Beyond Zero: Enterprise security for the AI era

Punti chiave

1. Data / fonte. 20 luglio 2026, ACM Queue vol. 24 n. 3, CC BY 4.0, a firma di Joseph Valente (Alphabet Security) e Michal Zalewski. Un solo riferimento bibliografico: il whitepaper BeyondCorp del 2014.
2. Inquadramento chiave. il perimetro applicativo è a fine vita. Lo zero trust classico ha spostato la fiducia dalla rete all'identità e al dispositivo, ma ha mantenuto l'applicazione come unità di autorizzazione — un'unità troppo grossolana ora che chi accede può ragionare su un intero corpus in pochi secondi. La nuova unità proposta è la singola azione sulla singola risorsa, indipendentemente dal percorso di accesso (front-end, API, MCP). ### Le tre ipotesi di BeyondCorp che l'articolo abbandona 1. Chi accede è umano. 2. Le azioni avvengono a velocità umana. 3. L'applicazione è il perimetro di fiducia corretto. Ognuna cade per un motivo diverso: non è una patch, è un cambio di modello. ### I quattro componenti, nell'ordine del ciclo | # | Componente | Contenuto | |---|-----------|---------| | 1 | Governance autonoma | usa l'IA per costruire un enterprise world model vivente — Chi (funzione, ruolo, anzianità, umano di controllo per un agente), Cosa (comprensione semantica della sensibilità dei dati), Come (assegnazioni, pattern di utilizzo e condivisione). Alimentato dai data warehouse HR e di gestione progetti. Analogia esplicita con il world model di un'auto a guida autonoma | | 2 | Raccolta eventi | segnali server (proxy, API, app di produttività), segnali client (stato del browser, accesso a file locali, attività dei processi, DLP), e attività degli agenti (prompt, piani di esecuzione, invocazioni di strumenti). Cache calda per la valutazione al momento dell'accesso, archivio a lungo termine per l'inferenza lenta | | 3 | Reasoning engine | IA gerarchica, distribuita tra server ed endpoint. Rapido: ABAC granulare, blocca al momento dell'accesso. Lento: anomalie complesse (un utente che accede al 500% di file in più rispetto al proprio gruppo di pari). Verdetto allow / deny / challenge, e le decisioni stesse diventano attributi riutilizzati a valle | | 4 | Infrastruttura di challenge | challenge reversibili (giustificazione, tocco della chiave di sicurezza, approvazione del responsabile, selfie) contro contenimenti durevoli, talvolta revocati solo dopo che il dipendente e il suo responsabile sono stati interrogati | ### La mossa progettuale: floor / ceiling Le politiche statiche = il floor (base di sicurezza e conformità, verificabile staticamente); il reasoning engine dinamico = il ceiling. Giustificazione esplicita: questo consente un comportamento dinamico "senza passare a un modello completamente dinamico, difficile da verificare staticamente." L'intera decisione di sicurezza non viene delegata al modello. Stessa figura architetturale dell'anello di vincoli in [[sfeir-code-review-anneau-contraintes-2026-07-30]]. ### Il vettore d'attacco nominato "Lo sfruttamento dell'ambient authority, in cui a un agente vengono concessi i permessi completi, spesso sovradimensionati, del proprio utente umano." Questo è il meccanismo per cui una prompt injection diventa un'esfiltrazione: l'agente non ha bisogno di elevare i privilegi, ne ha già troppi. La contromisura proposta non è un filtro sul prompt ma un controllo di coerenza dell'intento — "L'intento dell'utente + l'intento dell'agente possono essere interpretati e verificati per garantirne l'allineamento," e "L'attore umano deve confermare che l'accesso tentato dall'agente sia voluto dall'umano." ### L'esempio SalesGenie, utilizzabile così com'è Un agente interno autorizzato a leggere i report di vendita interroga un documento di pianificazione strategica. | Modello | Verdetto | Motivo | |---|---|---| | BeyondCorp | ALLOW | certificato valido, macchina autorizzata, entrambe le identità possono leggere i report di vendita | | Beyond Zero | CHALLENGE poi CONTAIN | l'umano che ha emesso il prompt lavora solo su account del Nordest, i dati sono di massimo livello (rischio insider trading), la policy richiede un'assegnazione di lavoro valida | Intervento a tre fasi: conferma dell'intento da parte dell'umano, richiesta di approvazione al team proprietario, contenimento. "Nella grande maggioranza dei casi, la decisione di contenere sarà autonoma." ### La vera scommessa dell'architettura "I compiti di inferenza devono essere anticipati": i budget di latenza al momento dell'accesso escludono il ragionamento al volo, quindi quasi tutto deve essere precalcolato. La qualità del controllo degli accessi diventa allora esattamente pari alla qualità dei dati HR e di gestione progetti. L'attributo "assegnazione di lavoro" che decide l'accesso nell'esempio SalesGenie presuppone un livello di igiene dei dati che poche organizzazioni raggiungono. Il primo punto da sollevare in qualsiasi workshop di trasposizione. ### Riserve
3. Vision paper, non war story. nessuna metrica di produzione, nessun tasso di falsi positivi, nessuna scala di deployment, nessun dato di latenza — mentre [[uber-engineering-agent-identity-crisis-zero-trust-spire-2026-05-21]] aveva pubblicato un P99 < 40 ms e migliaia di agenti in produzione due mesi prima.
4. Incoerenza interna di ordine di grandezza. la definizione del problema parla di "decine di milioni di azioni concorrenti guidate da macchine al secondo," mentre l'abstract e la conclusione parlano di "migliaia di decisioni al secondo" — uno scarto di quattro ordini di grandezza. Non citare entrambe le cifre senza segnalarlo.
5. Cifre senza fonte. "gli agenti IA accedono ai dati a 10 volte la velocità degli umani," un'affermazione centrale, priva di fonte.
6. Costo dei falsi positivi non quantificato. l'articolo afferma che solo "una piccola percentuale" dei contenimenti verrebbe escalata a revisione umana, senza dati. Eppure contenere un dipendente innocente costa un colloquio di sicurezza con il suo responsabile; su scala, quel tasso è ciò che decide se il modello è distribuibile. La circolarità non è esaminata: il sistema che difende dagli attacchi guidati dall'IA è esso stesso un reasoning engine IA. Nessuna menzione di attacchi contro il reasoning engine — avvelenamento dei dati HR che alimentano l'enterprise world model, injection nei documenti analizzati semanticamente, manipolazione lenta della propria baseline comportamentale. ### Il punto cieco europeo Il sistema descritto è anche un apparato di sorveglianza dei dipendenti: un selfie per provare di essere alla propria postazione, segnali lato client, baselining comportamentale rispetto al gruppo di pari, e derivazione dai dati HR di ciò che il dipendente dovrebbe fare. Nemmeno una parola su GDPR, proporzionalità, informazione degli organismi di rappresentanza dei lavoratori, o sul fatto che un contenimento revocato dopo aver interrogato il dipendente e il suo responsabile comporta implicazioni di diritto del lavoro. Questo è il primo ostacolo alla trasposizione, ed è assente dal testo. ### L'appello all'industria, utile come griglia di lettura per le offerte future 1. Architetture aperte — API standardizzate per l'introspezione degli agenti, un mezzo standard per analizzare il chain-of-thought e l'uso degli strumenti in tempo reale. 2. Standard di identità agentica — annotazioni che rendono ogni azione attribuibile a un agente + un utente di controllo + un compito. 3. Framework decisionali esternalizzati — rendere un punto di valutazione delle policy gestito dall'organizzazione cliente un first-class citizen di ogni prodotto SaaS. La richiesta politicamente più pesante: impone ai fornitori di accettare che una terza parte decida gli accessi all'interno del proprio stesso prodotto. Il NIST ha avviato un'iniziativa sulla sicurezza degli agenti. ### Lettura di posizionamento BeyondCorp (2014) non era un prodotto ma una pubblicazione che ha creato una categoria — ZTNA/SASE, diventata un mercato nel giro di un decennio. Beyond Zero replica la stessa mossa: pubblicare presto, sotto CC BY, in una rivista per professionisti, con un appello alla standardizzazione. Va letto tanto come un documento di strutturazione del mercato quanto come un'architettura. Pubblicato il giorno prima dell'articolo di Anthropic sul proprio SDLC sicuro — [[clinton-anthropic-secure-ai-native-sdlc-2026-07-21]]: Anthropic mette in sicurezza la produzione di codice da parte degli agenti, Google mette in sicurezza l'accesso degli agenti ai dati. Disambiguazione: l'enterprise world model di questo articolo (una rappresentazione vivente dell'organizzazione al servizio dell'autorizzazione) non ha alcuna relazione con i world model generativi di Google DeepMind, anche se entrambi provengono da Google. Stessa espressione, oggetti distinti — non vanno fusi nel grafo.