Snowflake ha annunciato Cortex AI Gateway, un livello di controllo centralizzato progettato per governare il modo in cui gli agenti di intelligenza artificiale accedono a dati, strumenti e modelli aziendali, compresi gli agenti sviluppati su piattaforme esterne come Claude Code di Anthropic e Cursor. Insieme al gateway, l’azienda ha presentato una prima serie di integrazioni con 1Password, Aembit, Linx Security, SailPoint e Saviynt, riunendo fornitori specializzati nella gestione delle identità, spesso concorrenti tra loro, attorno a un modello condiviso di autenticazione e fiducia per gli agenti autonomi.
L’iniziativa rappresenta il tentativo più esplicito di Snowflake di estendere il proprio ruolo oltre l’archiviazione e l’elaborazione dei dati aziendali, trasformando la piattaforma in un piano di controllo capace di stabilire quali risorse possano essere utilizzate dagli agenti, con quali autorizzazioni e per quali attività. Secondo Mayank Upadhyay, responsabile della sicurezza e della fiducia di Snowflake, l’evoluzione dell’intelligenza artificiale aziendale non dovrebbe essere costruita attraverso ecosistemi chiusi e incompatibili, perché la creazione di ambienti separati per ciascun fornitore finirebbe per riprodurre la stessa frammentazione che le imprese hanno cercato per anni di eliminare, sostituendo i precedenti silos applicativi con nuovi silos dedicati agli agenti AI.
Il presupposto alla base del progetto è che gran parte delle architetture di sicurezza aziendale sia stata sviluppata per un contesto nel quale l’autore di una richiesta di accesso era sempre una persona. Gli agenti modificano questo schema perché possono operare in autonomia, alla velocità delle macchine, concatenando chiamate verso applicazioni, API, modelli e set di dati differenti, mentre i sistemi tradizionali sono stati concepiti per utenti che accedono a una singola applicazione alla volta, eseguono operazioni a velocità umana e agiscono entro confini relativamente prevedibili.
Upadhyay ha sottolineato che l’intelligenza artificiale non introduce necessariamente categorie completamente nuove di vulnerabilità, ma rende più pericolose lacune già presenti nella gestione delle autorizzazioni, nella mappatura delle API, nella visibilità sui flussi di lavoro e nel controllo degli accessi ai dati. Lacune che potevano essere gestibili quando le operazioni venivano eseguite manualmente diventano più gravi quando un agente può combinare in pochi secondi permessi appartenenti a sistemi differenti e utilizzare contemporaneamente autorizzazioni che non erano state progettate per essere esercitate insieme.
In questo scenario, la fiducia non può più essere concessa una sola volta al momento dell’autenticazione, ma deve essere verificata continuamente per ogni agente, azione e interazione. Nancy Wang, responsabile tecnologica di 1Password, ha descritto il rischio derivante dall’approccio inizialmente adottato in molti progetti, nel quale all’agente vengono semplicemente assegnate le credenziali dell’utente che lo utilizza: se il delegante possiede privilegi amministrativi, anche l’agente riceve di fatto accesso amministrativo ai sistemi e può quindi esfiltrare dati o compiere operazioni non autorizzate nel caso venga compromesso, manipolato attraverso una prompt injection o indotto a interpretare erroneamente un’attività.
L’utilizzo delle credenziali personali rende inoltre ambigui i registri di controllo. Un log potrebbe attribuire a un dirigente o a un amministratore una transazione finanziaria, una modifica a un database o il trasferimento di informazioni sensibili, anche quando l’azione è stata materialmente eseguita da un agente che ha operato oltre il mandato ricevuto. Per evitare questa sovrapposizione, l’integrazione tra 1Password e Snowflake si basa sul principio secondo cui ogni agente deve possedere una propria identità verificabile, distinta da quella della persona che gli ha delegato il compito.
Cortex AI Gateway, la cui disponibilità in anteprima pubblica è prevista prossimamente, fungerà da livello di connessione per tutte le attività degli agenti considerati affidabili e potrà gestire sia gli strumenti proprietari integrati nella piattaforma Snowflake, come Snowflake CoWork e CoCo, sia agenti di terze parti sviluppati attraverso ambienti esterni. Il gateway supporta oltre cento server MCP, basati sul Model Context Protocol utilizzato per collegare gli agenti a strumenti e risorse aziendali, e centralizza in un unico punto autenticazione, autorizzazioni, politiche di accesso e registrazione degli eventi di audit.
La piattaforma introduce anche strumenti per controllare la spesa legata all’utilizzo dell’intelligenza artificiale, offrendo ai responsabili IT e finanziari una visione unificata dei consumi e permettendo di attribuire i costi ai singoli team, agenti o carichi di lavoro. È inoltre possibile applicare soglie e limiti di spesa prima che il consumo di risorse superi gli importi pianificati.
La gestione finanziaria diventa necessaria perché il comportamento degli agenti può variare anche tra richieste apparentemente simili. Un assistente interno incaricato di recuperare un documento potrebbe instradare una domanda semplice verso un modello di ragionamento più costoso, avviare ricerche su più sistemi oppure attivare passaggi e strumenti non necessari. Quando lo stesso schema viene replicato su migliaia di dipendenti e centinaia di agenti, inefficienze di piccola entità possono trasformarsi in costi operativi consistenti.
Cortex AI Gateway deriva direttamente dall’acquisizione di Natoma, completata da Snowflake nel maggio 2026. La startup, composta da 27 persone, aveva sviluppato un gateway MCP centralizzato capace di applicare identità, politiche di sicurezza e audit a livello di ogni singola chiamata effettuata verso uno strumento. L’operazione era stata annunciata nello stesso giorno in cui Snowflake aveva comunicato ricavi trimestrali da prodotti pari a 1,33 miliardi di dollari e un impegno da 6 miliardi di dollari con AWS per l’acquisto di servizi di calcolo. Pur essendo il più contenuto tra i tre annunci dal punto di vista economico, l’acquisto di Natoma aveva indicato la direzione strategica dell’azienda verso uno strato infrastrutturale destinato a controllare ciò che gli agenti possono consultare o modificare e a registrare ogni azione eseguita.
Il fulcro tecnico delle integrazioni con i partner è la doppia attribuzione, un modello nel quale ogni attività viene associata contemporaneamente all’identità non umana verificata dell’agente e alla persona che ne ha autorizzato l’esecuzione. In questo modo, quando un agente interroga una tabella, aggiorna un record, avvia un flusso di lavoro o utilizza un’applicazione, il sistema registra sia l’esecutore materiale dell’operazione sia il delegante originale, garantendo una tracciabilità più precisa rispetto ai sistemi che mostrano esclusivamente l’identità dell’utente.
Alla doppia attribuzione si affianca il principio dell’accesso limitato al compito. Invece di ereditare l’intero insieme di autorizzazioni assegnate all’utente, l’agente riceve soltanto i privilegi necessari per completare una determinata attività. Questo modello non richiede di prevedere in anticipo ogni singola operazione, ma impone che ciascuna azione venga valutata in tempo reale sulla base delle policy applicabili, dell’ambito consentito, dei segnali contestuali e dell’intento originariamente espresso dall’utente.
Il sistema sviluppato con 1Password utilizza concetti riconducibili a standard emergenti come OIDC-A. L’utente autorizza inizialmente l’agente a eseguire uno specifico compito e il sistema rilascia un token associato a quella delega, all’interno del quale vengono registrati sia l’identità della persona che ha assegnato l’incarico sia l’intento alla base dell’operazione. Il token accompagna quindi l’agente durante le successive interazioni con strumenti e dati, consentendo ai sistemi coinvolti di verificare che le azioni rimangano coerenti con il mandato ricevuto.
La conservazione dell’intento è particolarmente complessa perché un’attività aziendale può essere scomposta in centinaia o migliaia di operazioni elementari. Una richiesta formulata dall’utente può generare interrogazioni di database, accessi a tabelle, chiamate API, elaborazioni attraverso modelli differenti e modifiche a più applicazioni. L’obiettivo delle integrazioni presentate da Snowflake è mantenere il collegamento con l’intento originale lungo l’intera catena operativa e individuare il punto esatto in cui il comportamento dell’agente devia dal compito autorizzato.