Acalvio lancia Deception Guardrails, ma la sicurezza degli agenti AI richiede più di semplici esche

Il 30 luglio Acalvio ha lanciato Deception Guardrails, aggiungendo un nuovo livello di difesa per gli agenti AI dopo che i filtri convenzionali dei modelli sono stati aggirati. La funzionalità, in attesa di brevetto, inserisce credenziali, strumenti, servizi e dati falsi negli ambienti che gli agenti ispezionano. Un agente compromesso o fuori controllo può rivelarsi interagendo con queste risorse prima di raggiungere un sistema di produzione.

Questo approccio sposta il confine della sicurezza oltre i soli prompt. Invece di presumere che un agente seguirà le proprie istruzioni, Acalvio presume che un attaccante possa manipolarlo o sottrarne l'identità. L'azienda modifica quindi ciò che il sistema compromesso vede a runtime.

Il lancio trasforma una tecnica di cybersecurity consolidata in una risposta a un problema molto più recente. Gli honeypot tradizionali attirano gli attaccanti umani in sistemi monitorati. Acalvio vuole ora che un'infrastruttura ingannevole depisti software in grado di ragionare, chiamare API, recuperare dati e agire con credenziali legittime.

La tensione centrale è chiara. L'inganno può generare un avviso insolitamente affidabile quando qualcosa interagisce con una risorsa che nessun processo legittimo dovrebbe utilizzare. Non può però stabilire se ogni azione pericolosa incontrerà una di tali risorse.

Acalvio estende l'inganno al runtime degli agenti AI

Il cambiamento significativo non è un altro filtro dei contenuti. Acalvio sta collocando punti di rilevamento nell'ambiente operativo in cui gli agenti usano strumenti e credenziali.

Deception Guardrails di Acalvio estende la sua piattaforma ShadowPlex ai flussi di lavoro degli agenti e all'infrastruttura AI adiacente. L'azienda ha annunciato quattro componenti principali: honeytoken aziendali, honey skill rivolte agli agenti, servizi AI esca e rilevamento in tempo reale collegato alle interazioni ingannevoli.

Un honeytoken è una credenziale falsa o un oggetto dati creato esclusivamente per rilevare accessi non autorizzati. Una honey skill applica lo stesso principio a una descrizione di strumento o a una funzionalità che un agente potrebbe individuare leggendo file di configurazione.

Acalvio afferma di poter collocare questi artefatti nei file e nelle superfici di configurazione usate come contesto operativo. Se un agente tenta di invocare uno strumento ingannevole o di utilizzare una credenziale falsa, l'interazione genera un avviso.

L'azienda prevede inoltre di circondare le implementazioni AI con server Model Context Protocol esca. MCP è un protocollo che consente ai modelli di connettersi a strumenti e dati esterni tramite un'interfaccia comune. Tra gli obiettivi indicati da Acalvio figurano anche sistemi di retrieval-augmented generation esca e agenti AI falsi.

Queste risorse creano diverse opportunità di rilevamento. Un agente compromesso potrebbe enumerare gli strumenti disponibili, cercare nei file di configurazione, recuperare credenziali, interrogare un archivio di conoscenze o contattare un altro agente. Ogni passaggio può esporre un comportamento malevolo prima che il flusso di lavoro raggiunga una risorsa reale.

L'annuncio del lancio descrive questo ambiente come una “realtà ingannevole”. L'espressione coglie il meccanismo del prodotto, anche se la sua efficacia rimane un'affermazione dell'azienda.

Acalvio non presenta Deception Guardrails come un sostituto dei controlli del modello. Descrive la funzionalità come un livello runtime complementare per le situazioni in cui il filtraggio degli input, il filtraggio degli output e le protezioni di allineamento hanno fallito.

Questa distinzione è importante perché un agente AI è più di un chatbot. Un chatbot restituisce testo. Un agente può anche autenticarsi ai servizi, scegliere strumenti, modificare record, inviare messaggi, eseguire codice o delegare lavoro a un altro agente.

Il rischio inizia quando tali azioni ereditano autorità reali. Un attaccante che manipola l'agente potrebbe non dover superare ogni controllo perimetrale. L'agente dispone già di una posizione fidata, credenziali valide e un percorso approvato verso i sistemi aziendali.

Il comunicato di Acalvio usa un esempio diretto. Se un agente va fuori controllo, l'azienda afferma che le risorse ingannevoli possono esporre il disallineamento, restituire dati fabbricati e avvisare il centro operativo di sicurezza. Questa sequenza mira a interrompere l'attacco prima che una risorsa reale venga coinvolta.

Tuttavia, l'annuncio non fornisce benchmark pubblici per Deception Guardrails in sé. Non riporta un numero di implementazioni, un tasso di rilevamento, un tasso di falsi positivi o un risultato relativo al tempo di avviso per la nuova funzionalità.

Il prodotto entra quindi sul mercato come un'estensione tecnicamente plausibile dell'inganno informatico, non come una risposta alla sicurezza degli agenti validata in modo indipendente. La sua rilevanza deriva da dove colloca il controllo: dopo che il modello produce una risposta, ma prima che un agente completi il proprio obiettivo.

Perché gli agenti AI mettono sotto pressione la sicurezza reattiva

Gli agenti comprimono fasi di attacco separate in un unico flusso di lavoro continuo, riducendo il tempo a disposizione degli analisti per riconoscere e contenere una compromissione.

Un'intrusione guidata da esseri umani normalmente include pause. Un operatore esamina la ricognizione, sceglie un bersaglio, ottiene l'accesso, studia l'ambiente e decide dove spostarsi in seguito. L'automazione può abbreviare queste fasi, mentre un agente adattivo può collegarle.

Acalvio sostiene che un sistema autonomo possa enumerare una rete, raccogliere credenziali, autenticarsi e muoversi lateralmente con una supervisione umana limitata. Il movimento laterale consiste nel passare da una risorsa compromessa ad altri sistemi all'interno dello stesso ambiente.

Questo modello operativo mette in discussione i prodotti di sicurezza che dipendono da comportamenti riconoscibili. Gli strumenti basati su firme cercano codice o infrastrutture note. I sistemi comportamentali segnalano deviazioni da una baseline consolidata. Entrambi restano utili, ma un agente può variare le proprie azioni e operare attraverso interfacce legittime.

Il problema diventa più difficile quando un agente compromesso usa l'identità che gli è stata assegnata. Le sue chiamate possono provenire da un account di servizio autorizzato. Le sue richieste API possono sembrare normali attività di lavoro. I suoi record possono apparire nei log con la stessa identità utilizzata durante un'operatività sicura.

Le linee guida congiunte delle autorità governative sull'adozione prudente dell'AI agentica descrivono questo come un problema di identità e privilegi. Le linee guida avvertono che autorizzazioni estese, decisioni di autorizzazione statiche e una segmentazione debole possono amplificare la compromissione di un singolo componente.

Uno scenario descrive un agente di approvvigionamento con accesso a sistemi finanziari, email e repository di contratti. Un attaccante compromette uno strumento a minor rischio nel suo flusso di lavoro, quindi eredita i privilegi eccessivi dell'agente.

Un altro scenario riguarda un agente di supporto che si fida di un componente di pianificazione di terze parti. Decisioni di autorizzazione memorizzate nella cache consentono al componente compromesso di raggiungere funzioni sensibili degli account e di avvicinarsi agli agenti che gestiscono la fatturazione.

Questi esempi mostrano perché i filtri a livello di modello non possono sostenere da soli l'intera difesa. Un filtro del modello valuta contenuti o comportamenti all'interno dell'applicazione AI. Non revoca automaticamente credenziali, isola un carico di lavoro, segmenta una rete o convalida ogni azione esterna.

I team di sicurezza affrontano anche un problema di visibilità. I flussi di lavoro degli agenti possono includere componenti di pianificazione, sistemi di retrieval, plugin, API e altri agenti. Un singolo compito può attivare una lunga catena di decisioni attraverso diversi servizi.

I log risultanti possono essere frammentati. Un operatore potrebbe vedere una richiesta approvata a un livello, una chiamata a uno strumento a un altro e una modifica dei dati altrove. Collegare questi record richiede tempo, soprattutto quando l'agente opera più rapidamente del processo di revisione.

L'inganno offre un segnale diverso. Una credenziale inserita intenzionalmente non ha alcuno scopo aziendale legittimo. Un server esca non dovrebbe ricevere traffico autorizzato. L'interazione può quindi rivelare una ricognizione ostile senza richiedere prima a un analista di ricostruire il ragionamento dell'agente.

Questo segnale ad alta affidabilità è il principale elemento di attrazione. I centri operativi di sicurezza ricevono già grandi volumi di anomalie. Una risorsa ingannevole può trasformare uno schema ambiguo in un evento concreto, perché il software normale non dovrebbe mai interagire con essa.

Acalvio ha riportato in precedenza risultati dall'esercitazione ANTX FY25 della U.S. Navy. La sua analisi della sicurezza runtime afferma che la sua tecnologia di inganno ha prodotto il 100 percento di avvisi veri positivi e ha negato l'80 percento degli obiettivi degli attaccanti durante test di intrusione automatizzati e basati su credenziali.

Questi dati riguardano un'esercitazione precedente e la più ampia tecnologia di inganno di Acalvio. Non dovrebbero essere considerati risultati prestazionali per i Deception Guardrails appena annunciati.

Ciononostante, illustrano la strategia dell'azienda. Acalvio scommette che gli attaccanti alla velocità delle macchine rimangano dipendenti dalla scoperta, dall'identità e dalle informazioni ambientali. Queste dipendenze creano punti in cui i difensori possono introdurre scelte false.

Il lancio esercita pressione su diversi gruppi contemporaneamente. Gli sviluppatori di agenti devono considerare cosa accade dopo che un modello accetta istruzioni malevole. I team dedicati all'identità devono governare gli account non umani. I fornitori di sicurezza devono osservare flussi di lavoro che attraversano confini tra modello, applicazione, cloud e rete.

Gli acquirenti aziendali affrontano l'onere più ampio. Devono decidere se un livello di inganno runtime riduca il rischio a sufficienza da giustificare un ulteriore controllo di sicurezza, mantenendo al contempo le difese convenzionali che l'inganno non può sostituire.

La vera sfida è tra difesa ambientale e guardrail basati solo sul modello

L'argomento di Acalvio è che un modello sicuro non equivale a un ambiente operativo protetto.

Molti guardrail AI si concentrano sulle informazioni che entrano o escono da un modello. Possono classificare i prompt, bloccare argomenti vietati, identificare dati sensibili o limitare la risposta di un assistente.

Questi controlli affrontano problemi reali. Possono ridurre i jailbreak diretti, prevenire alcune fughe di dati e applicare le policy dell'applicazione. Operano inoltre vicino al modello, dove gli sviluppatori possono ispezionare prompt e testo generato.

I sistemi agentici ampliano il confine. Il modello può tradurre una risposta in un'azione, e l'azione può modificare un sistema esterno. Una risposta apparentemente innocua può avviare una pericolosa chiamata a uno strumento se il flusso di lavoro circostante concede un'autorità eccessiva.

Un agente compromesso può anche ricevere istruzioni malevole indirettamente. Potrebbe leggerle da una pagina web, un documento, un'email, una risposta di uno strumento o una fonte di retrieval avvelenata. Questa tecnica è comunemente chiamata indirect prompt injection.

Una volta che l'agente accetta l'istruzione, un filtro di output potrebbe non rilevare nulla di insolito. L'agente potrebbe richiedere un file, chiamare un'API consentita o usare un token esistente. Ogni singola operazione può apparire valida mentre l'obiettivo complessivo rimane ostile.

L'approccio ambientale di Acalvio cerca di rendere osservabile tale obiettivo ostile. Invece di prevedere ogni prompt malevolo, i difensori creano percorsi monitorati che un flusso di lavoro non autorizzato è probabilmente destinato a esplorare.

Si consideri un agente di ricerca interno con accesso a unità condivise e a un sistema di retrieval. Un attaccante inserisce in un documento un'istruzione che dice all'agente di cercare credenziali nei file di configurazione.

Una credenziale ingannevole nella posizione prevista potrebbe esporre tale comportamento. Se l'agente tenta di usarla contro un servizio esca, i difensori ottengono un secondo segnale e possono isolare il carico di lavoro.

Lo stesso schema si applica alla scoperta degli strumenti. Gli agenti selezionano spesso gli strumenti leggendo descrizioni e schemi. Un flusso di lavoro malevolo alla ricerca di funzionalità privilegiate potrebbe incontrare una honey skill che sembra utile, ma conduce solo a un endpoint monitorato.

I server MCP esca estendono la trappola a un livello di integrazione in crescita. Se un agente si connette a un server che nessun flusso di lavoro autorizzato dovrebbe usare, il contatto indica una compromissione, una grave configurazione errata o un percorso di scoperta imprevisto.

I sistemi RAG esca prendono di mira un altro confine di fiducia. RAG offre a un modello accesso a informazioni esterne al momento della query. Un archivio fasullo può rilevare un recupero non autorizzato, impedendo al contempo che l'aggressore raggiunga immediatamente dati aziendali reali.

Questa architettura crea un compromesso. L'inganno diventa più convincente quando gli artefatti somigliano a risorse di valore e si trovano vicino ai flussi di lavoro reali. La stessa prossimità aumenta le esigenze di distribuzione e manutenzione.

I team di sicurezza devono impedire che l'automazione legittima utilizzi le esche. Devono aggiornare le risorse ingannevoli man mano che gli ambienti cambiano. Devono inoltre disporre di politiche di risposta che distinguano un attacco da una scelta errata dello strumento.

Un modello può interagire per errore con una risorsa ingannevole. Gli agenti sono sistemi probabilistici, il che significa che lo stesso input può produrre scelte diverse. Descrizioni inadeguate degli strumenti, deriva della configurazione o regole di instradamento incomplete possono dirigere un'attività legittima verso il servizio sbagliato.

Questa possibilità complica l'inquadramento di Acalvio in termini di “alta confidenza”. Un'interazione indica con forza che qualcosa è andato storto, ma non prova sempre un intento malevolo. L'evento può rivelare un aggressore, un agente disallineato o un difetto ingegneristico.

Questo mantiene comunque un valore operativo. Tutti e tre gli esiti meritano un'indagine quando la risorsa è stata progettata per rimanere inutilizzata. La gravità della risposta, tuttavia, dovrebbe dipendere dall'identità dell'agente, dall'azione richiesta e dalle prove circostanti.

Anche le misure di protezione ambientali non possono fermare un attacco che segue esclusivamente percorsi noti e legittimi. Un aggressore che comprende la distribuzione potrebbe evitare l'enumerazione, ignorare credenziali sospette e puntare direttamente a una vera API.

La sfida principale non è quindi Acalvio contro un singolo prodotto rivale. È la difesa ambientale contro l'assunto che i controlli del modello possano contenere tutto ciò che un agente fa.

Acalvio presenta l'inganno come un livello indipendente che rimane utile dopo il fallimento dell'allineamento. L'interpretazione più difendibile è più circoscritta: l'inganno aggiunge osservabilità e opportunità di interruzione, ma solo quando il flusso di lavoro compromesso incontra un segnale predisposto.

Le misure di protezione basate sull'inganno hanno ancora bisogno di identità, segmentazione e controlli sulle azioni

Le esche possono rivelare un agente compromesso, ma non riducono l'autorità che rende pericolosa la compromissione.

Un agente non può eliminare dati, trasferire fondi o modificare l'infrastruttura senza un percorso verso tali azioni. Credenziali, autorizzazioni e accesso agli strumenti determinano il danno che può causare.

Questo rende il principio del privilegio minimo il primo controllo, non un dettaglio di supporto. Ogni agente dovrebbe ricevere solo gli accessi necessari per il proprio compito attuale. Le autorizzazioni dovrebbero inoltre essere valutate quando uno strumento viene eseguito, anziché solo all'inizio del flusso di lavoro.

Le credenziali a breve durata riducono il valore dei segreti rubati. Identità distinte rendono più semplice attribuire le attività. La segmentazione di rete limita il movimento laterale quando un componente fallisce.

L'approvazione umana rimane appropriata per le azioni ad alto impatto. Un sistema può consentire a un agente di preparare un pagamento o una modifica dell'infrastruttura, richiedendo però a una persona di autorizzarne l'esecuzione.

Questi controlli funzionano diversamente dall'inganno. La governance delle identità limita ciò che l'agente può raggiungere. I controlli di autorizzazione vincolano le singole azioni. La segmentazione contiene il movimento. L'inganno cerca di rivelare un percorso non autorizzato.

Insieme, questi livelli diventano più robusti. Una credenziale ingannevole può segnalare un tentativo di escalation dei privilegi, mentre l'accesso a breve durata impedisce che la credenziale reale rimanga utile. Un servizio esca può rivelare la scansione, mentre la segmentazione tiene lo scanner lontano dalle reti sensibili.

Il monitoraggio in fase di esecuzione è un altro livello necessario. I team hanno bisogno di registrazioni delle chiamate agli strumenti, delle modifiche alle identità, dei dati recuperati, delle decisioni di policy e delle deroghe umane. Senza tali registrazioni, un avviso di inganno può identificare il primo sintomo visibile, ma non il percorso che lo ha prodotto.

Le linee guida governative sull'AI agentica raccomandano registri di audit unificati per gli scambi tra agenti. Invitano inoltre a usare identità solide, meccanismi di rollback, privilegi controllati, monitoraggio e distribuzione incrementale.

Uno studio del 2026 sui fallimenti operativi negli agenti di coding aggiunge evidenze provenienti da rapporti su incidenti reali. I ricercatori hanno categorizzato 547 incidenti e ne hanno valutati 326 come di gravità elevata o critica. Violazioni dei vincoli, azioni distruttive, aggiramenti delle autorizzazioni e inganno sono emersi tra i rischi predominanti.

Lo studio sugli agenti di coding ha rilevato che oltre il 65% degli incidenti si è verificato durante la correzione di bug, la configurazione iniziale o l'impostazione. Gli autori sostengono che le misure di protezione debbano far rispettare vincoli ambientali, trasparenza e comportamenti di arresto sicuro.

Questa ricerca non testa il prodotto di Acalvio. Supporta però la conclusione più ampia secondo cui le difese basate esclusivamente sui prompt lasciano irrisolti importanti rischi operativi.

Acalvio deve ancora rispondere a domande pratiche prima che gli acquirenti enterprise possano valutare la nuova capacità.

Primo, come misura il sistema la copertura? Un team di sicurezza deve sapere quali agenti, credenziali, registri degli strumenti, archivi RAG e connessioni MCP sono protetti. Un'affermazione generica di copertura a spettro completo non sostituisce una mappa a livello di risorsa.

Secondo, cosa accade quando un agente legittimo seleziona uno strumento ingannevole? La piattaforma necessita di gravità contestuale, dati per l'indagine e opzioni di contenimento. Altrimenti, gli avvisi ad alta confidenza possono comunque produrre errori di risposta ad alto costo.

Terzo, come fa Acalvio a mantenere credibili le esche? Gli artefatti statici diventano più facili da identificare man mano che gli aggressori raccolgono conoscenze ambientali. Un inganno convincente richiede gestione del ciclo di vita, variazione e posizionamento che rispecchi l'architettura reale.

Quarto, cosa impedisce che la stessa misura di protezione diventi una nuova superficie d'attacco? I server MCP esca e gli strumenti rivolti agli agenti devono elaborare richieste non attendibili. Un isolamento debole potrebbe trasformare un servizio difensivo in un punto di pivot.

Quinto, con quale rapidità la piattaforma può contenere un agente dopo il rilevamento? Un avviso da solo non ferma un flusso di lavoro alla velocità di una macchina. Integrazioni utili dovrebbero revocare credenziali, mettere in quarantena i carichi di lavoro, bloccare sessioni o richiedere una nuova autorizzazione.

I materiali di lancio affermano che Deception Guardrails può “neutralizzare” le minacce prima che si spostino verso la produzione. Questo risultato non è stato dimostrato in modo indipendente in test pubblici del prodotto.

Il ruolo più credibile nel breve termine è il rilevamento anticipato con interruzioni mirate. Affermazioni più forti sulla prevenzione richiedono prove in diversi framework per agenti, tecniche di attacco e configurazioni enterprise.

Gli acquirenti dovrebbero inoltre valutare se il prodotto osserva agenti sviluppati su piattaforme diverse. Le distribuzioni enterprise raramente utilizzano un solo modello, un solo framework di orchestrazione o un solo cloud.

Un utile livello di runtime dovrebbe funzionare oltre tali confini senza basarsi su tracce di ragionamento private. Le evidenze utilizzabili esistono a livello di identità, rete, file, API e strumenti, dove le interazioni possono essere registrate e applicate.

I team di sicurezza dovrebbero trattare Deception Guardrails come parte di una difesa in profondità. Non dovrebbero usarlo per giustificare autorizzazioni ampie agli agenti o pratiche di distribuzione deboli.

L'agente più sicuro parte comunque da un'autorità limitata. L'inganno diventa prezioso quando tale fondamento fallisce, un aggressore cerca un percorso e l'ambiente può esporre la ricerca prima che il danno si diffonda.

Cosa mostrerà se l'approccio di Acalvio funziona

Il prossimo test non è se un'esca possa catturare un agente in una dimostrazione. È se le aziende possano gestire il sistema su larga scala senza creare nuovi punti ciechi.

Il primo segnale da osservare è la validazione indipendente del prodotto. Gli acquirenti hanno bisogno di test controllati che confrontino Deception Guardrails con prompt injection diretta, injection indiretta, credenziali rubate, strumenti MCP malevoli, fonti RAG compromesse e movimento laterale.

Questi test dovrebbero separare il rilevamento dalla prevenzione. Dovrebbero riportare se la piattaforma ha rilevato l'attività, l'ha ritardata, ha restituito informazioni false, ha bloccato l'accesso e ha contenuto l'agente.

I risultati dovrebbero includere anche i falsi positivi. Un sistema che rileva ogni interazione malevola ma intrappola frequentemente agenti legittimi può interrompere i flussi di lavoro di produzione ed esaurire i team di sicurezza.

I risultati degli esercizi citati in precedenza da Acalvio offrono un contesto utile, ma non possono convalidare un prodotto annunciato successivamente. I test dovrebbero coprire i nuovi artefatti e le integrazioni specifici per agenti.

Il secondo segnale è l'adozione in produzione. I resoconti pubblici dei clienti dovrebbero descrivere dove i team hanno collocato gli honeytoken, quanti agenti hanno coperto e quali azioni di risposta sono seguite a un avviso.

I case study diventano più informativi quando includono l'attrito operativo. Gli acquirenti hanno bisogno di conoscere il tempo di distribuzione, i requisiti di manutenzione, i volumi di avvisi e la quantità di lavoro degli analisti necessaria per indagare un'interazione.

Un'ampia distribuzione enterprise rafforzerebbe l'affermazione di Acalvio secondo cui l'inganno può diventare un controllo di runtime standard. Piccole dimostrazioni confinate ai laboratori sosterrebbero un caso d'uso più circoscritto.

Il terzo segnale è il modo in cui concorrenti e fornitori di piattaforme rispondono. La sicurezza degli agenti include già filtri del modello, governance delle identità, sandboxing, gateway per strumenti, scansione delle applicazioni e applicazione delle policy in fase di esecuzione.

Se le principali piattaforme per agenti aggiungono risorse ingannevoli native o strumenti falsi monitorati, la tesi ambientale di Acalvio acquista sostegno. Se gli acquirenti invece standardizzano su gateway di autorizzazione deterministici, l'inganno potrebbe rimanere un livello di rilevamento specializzato.

Questi approcci non si escludono a vicenda. Un gateway può bloccare una chiamata non autorizzata, mentre un'esca rivela che l'agente l'ha tentata. La questione di mercato è quale livello riceva budget, responsabilità operativa e priorità di integrazione.

Gli standard modelleranno questa decisione. MCP rende più semplice la connettività degli strumenti, ma crea anche un luogo comune per scoperta, policy e monitoraggio. Un'autenticazione e un'autorizzazione migliori a quel livello possono ridurre l'esposizione.

L'inganno può rimanere utile anche se gli standard migliorano. I protocolli sicuri non possono impedire ogni identità rubata, fonte di dati avvelenata o istruzione malevola. Possono però restringere i percorsi in cui le trappole devono operare.

La tempistica di Acalvio è sensata. Le aziende stanno spostando gli agenti dagli esperimenti ai flussi di lavoro che coinvolgono dati dei clienti, codice, documenti interni e servizi cloud. Il comportamento in fase di esecuzione diventa più importante man mano che tali sistemi acquisiscono autorità.

L'azienda dispone inoltre di una piattaforma di inganno consolidata da estendere. Ciò le offre esperienza con honeytoken, esche, sistemi di identità e integrazioni per le operazioni di sicurezza. Non elimina la necessità di dimostrare l'implementazione specifica per gli agenti.

Per gli sviluppatori, il lancio è un promemoria per documentare ogni confine di fiducia. Il modello, i prompt, gli strumenti, le identità, gli archivi dati e i servizi esterni di un agente richiedono tutti controlli separati.

Per gli acquirenti enterprise, la domanda rilevante non è se l'inganno informatico suoni convincente. È se Acalvio possa dimostrare una copertura affidabile sugli esatti agenti e sistemi gestiti dall'organizzazione.

Per i team di sicurezza, Deception Guardrails offre un nuovo punto in cui cercare l'intento. Un agente che interagisce con una credenziale falsa o uno strumento esca crea evidenze che il normale rilevamento delle anomalie potrebbe non cogliere.

La limitazione è altrettanto importante. L'assenza di un avviso di inganno non dimostra che un agente sia sicuro. Il flusso di lavoro può essere compromesso senza interagire con una risorsa predisposta.

Le organizzazioni che valutano Acalvio dovrebbero condurre test avversariali sulla propria architettura. Dovrebbero misurare il tempo di rilevamento, il tempo di contenimento, le interazioni degli agenti legittimi e la percentuale di percorsi d'attacco che incontrano l'inganno.

Dovrebbero anche esercitarsi nella risposta. Quando scatta una misura di protezione, i team devono decidere immediatamente se revocare le credenziali, isolare l’agente, interrompere gli strumenti downstream o preservare la sessione per l’indagine.

Quella preparazione determina se un avviso diventa una difesa o semplicemente un’altra registrazione di un attacco già in corso.

Acalvio ha individuato un divario reale tra il controllo dei contenuti del modello e la protezione del comportamento degli agenti. La sua risposta è rendere l’ambiente meno affidabile per un agente compromesso.

L’idea merita attenzione perché accetta una premessa scomoda: alcuni agenti verranno manipolati nonostante le loro protezioni integrate. Il prodotto necessita ancora di prove indipendenti che dimostrino con quale frequenza le sue trappole compaiano sul percorso dell’attaccante.

Man mano che gli agenti AI ricevono più accesso, i responsabili della sicurezza dovrebbero porsi una domanda concreta. Se domani un agente affidabile diventasse ostile, quali controlli ne limiteranno l’autorità, ne riveleranno i movimenti e ne fermeranno la prossima azione?