Quando il software comincia ad agire: cosa sono davvero gli agenti AI

Un chatbot risponde. Un agente AI prova a fare qualcosa. È una differenza semplice da formulare ma importante: il salto non riguarda soltanto la qualità del linguaggio, riguarda l’accesso a strumenti, dati e azioni.

Per questo gli agenti sono uno dei temi centrali dell’AI nel 2026. Non perché esista già un software capace di lavorare senza limiti al posto di una persona, ma perché i modelli linguistici vengono sempre più spesso inseriti dentro sistemi che possono osservare uno stato, scegliere un’azione, chiamare un servizio e controllare il risultato.

Cos’è un agente AI

Un agente AI è un sistema software progettato per perseguire un obiettivo attraverso una sequenza di decisioni e azioni. Può usare un LLM per interpretare istruzioni e pianificare, ma il modello da solo non basta.

Servono almeno un ambiente in cui operare, uno stato da osservare, strumenti utilizzabili e regole che definiscano cosa il sistema può fare. Un agente diventa quindi un’architettura, non semplicemente un modello.

I componenti di un agente

Un agente tipico combina diversi elementi:

• modello: interpreta il contesto e propone decisioni;
• obiettivo: definisce il risultato desiderato;
• stato o memoria: conserva informazioni utili al compito;
• strumenti: API, browser, database, codice, file o applicazioni;
• politiche e permessi: stabiliscono quali azioni siano consentite;
• feedback: permette di verificare l’esito e decidere il passo successivo.

Questa struttura è il motivo per cui due sistemi che usano lo stesso modello possono avere capacità molto diverse: uno può soltanto produrre testo, l’altro può modificare un documento, interrogare un database o inviare una richiesta a un servizio esterno.

Il ciclo osservazione → decisione → azione → verifica

Il comportamento agentico nasce dal ciclo. Il sistema osserva lo stato corrente, valuta cosa fare, usa uno strumento, legge il risultato e aggiorna il piano. Se il compito non è concluso, ripete.

È una differenza rispetto alla singola richiesta-risposta di un chatbot. L’agente può trasformare un obiettivo ampio in una sequenza di sotto-compiti e adattarsi quando un passaggio produce un risultato inatteso.

Chatbot, assistente, workflow e agente non sono sinonimi

Un chatbot gestisce principalmente conversazione. Un assistente può combinare chat e strumenti. Un workflow esegue invece una sequenza predefinita: se accade A, fai B e poi C.

Un agente introduce una quota maggiore di scelta dinamica: può decidere quale strumento usare, in quale ordine e se ripetere un passaggio. Non esiste però una soglia universalmente accettata che separi ogni workflow avanzato da ogni agente. È meglio parlare di gradi di autonomia.

Livelli di autonomia

Un sistema può essere fortemente supervisionato: propone un’azione e aspetta conferma. Oppure può eseguire automaticamente operazioni entro un perimetro ristretto. Nei casi più autonomi può concatenare molte azioni prima di chiedere intervento umano.

Più cresce l’autonomia, più diventa importante limitare il raggio d’azione. Un errore in una risposta testuale può essere corretto; un errore in un sistema con accesso a email, pagamenti o infrastrutture può produrre conseguenze reali.

Tool use: quando l’AI esce dalla finestra di chat

Gli strumenti permettono all’agente di superare una parte dei limiti del modello. Può cercare dati aggiornati, eseguire un calcolo, leggere un file o chiamare un’API invece di inventare il risultato.

Ma ogni strumento introduce anche una superficie di rischio. La guida sulla sicurezza degli agenti AI affronta proprio identità, permessi e accesso alle risorse.

Identità e autorizzazione diventano centrali

Nel febbraio 2026 il NIST ha pubblicato un concept paper dedicato all’identità e all’autorità dei software agent. Il punto è concreto: se un agente può accedere a dati e applicazioni, dobbiamo sapere chi rappresenta, quali credenziali usa e quali operazioni può autorizzare.

Questo porta pratiche tradizionali di cybersecurity dentro l’architettura agentica: minimo privilegio, autenticazione, audit, separazione dei ruoli, revoca dei permessi e registrazione delle azioni.

Prompt injection: il contenuto può diventare un comando

Un agente che legge pagine web, documenti o email può incontrare istruzioni malevole incorporate nei contenuti. Se il sistema non distingue correttamente dati e comandi, un testo esterno può tentare di deviare il comportamento.

Il problema non riguarda soltanto il modello: riguarda l’intero sistema di fiducia attorno al modello. Filtri, sandbox, policy sugli strumenti e autorizzazioni diventano quindi parte dell’agente quanto il prompt.

Come si valuta un agente

Valutare un agente significa andare oltre la qualità della singola risposta. Bisogna misurare se completa il compito, quanti passaggi usa, quanto costa, quali errori produce, quanto spesso richiede supervisione e se rispetta i vincoli.

Un agente che completa il 90% dei task ma occasionalmente compie un’azione non autorizzata può essere inutilizzabile in un contesto sensibile. La metrica giusta dipende quindi dal rischio dell’ambiente.

Multi-agent: più agenti non significano automaticamente più intelligenza

I sistemi multi-agent assegnano ruoli diversi a più agenti che collaborano o si controllano. Possono essere utili quando il problema si presta a divisione del lavoro, ma aggiungono comunicazione, latenza e possibilità di errore.

La coordinazione è quindi un costo, non soltanto una capacità. Molti task possono essere svolti meglio da un singolo agente con strumenti chiari che da una “squadra” di agenti che si scambiano messaggi.

Dove gli agenti funzionano già

Gli agenti sono particolarmente utili in attività digitali delimitate: ricerca su fonti note, manipolazione di file, automazione di procedure, supporto allo sviluppo software, classificazione e orchestrazione di strumenti.

La pagina sugli agenti AI autonomi e il lavoro analizza cosa cambia quando questi sistemi entrano nei processi aziendali.

Dove falliscono

Gli agenti ereditano i limiti dei modelli AI: confabulazioni, errori di pianificazione, sensibilità al contesto e difficoltà nel riconoscere quando non sanno qualcosa. In più, ogni errore può propagarsi attraverso una catena di azioni.

È per questo che “autonomo” non dovrebbe significare “senza controllo”. Nei sistemi seri l’autonomia viene progettata insieme a soglie, autorizzazioni e punti di intervento umano.

Agenti e potere delle piattaforme

Se gli agenti diventano l’interfaccia attraverso cui cerchiamo, acquistiamo o usiamo software, chi controlla l’agente può diventare un nuovo intermediario. La selezione non riguarda più soltanto quali informazioni mostrarci, ma quali servizi scegliere e quali azioni compiere.

È il passaggio che collega agenti, piattaforme e infrastruttura: il modello può essere una componente, ma distribuzione, identità, accesso ai dati e strumenti determinano il potere effettivo del sistema.

Memoria e stato: sapere dove si trova il task

Un agente che esegue più passaggi deve conservare informazioni su ciò che ha già fatto. Questa memoria può essere semplice stato della sessione, una lista di azioni, dati recuperati da un database o una memoria persistente esterna.

Più la memoria dura nel tempo, più aumentano problemi di privacy, aggiornamento e controllo. Ricordare tutto non è necessariamente un vantaggio: in molti processi è più sicuro conservare soltanto ciò che serve al compito e definire quando l’informazione deve essere eliminata.

Human in the loop: dove inserire il controllo umano

La supervisione non deve essere identica per ogni azione. Un agente può leggere liberamente dati pubblici ma chiedere conferma prima di inviare un’email, modificare un file critico o autorizzare una spesa.

Il punto non è mettere una persona dopo ogni passaggio, rendendo inutile l’automazione. È collocare il controllo nei punti in cui costo dell’errore e irreversibilità aumentano. È un problema di progettazione del workflow tanto quanto di intelligenza del modello.

Autonomia ha anche un costo economico

Ogni ciclo agentico consuma tempo di calcolo, chiamate a strumenti e token. Un sistema che prova dieci strade prima di completare un task può essere meno conveniente di un workflow deterministico che ne usa una.

Per questo la qualità di un agente non si misura soltanto dal fatto che “ce la faccia”. Contano latenza, costo, numero di errori, ripetibilità e facilità di supervisione. L’autonomia utile è quella che migliora il processo complessivo, non quella che massimizza il numero di decisioni affidate al software.

L’agente utile è quello con un perimetro chiaro

La promessa più credibile degli agenti AI non è un’entità universale che “fa tutto”. È un software capace di gestire task complessi entro un ambiente definito, con strumenti appropriati e controlli proporzionati al rischio.

Capire gli agenti significa quindi spostare la domanda da “quanto è intelligente il modello?” a “che cosa può osservare, che cosa può fare e chi gli ha dato il permesso di farlo?”.