti**. L'attributo "assegnazione di lavoro" che decide l'accesso nell'esempio SalesGenie presuppone un livello di igiene dei dati che poche organizzazioni raggiungono. Il primo punto da sollevare in qualsiasi workshop di trasposizione. ### Riserve
- **Vision paper, non war story**: nessuna metrica di produzione, nessun tasso di falsi positivi, nessuna scala di deployment, nessun dato di latenza — mentre [[uber-engineering-agent-identity-crisis-zero-trust-spire-2026-05-21]] aveva pubblicato un P99 < 40 ms e migliaia di agenti in produzione due mesi prima.
- **Incoerenza interna di ordine di grandezza**: la definizione del problema parla di *"decine di milioni di azioni concorrenti guidate da macchine al secondo,"* mentre l'abstract e la conclusione parlano di *"migliaia di decisioni al secondo"* — uno scarto di quattro ordini di grandezza. Non citare entrambe le cifre senza segnalarlo.
- **Cifre senza fonte**: *"gli agenti IA accedono ai dati a 10 volte la velocità degli umani,"* un'affermazione centrale, priva di fonte.
- **Costo dei falsi positivi non quantificato**: l'articolo afferma che solo *"una piccola percentuale"* dei contenimenti verrebbe escalata a revisione umana, senza dati. Eppure contenere un dipendente innocente costa un colloquio di sicurezza con il suo responsabile; su scala, quel tasso è ciò che decide se il modello è distribuibile. **La circolarità non è esaminata**: il sistema che difende dagli attacchi guidati dall'IA è esso stesso un reasoning engine IA. Nessuna menzione di attacchi **contro** il reasoning engine — avvelenamento dei dati HR che alimentano l'enterprise world model, injection nei documenti analizzati semanticamente, manipolazione lenta della propria baseline comportamentale. ### Il punto cieco europeo Il sistema descritto è anche un apparato di sorveglianza dei dipendenti: un selfie per provare di essere alla propria postazione, segnali lato client, baselining comportamentale rispetto al gruppo di pari, e derivazione dai dati HR di ciò che il dipendente **dovrebbe** fare. Nemmeno una parola su GDPR, proporzionalità, informazione degli organismi di rappresentanza dei lavoratori, o sul fatto che un contenimento revocato dopo aver interrogato il dipendente e il suo responsabile comporta implicazioni di diritto del lavoro. Questo è il primo ostacolo alla trasposizione, ed è assente dal testo. ### L'appello all'industria, utile come griglia di lettura per le offerte future 1. **Architetture aperte** — API standardizzate per l'introspezione degli agenti, un mezzo standard per analizzare il chain-of-thought e l'uso degli strumenti in tempo reale. 2. **Standard di identità agentica** — annotazioni che rendono ogni azione attribuibile a un agente + un utente di controllo + un compito. 3. **Framework decisionali esternalizzati** — rendere un punto di valutazione delle policy gestito dall'organizzazione cliente un *first-class citizen* di ogni prodotto SaaS. La richiesta politicamente più pesante: impone ai fornitori di accettare che una terza parte decida gli accessi all'interno del proprio stesso prodotto. Il NIST ha avviato un'iniziativa sulla sicurezza degli agenti. ### Lettura di posizionamento BeyondCorp (2014) non era un prodotto ma una pubblicazione che ha creato una categoria — ZTNA/SASE, diventata un mercato nel giro di un decennio. Beyond Zero replica la stessa mossa: pubblicare presto, sotto CC BY, in una rivista per professionisti, con un appello alla standardizzazione. Va letto tanto come un documento di strutturazione del mercato quanto come un'architettura. Pubblicato il giorno prima dell'articolo di Anthropic sul proprio SDLC sicuro — [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]: Anthropic mette in sicurezza la produzione di codice da parte degli agenti, Google mette in sicurezza l'accesso degli agenti ai dati. **Disambiguazione**: l'*enterprise world model* di questo articolo (una rappresentazione vivente dell'organizzazione al servizio dell'autorizzazione) non ha alcuna relazione con i *world model* generativi di Google DeepMind, anche se entrambi provengono da Google. Stessa espressione, oggetti distinti — non vanno fusi nel grafo.

## RésuméDe400mots

Pubblicato su **ACM Queue** il 20 luglio 2026 da **Joseph Valente** e **Michal Zalewski** (Alphabet Security), questo articolo si posiziona come **successore del whitepaper BeyondCorp del 2014** — il suo unico riferimento — e ne assume la funzione: pubblicare una visione a cui l'industria possa allinearsi.

**La diagnosi.** Il modello a perimetro applicativo è a fine vita. Le tre ipotesi su cui si fondava BeyondCorp — *chi accede è umano, le azioni avvengono a velocità umana, l'applicazione è il perimetro di fiducia corretto* — collassano tutte e tre non appena gli agenti IA accedono ai dati a **10 volte la velocità degli umani**. A ciò si aggiunge uno *"shock geometrico"* nel volume e nella sensibilità dei dati, aggressori che hanno armato l'IA (riscrittura su richiesta di codice malevolo, nuova pazienza su superfici finora ritenute a basso valore), e un vettore specifico dei sistemi agentici: l'**ambient authority**, l'agente che eredita i permessi completi, spesso sovradimensionati, del proprio umano.

**Il modello.** Beyond Zero sposta il perimetro di fiducia **dall'applicazione alla singola azione sulla singola risorsa**, e l'indagine **dal post-mortem al tempo reale**. La mossa progettuale centrale è una separazione **floor/ceiling**: le politiche **statiche** garantiscono una base **verificabile staticamente**, sopra la quale un **reasoning engine dinamico** applica attrito — esplicitamente per evitare un modello completamente dinamico e non verificabile.

**L'architettura**, in quattro componenti che formano un ciclo: la *governance autonoma* usa l'IA per costruire un **enterprise world model** vivente (Chi / Cosa / Come), alimentato dai data warehouse HR e di gestione progetti, per analogia con il *world model* di un'auto a guida autonoma; la *raccolta eventi* ingerisce segnali server, client e **agente** (prompt, piani, invocazioni di strumenti); il *reasoning engine*, IA gerarchica, decide rapidamente al momento dell'accesso (ABAC) e lentamente in background (anomalie come "500% di file in più rispetto al proprio gruppo di pari"), producendo un verdetto *allow / deny / challenge* che diventa esso stesso un attributo riutilizzabile; l'*infrastruttura di challenge* distingue i **challenge** reversibili (giustificazione, chiave di sicurezza, approvazione, selfie) dai **contenimenti** durevoli, talvolta revocati solo dopo che il dipendente e il suo responsabile sono stati interrogati.

**La dimostrazione** si basa sull'esempio conclusivo: l'agente SalesGenie interroga un documento strategico. **BeyondCorp dice ALLOW** (certificati e identità validi); **Beyond Zero dice CHALLENGE poi CONTAIN** (l'umano che ha emesso il prompt non ha l'assegnazione di lavoro richiesta).

**L'appello all'azione** copre tre sforzi di standardizzazione — introspezione degli agenti, identità agentiche attribuibili, punti decisionali gestiti dal cliente all'interno del SaaS — con il **NIST** che ha già avviato un'iniziativa. Conclusione: *"la sicurezza come sistema immunitario."*

## GrapheDeConnaissance

- Joseph Valente —travaille_chez→ Google (ORGANISATION, 0.97)
- Michal Zalewski —travaille_chez→ Google (ORGANISATION, 0.97)
- Michal Zalewski —dirige→ la stratégie d'Alphabet Security (AFFIRMATION, 0.93)
- Google —publie→ Beyond Zero (CONCEPT, 0.97)
- Beyond Zero —remplace→ BeyondCorp (CONCEPT, 0.93)
- Beyond Zero —est_basé_sur→ BeyondCorp (CONCEPT, 0.95)
- Valente et Zalewski —affirme_que→ le modèle de frontière applicative arrive en fin de vie face aux agents autonomes (AFFIRMATION, 0.95)
- Beyond Zero —affine→ la frontière de confiance, de l'application vers l'action individuelle sur la ressource (AFFIRMATION, 0.95)
- agents IA —mesure→ un accès aux données à 10 fois le rythme des humains (MESURE, 0.8)
- ambient authority —permet→ l'exploitation d'un agent héritant des permissions surprovisionnées de son humain (AFFIRMATION, 0.93)
- politiques statiques —permet→ une base de sécurité vérifiable statiquement (le plancher) sous le raisonnement dynamique (le plafond) (AFFIRMATION, 0.95)
- Valente et Zalewski —s_oppose_à→ un modèle de sécurité entièrement dynamique, difficile à vérifier statiquement (AFFIRMATION, 0.92)
- Beyond Zero —utilise→ enterprise world model (CONCEPT, 0.95)
- enterprise world model —est_basé_sur→ les entrepôts RH et de gestion de projet de l'entreprise (AFFIRMATION, 0.9)
- reasoning engine —permet→ un verdict allow / deny / challenge qui devient lui-même un attribut réutilisable (AFFIRMATION, 0.92)
- alignement intention utilisateur / intention agent —réduit→ les risques d'injection de prompt (AFFIRMATION, 0.9)
- challenges et containments —s_oppose_à→ le blocage binaire « access denied » du modèle hérité (AFFIRMATION, 0.9)
- challenges et containments —s_applique_à→ la révocation durable d'accès, parfois levée après entretien du salarié et de son manager (AFFIRMATION, 0.9)
- préprocessing des attributs —permet→ de tenir le budget de latence à l'accès en front-loadant l'inférence (AFFIRMATION, 0.93)
- Beyond Zero —s_applique_à→ les accès via front-end, API, MCP ou tout autre chemin (AFFIRMATION, 0.9)
- Valente et Zalewski —recommande→ des standards d'identité agentique rendant chaque action attribuable à un agent, un utilisateur contrôlant et une tâche (AFFIRMATION, 0.93)
- Valente et Zalewski —recommande→ faire du point d'évaluation de politique opéré par l'entreprise un first-class citizen de tout produit SaaS (AFFIRMATION, 0.9)
- NIST —publie→ un effort de normalisation sur la sécurité des agents (AFFIRMATION, 0.85)
- Beyond Zero —converge_avec→ la doctrine d'identité agentique de Uber (actor chain, tokens single-hop) (CONCEPT, 0.82)
- Beyond Zero —affirme_que→ la sécurité d'entreprise doit fonctionner comme un système immunitaire s'adaptant au contexte et à l'intention de chaque requête (CITATION, 0.9)
- ACM Queue —publie→ Beyond Zero: Enterprise security for the AI era (DOCUMENT, 0.97)

---
Canonical: https://www.thekb.eu/it/fiches/valente-zalewski-beyond-zero-enterprise-security-ai-era-2026-07-20/