Un permesso si concede una volta. La capacità che quel permesso abilita cresce a ogni aggiornamento del modello e a ogni tool che aggiungi. Il rischio degli agenti vive in questo scarto, non nella singola riga della lista permessi.
Il controllo accessi tradizionale parte da un assunto: quello che un attore può fare è fissato nel momento in cui gli concedi l’accesso. Con un agente l’assunto salta. L’agente compone i tool a runtime, quindi la capacità effettiva è la combinazione di tutto ciò che gli hai concesso, non il singolo permesso preso da solo. Concedi “leggi il database” e “manda email” in due momenti diversi e hai già autorizzato “esfiltra il database via email” senza averlo scritto da nessuna parte.
Per questo leggere la lista permessi riga per riga non dice quasi nulla. La domanda non è quali permessi ha l’agente, ma quali composizioni quei permessi rendono possibili. Un modello statico fotografa uno stato; un workflow agentico è una sequenza di azioni che quella fotografia non cattura.
È anche il punto cieco di EU AI Act e DORA quando chiedono auditabilità: non puoi tracciare un comportamento che hai autorizzato solo implicitamente. La traccia deve stare sull’azione eseguita, nel momento in cui accade, non sulla concessione fatta sei mesi prima.
Un agente è un lavoratore che non dimentica mai un permesso e non si chiede mai se abbia ancora senso usarlo. Trattarlo come un account configurato una volta è l’errore di categoria che nessuna revisione della lista permessi mostrerà.
