Punti di forza
- L'IA agentica è già in uso nel settore finanziario: verifiche di conformità, monitoraggio delle transazioni, preparazione delle revisioni contabili, rendicontazione normativa; gli agenti operano, per impostazione predefinita, senza alcuna ispezione dei file.
- Gli agenti finanziari si collegano a sistemi di elaborazione dei pagamenti, ERP, archivi di dati regolamentati e portali dei revisori. Ogni connessione costituisce un confine di fiducia; un solo file infetto può comprometterli tutti.
- Il malware tradizionale (Emotet, Carbanak, FIN7) e le minacce emergenti (prompt injection) sfruttano la fiducia riposta negli agenti alla velocità di un computer, prima che un essere umano possa intervenire.
- DORA, PCI DSS, le norme SEC in materia di divulgazione delle informazioni relative alla sicurezza informatica e FINRA/FFIEC impongono tutte una governance dei flussi di lavoro degli agenti, con obblighi di segnalazione degli incidenti che scattano nel momento stesso in cui un agente gestisce in modo improprio un file.
- L'ispezione dei file prima dell'acquisizione da parte dell'agente è il controllo fondamentale che manca. MetaDefender™ Cloud intercetta ogni file: oltre 20 motori, tecnologia Deep CDR™ e Adaptive Sandbox ; prima ancora che l'agente lo rilevi.
Il luglio 2026 è stato, a dir poco, un mese interessante per la sicurezza dell'IA agentica. Sia Anthropic che OpenAI hanno fatto notizia con importanti avvenimenti; entrambe le aziende sono state coinvolte in casi in cui alcuni agenti sono riusciti a sfuggire agli ambienti sandbox e a violare server altrimenti sicuri.
La notizia non ha sorpreso nessuno. Già nel febbraio 2026 avevano cominciato a emergere studi che documentavano la tendenza degli agenti a agire in modo autonomo quando lasciati senza supervisione. Uno di questi studi è quello intitolato “Agents of Chaos”, che rivela che gli agenti sono in grado di:
- rispettare le indicazioni dei non proprietari
- divulgare dati sensibili
- eseguire azioni distruttive a livello di sistema
- diffondere pratiche non sicure gli uni tra gli altri
In breve, l’IA agentica non è, al momento, pronta a sostituirsi completamente alle attività quotidiane. Ciò risulta particolarmente evidente nel settore finanziario, dove l’autonomia degli agenti di IA supera già i livelli di supervisione.
Il vostro responsabile della conformità ha elaborato circa 300 documenti questo mese, recuperando documenti depositati, fatture, rendiconti dei fornitori e file di revisione contabile da ogni angolo del vostro ambiente di archiviazione. In quale fase di tale processo ha verificato se qualcuno di quei file fosse effettivamente sicuro?
Se non hai una risposta certa:
- Non sei l'unico; la maggior parte delle organizzazioni finanziarie non lo fa.
- Rispondere a questa domanda dovrebbe essere la tua priorità numero uno.
In che modo l'IA agentica amplia la superficie di attacco nel settore finanziario
Nel 2025, secondo un’indagine di Gartner, il 59% dei responsabili finanziari aveva implementato l’intelligenza artificiale nelle proprie funzioni finanziarie. Sebbene i dati relativi al 2026 non siano ancora disponibili, possiamo solo supporre che i tassi di adozione siano aumentati. Gli agenti basati sull’intelligenza artificiale vengono utilizzati per le verifiche di conformità, il monitoraggio delle transazioni, la preparazione degli audit o la rendicontazione normativa.
Prendiamo ad esempio un tipico flusso di lavoro mensile di verifica della conformità. Un agente:
- Recupera documenti da SharePoint, Box o Amazon S3
- Analizza ed estrae i dati, verificandone la correttezza sulla base della documentazione di supporto
- Esegue query su Salesforce o Stripe per riconciliare le discrepanze nei pagamenti
- Crea ticket Jira e li inoltra all'ufficio finanziario o all'ufficio legale
- Avvisa i team interessati tramite Teams o e-mail
- Prepara i rapporti di conformità normativa e li esporta ai soggetti interessati esterni
Si tratta di sei passaggi, diversi sistemi e nessuna verifica dei file. Ogni documento che entra nel flusso di lavoro è considerato attendibile. Questo è al tempo stesso il punto di forza e il problema del sistema.
Perché i flussi di lavoro finanziari sono più esposti ai rischi di sicurezza legati all’IA agentica?
Ad eccezione degli hacktivisti o degli attori sostenuti dallo Stato, la maggior parte degli autori degli attacchi prende di mira soprattutto i settori più redditizi, senza alcun altro obiettivo dietro. L’anno scorso, i settori presi di mira sono stati quello manifatturiero, sanitario, finanziario e pubblico: tutti settori che dispongono sia di ricchi set di dati sia di molto da perdere.
Nel caso di furti diretti, gli hacker prendono di mira le reti di pagamento, i conti bancari e le infrastrutture blockchain per sottrarre fondi direttamente. Anche le organizzazioni finanziarie sono nel mirino a causa dell’intensa pressione a cui sono sottoposte per garantire la continuità operativa, la conformità normativa e la fiducia del pubblico, il che le rende più propense a pagare i riscatti per ripristinare i sistemi.
Anche le operazioni specifiche del settore possono incidere. I flussi di lavoro di Agentic si integrano con i sistemi di elaborazione dei pagamenti, i sistemi ERP, i portali normativi, l’archiviazione cloud e i portali dei revisori. Ognuna di queste connessioni costituisce un confine di fiducia e ogni confine di fiducia rappresenta un potenziale punto singolo di guasto.
L'IA agentica sta guadagnando terreno grazie alla sua velocità di esecuzione pari a quella di una macchina e a tutte le promesse di aumento della produttività che ne derivano. Ma è proprio in quella velocità che risiede il pericolo.
L'unica cosa che in passato permetteva di individuare una fattura dannosa o un rapporto di revisione infetto era la pausa che una persona si prendeva prima di aprirlo. L'IA di Agentic elimina completamente questo punto di controllo. Un file infetto che sarebbe rimasto nella casella di posta di qualcuno per un giorno viene ora acquisito, letto ed elaborato in pochi secondi.
Le organizzazioni devono inoltre fare i conti con il fatto che i dipendenti utilizzino strumenti di intelligenza artificiale al di fuori dei canali autorizzati o condividano dati non autorizzati con l’IA. Nel 2023, alcuni ingegneri di Samsung hanno caricato su ChatGPT codice sorgente proprietario e appunti di riunioni interne. L’estate scorsa, l’allora direttore ad interim della CISA ha caricato documenti governativi sensibili in una sessione pubblica di ChatGPT.
Se gli strumenti di chat non regolamentati comportano un rischio così elevato, i flussi di lavoro degli agenti non regolamentati, con accesso diretto ai sistemi di pagamento e ai dati normativi, aumentano notevolmente la posta in gioco.
Scenari di minaccia reale per l’IA agentica nel settore finanziario
Le famiglie di malware che da oltre un decennio prendono di mira il settore finanziario non hanno bisogno di evolversi molto per sfruttare i flussi di lavoro basati su agenti. Chiamatelo pure “malware basato su IA agentica”, se volete: stessi payload, un percorso di diffusione più veloce e meno supervisionato. Per citarne alcuni:
- Emotet, il trojan bancario che per anni si è diffuso tramite e-mail di spam camuffate da fatture e avvisi di pagamento, utilizzando documenti Word con macro abilitate come meccanismo di diffusione; la CISA lo ha segnalato come una delle famiglie di malware più costose da eliminare. In un flusso di lavoro basato su agenti, il meccanismo si applica direttamente. Un agente acquisisce l’allegato “fattura” nell’ambito dell’elaborazione di routine dei documenti. Senza un sistema di sicurezza dei file basato su agenti AI in funzione in quel momento, nulla gli impedisce di sincronizzarlo su SharePoint, come parte della normale indicizzazione, o di condividerlo su Teams direttamente dall’agente stesso.
- Carbanak è stata una rapina bancaria da 1 miliardo di dollari perpetrata tramite fatture compromesse. Gli aggressori hanno utilizzato allegati Word e CPL compromessi per ottenere un punto d'appoggio, per poi muoversi all'interno dei sistemi aziendali fino a raggiungere i servizi di elaborazione dei pagamenti, i bancomat e i trasferimenti SWIFT. La rapina originale ha richiesto circa due anni di paziente movimento laterale da parte di operatori umani. In un ambiente basato su agenti, un agente con accesso permanente ai sistemi ERP o di pagamento potrebbe, in linea di principio, raggiungere la stessa classe di sistemi con una singola azione automatizzata.
- FIN7 ha costruito la propria carriera sulla base di e-mail di spear-phishing contenenti documenti Office che sfruttavano vulnerabilità note, portando al furto di credenziali e all’esfiltrazione di dati relativi a carte di pagamento e registrazioni finanziarie da oltre 100 organizzazioni. Se lo stesso documento venisse inviato a un agente dotato di autorizzazioni autonome per la gestione delle e-mail o dei file, l’acquisizione, l’esposizione delle credenziali e l’esfiltrazione potrebbero verificarsi in sequenza senza che una persona esamini mai il file.
- L’iniezione di prompt è quella in cui la minaccia agente è già reale, non ipotetica. Microsoft ha reso nota EchoLeak (CVE-2025-32711), una vulnerabilità di iniezione di prompt zero-click in Microsoft 365 Copilot, in cui istruzioni nascoste incorporate in un’e-mail inducevano Copilot ad agire automaticamente in base ad esse. L’iniezione di prompt è una nuova categoria di attacchi che non richiede nemmeno l’uso di malware per funzionare, pertanto non può essere individuata in alcun modo dai sistemi di rilevamento basati su firme. Ed è proprio questo che la rende la più difficile da individuare tra le quattro.
Per quanto riguarda la situazione concreta del settore finanziario:
- Il costo medio di una violazione causata da Shadow AI può raggiungere i 4,63 milioni di dollari; si tratta di 670.000 dollari in più rispetto a una violazione standard.
- Quasi la metà (48%) dei professionisti della sicurezza ha indicato l'IA agentica come il vettore di attacco numero uno nel 2026.
- E solo il 33% delle organizzazioni dispone dei dati fondamentali per attuare solide misure di sicurezza relative all'IA.
In che modo i quadri normativi disciplinano l’IA agentica
La maggior parte dei quadri normativi del settore finanziario ha già integrato l’IA agentica nelle proprie norme di conformità, imponendo alle organizzazioni di mappare il comportamento degli agenti sugli stessi controlli applicati agli altri flussi di lavoro. Pertanto, l’IA agentica rappresenta una questione normativa ed è al centro del modo in cui gli ispettori definiscono attualmente i rischi legati all’IA nei servizi finanziari.
- DORA considera gli agenti di IA alla stregua di sistemi ICT. Con l’entrata in vigore della legge il 17 gennaio 2025, gli enti finanziari dell’UE devono integrare i malfunzionamenti degli agenti negli stessi pilastri di gestione del rischio ICT, segnalazione degli incidenti e test di resilienza che si applicano a ogni altro sistema. La BaFin tedesca lo ha confermato direttamente nelle linee guida del gennaio 2026: gli agenti e i modelli di linguaggio di grandi dimensioni (LLM) non beneficiano di un regime separato e devono rientrare nei quadri di governance e di test DORA esistenti. Un file gestito in modo errato da un agente è, ai sensi del DORA, un incidente informatico come qualsiasi altro.
- PCI DSS si applica a qualsiasi sistema che memorizzi, elabori o trasmetta i dati dei titolari di carte di credito, o che possa influire sulla sicurezza di tali dati; il PCI Security Standards Council ha dichiarato esplicitamente che ciò include i sistemi di intelligenza artificiale con accesso a informazioni di pagamento protette. Una fattura o un estratto conto con cui un agente entra in contatto rientra nell'ambito di applicazione dello standard PCI allo stesso modo di un sistema gestito da un operatore umano, il che significa che si applicano gli stessi controlli, indipendentemente dal fatto che si tratti di un agente o meno.
- Norme della SEC in materia di divulgazione degli incidenti informatici impongono alle società quotate in borsa di comunicare gli incidenti significativi relativi alla sicurezza informatica entro quattro giorni lavorativi dalla determinazione della loro rilevanza. La norma non fa distinzione tra un incidente causato da un errore umano e uno causato da un agente autonomo. Se un file su cui un agente ha agito risulta esporre dati rilevanti, il termine per la comunicazione decorre allo stesso modo di qualsiasi altra violazione.
- La FINRA e la FFIEC hanno posto la governance dell’IA al centro della loro analisi. Il Rapporto annuale 2026 sulla vigilanza normativa della FINRA ha dedicato la sua prima sezione specifica all’IA generativa e agentica, definendo le aspettative in materia di test, monitoraggio, revisione umana e conservazione dei dati relativi alle attività basate sull’IA.
In sintesi: un’infezione basata su file e diffusa tramite intelligenza artificiale può far scattare un incidente ICT ai sensi del DORA, una violazione dell’ambito di applicazione ai sensi dello standard PCI DSS, una valutazione di rilevanza ai sensi delle norme SEC e l’individuazione di una lacuna nella supervisione da parte degli ispettori della FINRA o della FFIEC.
Cinque azioni per i responsabili della sicurezza finanziaria
Come già anticipato, i controlli dell’IA Agentic partono dal livello del file; in altre parole, tutto inizia con una domanda: cosa contieneil file che questo agente sta per elaborare?
Sulla base della risposta, emergono una serie di buone pratiche (che dovrebbero diventare abitudini):
- Considerare tutti gli input come non attendibili, compresi i file provenienti da fonti interne attendibili, e farli passare attraverso un livello di scansione dedicato prima che un agente possa accedervi.
- Partendo dal presupposto dello “zero trust”, combinare politiche di sicurezza e di controllo a più livelli per determinare se il file sia stato compromesso o meno.
- Definire a cosa si riferiscono le azioni distruttive nel contesto dell’IA agenziale, quindi stabilire definizioni esplicite delle politiche.
- Verificate e bloccate i percorsi di trasferimento dei dati tra i sistemi con cui interagiscono i vostri agenti: archiviazione, CRM, sistemi di elaborazione dei pagamenti, gestione dei ticket, strumenti di comunicazione.
- Proteggi gli ambienti di archiviazione come SharePoint e S3 grazie alla scansione basata sugli eventi, in modo che i file vengano controllati nel momento stesso in cui vengono caricati, non dopo che un agente ha già agito su di essi.
Come si inserisce MetaDefender™ Cloud nella pipeline
Gli scenari di minaccia sopra descritti sono tecnicamente possibili solo se un file raggiunge un agente prima che qualcuno ne abbia confermato la sicurezza. MetaDefender™ Cloud interviene e rimuove la minaccia. Ecco come.
Un file entra nella pipeline, che provenga da una casella di posta in arrivo, da un'unità condivisa o da un portale di caricamento. MetaDefender Cloud lo intercetta prima ancora che l'agente AI possa entrarne in contatto. Da lì, oltre 20 motori anti-malware (tramite la tecnologia Metascan™ Multiscaning ), la tecnologia Deep CDR™, Proactive DLP™ e la Adaptive Sandbox tecnologia operano in parallelo:
- I motori effettuano una scansione alla ricerca di firme note.
- La tecnologia Deep CDR™ smonta e ricostruisce il file in modo che nessun contenuto attivo rimanga, indipendentemente dal fatto che sia stato rilevato o meno.
- Adaptive Sandbox esegue l'analisi dei file in un ambiente isolato per osservarne il comportamento.
- Proactive DLP occulta i dati sensibili prima che questi vengano trasmessi.
Se il file è dannoso, viene bloccato prima ancora di raggiungere gli agenti collegati. Inoltre, l’intero processo può essere ricondotto alle prove richieste dagli ispettori DORA, PCI DSS e SEC.
Senza MetaDefender Cloud , il flusso di lavoro basato sugli agenti procede alla cieca; i file vengono inseriti direttamente nel flusso di lavoro dell’IA senza alcuna scansione in nessuna fase del percorso, per cui malware, macro dannose e iniezioni di prompt passano inosservati. Nessuno ha visibilità sul contenuto dei file o sulle minacce incorporate finché non si verifica un malfunzionamento a valle. Un solo documento dannoso può trasformarsi in un incidente a livello aziendale nel giro di pochi minuti, data la rapidità con cui un agente è in grado di sincronizzarsi, condividere e agire. E quando un’autorità di regolamentazione richiede infine prove di ciò che è accaduto e quando, non c’è alcuna traccia di audit da presentare.
In questo modo, lo stesso file raggiunge un punto di controllo prima ancora che l’agente lo veda. L’idea principale consiste nello spostare la posizione del punto di controllo. Se lo si sposta a monte dell’agente, la velocità di quest’ultimo smette di essere un ostacolo. È questa la premessa fondamentale per una sicurezza basata sull’IA agentica ben implementata.
Inizia con MetaDefender Cloud
L'IA agentica sta dimostrando cosa si può ottenere quando le verifiche di conformità, la preparazione agli audit e il monitoraggio delle transazioni vengono eseguiti in pochi minuti anziché in giorni. Ma il file infetto arriva e nulla lo ferma.
Volete immaginare quali conseguenze possa avere quella velocità su un errore o su un file dannoso, quando non c’è nulla che lo controlli in anticipo? Spostate il punto di controllo. Posizionatelo a monte dell’agente anziché dopo l’incidente, e l’esposizione alle minacce basate sui file smetterà di essere una questione di fortuna.
Contatta un esperto per proteggere la tua pipeline di IA agentica con MetaDefender Cloud .
Domande frequenti
Che cos’è l’IA agentica e perché comporta nuovi rischi per la sicurezza informatica?
Per “IA agentica” si intendono quei sistemi di intelligenza artificiale in grado di recuperare dati in modo autonomo, intraprendere azioni su sistemi interconnessi e portare a termine attività articolate in più fasi senza richiedere l’approvazione umana ad ogni singolo passaggio. Nel settore finanziario, tale autonomia significa che un singolo file può innescare azioni quali l’estrazione di dati, l’esecuzione di query di sistema, la creazione di ticket e la generazione di report esterni, il tutto prima ancora che un operatore umano lo esamini.
In che modo un singolo file infetto può compromettere il flusso di lavoro di un agente di intelligenza artificiale?
Un agente può acquisire un file dannoso senza rendersene conto e quindi eseguire operazioni su di esso. Ciò può comportare la sincronizzazione del file tra diversi sistemi di archiviazione, la sua condivisione su canali di comunicazione o l'esecuzione del codice incorporato nel contesto di esecuzione dell'agente stesso, il tutto senza la fase di revisione manuale che in passato consentiva di individuare questi attacchi.
Che cos’è l’iniezione di prompt e in che modo influisce sugli agenti di intelligenza artificiale nel settore finanziario?
L'iniezione di prompt consiste nel nascondere istruzioni all'interno di un documento che un agente di intelligenza artificiale interpreta come comandi. Poiché non è presente alcun codice dannoso, i tradizionali strumenti antivirus e di rilevamento del malware non lo segnalano, rendendo particolarmente difficile individuarlo nei flussi di lavoro del settore finanziario che elaborano grandi volumi di documenti esterni.
In che modo l’intelligenza artificiale “ombra” espone gli istituti finanziari al rischio di violazioni dei dati?
Per "Shadow AI" si intende l'utilizzo di strumenti di intelligenza artificiale da parte dei dipendenti al di fuori dei canali approvati e regolamentati. Una volta che i dati escono dal controllo dell'organizzazione, non è più possibile recuperarli e non esiste una traccia di audit ai fini della conformità.
Quali normative disciplinano l'intelligenza artificiale agentica nei servizi finanziari?
Le norme DORA, PCI DSS, le regole SEC in materia di divulgazione delle informazioni relative alla sicurezza informatica e gli standard di verifica FINRA/FFIEC riguardano tutti l’uso dell’IA agentica nel settore finanziario, sebbene nessuna di esse sia stata redatta specificatamente a tal fine. Ciascuna di esse richiede una combinazione di governance, test, gestione dei dati convalidati e segnalazione degli incidenti che i flussi di lavoro agentici devono essere progettati per soddisfare.
Come posso aggiungere misure di sicurezza per i file a una pipeline di agenti AI già esistente?
Inserire un livello di scansione dedicato tra l'acquisizione dei file e l'elaborazione da parte dell'agente. Ogni file viene controllato prima che l'agente intervenga su di esso, anziché affidarsi all'agente stesso per individuare eventuali contenuti dannosi.
In che modo l'analisi dei file offre funzionalità che gli antivirus tradizionali non hanno?
I sistemi antivirus tradizionali si basano principalmente sulle firme dei malware noti. MetaDefender Cloud combina la scansione multipla, la tecnologia Deep CDR™ (che ricostruisce i file per rimuovere i contenuti attivi potenzialmente dannosi) e il sandboxing per individuare le minacce zero-day e i documenti compromessi che gli strumenti basati sulle firme non rilevano affatto.
Qual è la differenza tra la sicurezza basata sull'IA agentica e la sicurezza tradizionale degli endpoint?
La sicurezza tradizionale degli endpoint protegge il dispositivo su cui viene salvato un file. La sicurezza basata sull’intelligenza artificiale (Agentic AI) deve proteggere l’intera pipeline, dall’acquisizione fino a tutti i sistemi a cui l’agente si connette. Uno strumento di sicurezza per endpoint rileva un file solo se questo passa attraverso un dispositivo gestito; un agente, invece, è in grado di acquisire, trasformare e agire su un file all’interno di archivi cloud, strumenti SaaS e sistemi di pagamento senza che sia mai coinvolto un endpoint gestito.
Gli attacchi di tipo “prompt injection” possono essere rilevati dagli strumenti di sicurezza tradizionali?
No. L’iniezione di prompt nasconde istruzioni in testo semplice all’interno di un documento; non vi è alcun codice dannoso, nessun exploit e nessuna firma da confrontare. Gli antivirus tradizionali e gli strumenti EDR non sono in grado di rilevarla. Il rilevamento richiede un’ispezione sensibile al contenuto e un ambiente sandbox in grado di osservare il comportamento di un agente di intelligenza artificiale durante l’elaborazione del documento, che è esattamente ciò che offre Adaptive Sandbox di MetaDefender Cloud .
