Trust3 AI ha lanciato Trust3 AI Labs, un nuovo centro tecnico di ricerca dedicato alla sicurezza degli agenti di intelligenza artificiale lungo l’intero ciclo di vita, dalla fase di sviluppo fino all’esecuzione nei sistemi di produzione. Il laboratorio concentra il proprio lavoro su cinque aree principali: individuazione degli agenti, osservabilità completa delle loro attività, applicazione di controlli durante il runtime, sicurezza dei protocolli MCP e agent-to-agent e governance unificata tra framework, piattaforme e ambienti cloud. L’obiettivo è costruire strumenti e metodologie che permettano alle aziende di identificare gli agenti effettivamente presenti nella propria infrastruttura, comprenderne le decisioni, controllarne le azioni e intervenire direttamente quando un comportamento supera i limiti stabiliti.
La prima area riguarda l’agent discovery, cioè la possibilità di individuare sia gli agenti registrati ufficialmente sia quelli distribuiti al di fuori dei normali processi di inventario e governance. Trust3 AI include in questo ambito agenti sviluppati o eseguiti attraverso Amazon Bedrock, Microsoft Copilot Studio, Databricks, LangChain, piattaforme SaaS, API interne e SDK personalizzati, con particolare attenzione ai cosiddetti shadow agents che possono essere creati da team o singoli utenti senza che sicurezza e IT ne abbiano una visione completa. La ricerca punta quindi a costruire un inventario continuo degli agenti presenti nell’organizzazione e delle risorse alle quali possono accedere.
La necessità di questo controllo deriva dalla natura operativa degli agenti moderni. Un agente non si limita a generare una risposta testuale, ma può effettuare retrieval su fonti aziendali, selezionare strumenti, chiamare API, utilizzare credenziali, modificare dati e attivare azioni all’interno di sistemi esterni. Ogni agente diventa quindi contemporaneamente un componente software e un soggetto operativo capace di utilizzare autorizzazioni, dati e strumenti; di conseguenza, l’identificazione iniziale rappresenta soltanto il primo passaggio di un modello di sicurezza che deve continuare anche durante l’esecuzione.
Il secondo pilastro di Trust3 AI Labs è la full-fidelity observability. L’approccio prevede di acquisire e rendere ricostruibile l’intera sequenza attraverso la quale un agente arriva a un’azione, includendo Prompt, Retrieval, Reasoning, Tool Selection, Tool Call, Response e Action. Questa granularità permette ai team di sicurezza di analizzare non soltanto il risultato finale, ma anche le informazioni consultate dall’agente, gli strumenti selezionati, le chiamate effettuate e il percorso che ha portato all’azione conclusiva.
La possibilità di effettuare il replay completo delle trace viene pensata per audit, investigazione degli incidenti e analisi del comportamento degli agenti. Se un sistema accede a un dato sensibile o compie un’azione non prevista, l’organizzazione deve poter ricostruire quali input abbia ricevuto, quali risorse abbia recuperato, quali strumenti abbia considerato e quali operazioni abbia effettivamente eseguito. L’osservabilità degli agenti assume quindi una funzione diversa dal semplice logging applicativo, perché il comportamento del sistema viene determinato dinamicamente dal modello e non da una sequenza di istruzioni completamente definita in anticipo dal codice.
Il terzo ambito è il runtime enforcement, con controlli collocati direttamente all’interno del ciclo decisionale dell’agente. Trust3 AI Labs studierà meccanismi capaci di bloccare comportamenti non conformi prima che raggiungano i sistemi di produzione, utilizzando strumenti come kill switch, revoca delle credenziali e rilevamento del purpose drift. Un kill switch permette di interrompere immediatamente l’attività dell’agente, mentre la revoca delle credenziali elimina la possibilità di continuare ad accedere agli strumenti o ai dati associati a determinate identità.
Il purpose drift riguarda invece le situazioni nelle quali un agente comincia a svolgere attività che si allontanano progressivamente dallo scopo per il quale era stato autorizzato. Un agente destinato, per esempio, all’analisi di una determinata categoria di informazioni potrebbe iniziare a interrogare fonti o utilizzare strumenti non necessari al proprio compito. La valutazione del comportamento rispetto allo scopo dichiarato diventa quindi un elemento del controllo runtime, insieme alle tradizionali verifiche basate su identità e autorizzazioni.
Una parte rilevante della ricerca viene dedicata anche alla sicurezza del Model Context Protocol. L’adozione di MCP permette agli agenti di collegarsi a strumenti, applicazioni e sorgenti di dati attraverso un’interfaccia standardizzata, ma introduce contemporaneamente nuovi punti di ingresso per attacchi e configurazioni errate. Trust3 AI Labs analizzerà quindi la scoperta dei server MCP, la provenienza degli strumenti, l’autenticazione, l’autorizzazione, la fiducia tra server differenti e la possibilità che descrizioni o metadati degli strumenti vengano manipolati.
Tra i rischi esplicitamente indicati rientra il tool description poisoning, nel quale la descrizione associata a uno strumento MCP viene costruita o alterata in modo da influenzare il comportamento del modello. Poiché gli agenti utilizzano descrizioni, schema e metadati degli strumenti per determinare quale funzione richiamare e con quali parametri, una descrizione compromessa può modificare il percorso decisionale prima ancora dell’esecuzione della chiamata effettiva. La sicurezza MCP richiede quindi controlli non soltanto sulle API finali, ma anche sulle informazioni attraverso le quali gli strumenti vengono presentati al modello.
La ricerca comprenderà inoltre il problema della fiducia tra più server MCP. Un agente può utilizzare contemporaneamente strumenti provenienti da server gestiti da team, fornitori o infrastrutture differenti, e la presenza di un server attendibile non implica automaticamente che debbano essere considerate affidabili le risorse alle quali questo rinvia. La provenienza degli strumenti e delle informazioni deve quindi essere mantenuta attraverso la catena di chiamate, permettendo al sistema di determinare da quale componente provenga un dato o un’azione.
Lo stesso principio viene applicato alla sicurezza agent-to-agent. Con la diffusione delle architetture multi-agente, un sistema può delegare una parte del proprio lavoro a un altro agente e riceverne successivamente il risultato, creando catene nelle quali identità, contesto e autorizzazioni devono propagarsi tra componenti differenti. Trust3 AI Labs studierà in particolare la propagazione dell’identità agent-to-agent, necessaria per evitare che una delega faccia perdere le informazioni relative all’origine della richiesta o permetta a un agente successivo di ottenere privilegi superiori rispetto a quelli previsti all’inizio del workflow.
L’area MCP e A2A comprende quindi autenticazione e autorizzazione non come controlli isolati, ma come proprietà che devono rimanere valide lungo l’intera catena di collaborazione. Un agente che riceve un task da un altro agente deve poter conoscere il contesto di sicurezza della delega e utilizzare soltanto gli strumenti compatibili con tale contesto; allo stesso modo, le azioni eseguite dagli agenti successivi devono poter essere ricondotte al workflow che le ha originate.
Il quinto pilastro, Unified Governance, collega discovery, observability, runtime enforcement e sicurezza delle comunicazioni in un unico modello di policy. Trust3 AI intende applicare controlli continui attraverso framework, piattaforme e cloud differenti, evitando che ogni ambiente debba utilizzare un sistema di governance completamente separato. Questa impostazione è particolarmente rilevante nelle organizzazioni nelle quali agenti sviluppati con tecnologie differenti possono accedere agli stessi dati o collaborare all’interno dello stesso processo.
La governance unificata deve quindi comprendere sia il momento nel quale un agente viene registrato sia quello nel quale inizia a eseguire azioni. Le policy possono essere associate a identità, scopo dichiarato, dati utilizzati, strumenti disponibili e ambiente operativo, mentre l’osservabilità fornisce le informazioni necessarie per verificare continuamente che il comportamento rimanga compatibile con le regole impostate. L’eventuale violazione può quindi essere collegata direttamente ai controlli runtime, senza attendere un audit successivo.
Trust3 AI Labs organizzerà le proprie pubblicazioni in quattro categorie: Threat Research, Tools, Engineering e Talks. La sezione Threat Research sarà dedicata allo studio di nuovi attacchi contro agenti, protocolli e infrastrutture AI; Tools raccoglierà strumenti destinati agli sviluppatori e ai team di sicurezza; Engineering documenterà architetture, esperimenti e modalità di implementazione dei controlli, mentre Talks ospiterà contenuti tecnici e interventi dedicati alle principali problematiche emergenti.
Il sito del laboratorio è già operativo e presenta la ricerca come un’attività dedicata alla sicurezza di agenti AI, MCP e dati aziendali dal build time al runtime. Una delle prime analisi pubblicate affronta proprio la differenza tra configurazione in fase di sviluppo ed effettiva applicazione delle policy durante l’esecuzione, evidenziando che la presenza di una regola nei file di configurazione dell’agente non garantisce automaticamente che quella regola venga rispettata quando il sistema inizia a utilizzare strumenti e dati reali. La sicurezza richiede quindi meccanismi capaci di osservare e intervenire direttamente sulle azioni prodotte durante il runtime.
Trust3 AI Labs si inserisce nell’architettura più ampia sviluppata dall’azienda per la governance degli agenti enterprise. Trust3 AI aveva già introdotto AgentDOS, un control plane destinato a discovery, observability e security degli agenti, con monitoraggio delle attività e del consumo di token su piattaforme come Databricks Agent Bricks e Microsoft Copilot Studio. Il nuovo laboratorio separa la funzione di ricerca tecnica dal prodotto commerciale e amplia il campo d’indagine verso protocolli, tecniche di attacco e architetture di sicurezza che riguardano l’intero ecosistema agentico.
L’impostazione considera quindi la sicurezza degli agenti come una catena continua: individuare quali sistemi esistono, osservare integralmente ciò che fanno, verificare identità e strumenti utilizzati, controllare le comunicazioni MCP e A2A e intervenire durante l’esecuzione quando vengono superati i limiti stabiliti. In questo modello, configurazioni e controlli preventivi rimangono necessari, ma vengono affiancati da un livello runtime capace di bloccare l’azione prima che raggiunga dati, API o sistemi di produzione.
Trust3 AI Labs viene così costruito attorno a un problema operativo preciso: gli agenti combinano ragionamento, accesso alle risorse ed esecuzione di azioni all’interno dello stesso runtime, rendendo insufficiente una sicurezza limitata al modello o al prompt. L’oggetto da proteggere diventa l’intero percorso che va dall’identificazione dell’agente alla selezione di uno strumento, dalla trasmissione dell’identità tra agenti fino all’azione finale sui sistemi aziendali, con policy e osservabilità che devono accompagnare il processo in ogni fase.