Shufti ha annunciato Know Your Agent (KYA), una soluzione di verifica dell’identità e delle autorizzazioni progettata per controllare gli agenti di intelligenza artificiale autonomi che operano per conto di persone fisiche e aziende. Il sistema nasce per rispondere alle esigenze del commercio agentico, nel quale un software intelligente può accedere a servizi digitali, aprire account, effettuare acquisti, consultare informazioni riservate e disporre operazioni finanziarie in rappresentanza del proprio utilizzatore. L’architettura di KYA riunisce in un unico processo il riconoscimento dell’agente, la verifica del soggetto che lo ha autorizzato e il controllo dei permessi assegnati, introducendo una distinzione tra la semplice disponibilità di credenziali tecniche valide e l’effettiva legittimità dell’operazione richiesta. Un token di accesso, infatti, non consente necessariamente di determinare se l’agente sia autentico, se le credenziali siano state sottratte o se l’azione rientri nelle istruzioni approvate dal titolare. La soluzione è quindi progettata per individuare tentativi di impersonificazione, richieste non autorizzate e operazioni ad alto rischio prima che possano produrre effetti sui sistemi aziendali.
Il funzionamento di Know Your Agent prevede l’attribuzione a ciascun agente di una credenziale univoca, dotata di validità temporale limitata e revocabile. Gli agenti già conosciuti vengono riconosciuti attraverso informazioni identificative, mentre quelli nuovi o non familiari sono sottoposti ad analisi basate sulla biometria comportamentale. Il servizio assegna inoltre un punteggio di affidabilità, o trust score, destinato a supportare le decisioni di autorizzazione e la valutazione del rischio. Shufti dichiara di supportare agenti quali Meta Muse, GrokBot e OpenAI Dots, prevedendo l’integrazione di nuovi sistemi entro una settimana dal rispettivo lancio. Ogni agente viene associato a una persona fisica oppure a un’organizzazione la cui identità è stata verificata mediante i processi modulari Know Your Customer (KYC) o Know Your Business (KYB) già disponibili nella piattaforma. Le aziende possono selezionare i controlli appropriati in funzione delle proprie esigenze operative e normative. Il nuovo livello KYA non sostituisce quindi la verifica dell’identità tradizionale, ma la estende ai soggetti software che agiscono sulla base di un’autorizzazione delegata.
L’elemento centrale del sistema è il mandato attribuito all’agente dal soggetto responsabile, definito principal. Tale mandato specifica le operazioni consentite, i limiti applicabili, la durata dell’autorizzazione e le condizioni di revoca. Queste informazioni vengono trasformate in regole operative e valutate per ogni richiesta presentata dall’agente, anziché limitarsi a una verifica iniziale della sessione. Il controllo è accompagnato da un monitoraggio continuativo finalizzato all’individuazione di utilizzi anomali o non conformi alle autorizzazioni ricevute. Nel settore bancario, per esempio, un agente può essere autorizzato a consultare i saldi e pagare beneficiari già approvati, mentre l’inserimento di un nuovo destinatario richiede una verifica supplementare. Una piattaforma di asset digitali può permettere operazioni di trading entro limiti prestabiliti, mantenendo bloccati i prelievi. Nei marketplace possono essere autorizzati acquisti entro il budget definito dal cliente, mentre nei servizi SaaS l’accesso può essere limitato a determinate risorse e attività. Per gli operatori di gioco online, il sistema può consentire all’agente di monitorare il conto e comunicare lo stato dei pagamenti, riservando tuttavia l’effettuazione delle puntate al giocatore verificato.
Quando un agente presenta una richiesta esterna al mandato ricevuto oppure un’operazione supera la soglia di rischio configurata dall’azienda, Know Your Agent può attivare un controllo supplementare con intervento umano. Questa procedura, definita human-in-the-loop, richiede al soggetto autorizzante di confermare la propria presenza mediante una breve verifica biometrica del volto eseguita attraverso un selfie. Shufti utilizza per questo passaggio una tecnologia di liveness detection dichiarata certificata iBeta Level 3 per la resistenza agli attacchi di presentazione. La certificazione riguarda specificamente il controllo biometrico di vitalità e non costituisce una certificazione complessiva di tutte le funzionalità KYA. L’autorizzazione basata sul rischio consente di mantenere automatizzate le attività già approvate e di introdurre ulteriori verifiche soltanto quando le condizioni operative lo richiedono.
La piattaforma mantiene inoltre una traccia verificabile delle richieste, delle decisioni di autorizzazione e delle revoche, associando ciascun evento tanto all’agente quanto al soggetto che ne ha disposto l’utilizzo. Questa registrazione consente di ricostruire chi abbia autorizzato una determinata attività, quali limiti fossero applicabili e come sia stata gestita la richiesta. Secondo il responsabile tecnologico Faryam Asif, la possibilità di associare ogni operazione a un proprietario verificato, a un mandato esplicito e a una registrazione consultabile costituisce il presupposto per consentire alle imprese di accettare operazioni effettuate da agenti autonomi. Shufti presenta KYA anche come strumento per ridurre il rischio di frodi, transazioni contestate e chargeback senza impedire l’accesso ai servizi da parte dell’automazione legittima. Know Your Agent è già disponibile per le aziende che gestiscono transazioni agentiche e altri processi nei quali software autonomi accedono a informazioni o eseguono operazioni per conto di utenti verificati.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI).