Come Far Usare il Computer a un Agente AI in Sicurezza

Qualunque spazio tu scelga, trattalo come una scrivania nuova, non quella di sempre. Accedi solo a uno o due account effettivamente necessari per il compito, e lascia tutto il resto disconnesso. Se il compito è prenotare un singolo appuntamento su un sito di prenotazioni, quel sito è l'unica cosa che ha bisogno di una sessione; la tua email, la tua banca e i tuoi strumenti di lavoro non appartengono allo stesso spazio solo perché sarebbe comodo averli a portata di mano.

Tieni un password manager e qualsiasi accesso bancario completamente fuori da quello spazio, non semplicemente disconnesso ma mai salvato lì fin dall'inizio. Le linee guida di sicurezza di Anthropic per il computer use di Claude sono dirette su questo punto, sconsigliando di dare al modello accesso a dati sensibili come le credenziali di accesso agli account, specificamente per prevenire il furto di informazioni. La stessa logica vale qualunque sia l'agente del fornitore che usi: l'agente non può divulgare o usare in modo improprio una credenziale che non è mai stata messa a sua portata.

Questo conta ancora più nel momento in cui l'agente deve essere comunque connesso a qualcosa. Le stesse linee guida di prompting di Anthropic notano che usare il computer use all'interno di applicazioni che richiedono un accesso aumenta il rischio di un esito negativo dovuto a un attacco di prompt injection, e raccomandano di valutare come ridurre questo rischio prima di consegnare qualsiasi credenziale di accesso. Un account limitato e usa e getta per l'unico servizio di cui hai davvero bisogno è un piccolo inconveniente rispetto a quel rischio.

Un agente che usa il computer non legge solo le tue istruzioni. Legge anche tutto ciò che si trova nelle pagine, nei documenti e nelle email che apre lungo il percorso, e parte di quel contenuto può portare istruzioni proprie, indirizzate all'agente e non a te. Questo si chiama prompt injection: una frase nascosta in una pagina web o in un'email che cerca di reindirizzare l'agente a fare qualcosa che non hai mai chiesto, come visitare un altro sito, condividere informazioni o ripetere un'azione indesiderata.

La documentazione di Anthropic sul computer use di Claude lo dichiara chiaramente: in alcune circostanze, Claude segue comandi trovati nel contenuto anche quando sono in conflitto con le istruzioni dell'utente, citando come esempio istruzioni su pagine web o dentro immagini che sovrascrivono ciò che hai chiesto. Anthropic aggiunge che esegue classificatori automatici per scansionare ciò che gli strumenti di computer use restituiscono, come gli screenshot, per segnalare potenziali tentativi di injection, ma è altrettanto diretta sul fatto che le precauzioni di isolare l'agente da dati e azioni sensibili restano importanti anche con quei classificatori in funzione.

Quest'ultimo punto è quello da ricordare in ogni versione di questa funzione, di qualsiasi fornitore, non solo di Claude. Un controllo di sicurezza automatico è un secondo livello, non un sostituto del primo: tieni l'agente fuori dai tuoi account sensibili, così che anche un tentativo di injection riuscito abbia pochissimo da fare davvero una volta entrato.

Tratta la fine di una sessione di computer use come tratteresti la revisione del primo giorno di un nuovo assunto: guarda cosa è effettivamente successo, non solo se il risultato finale sembra corretto. Chiedi all'agente di elencare ogni pagina visitata, ogni account toccato e ogni campo in cui ha scritto, in ordine, e confronta questo con ciò che ti aspettavi richiedesse il compito.

La documentazione di Anthropic per Claude nota che diverse azioni possono essere raggruppate in un unico 'batch', completando una sequenza a più passaggi in un solo turno, e consiglia specificamente che se la tua applicazione chiede a un umano di confermare azioni rilevanti, quel controllo deve avvenire prima dell'esecuzione di ogni passaggio del batch, non solo una volta alla fine. La versione pratica di questo consiglio per chiunque usi questi strumenti direttamente è la stessa: non aspettare che una lunga sequenza sia completamente finita per iniziare a prestare attenzione.

Un'abitudine di verifica rapida cattura anche gli errori ordinari che non hanno nulla a che fare con la sicurezza: un campo scritto nella casella sbagliata, un passaggio saltato, una pagina che non si è caricata come l'agente supponeva. Rileggere cosa è successo costa poco. Scoprire un errore dopo il fatto, una volta che un messaggio è stato inviato o un modulo è stato sottomesso, non costa poco.

Inizia con lo spazio più piccolo che possa plausibilmente svolgere il compito. Una singola ricerca rapida su un sito pubblico non richiede una macchina virtuale; un profilo del browser nuovo è più che sufficiente. Riserva le opzioni più pesanti, un account del sistema operativo dedicato o una macchina virtuale completa, a compiti che ripeterai, compiti che toccano più di un sito, o qualsiasi cosa con cui non ti senti ancora del tutto a tuo agio.

Scrivi il compito in modo ristretto prima di affidarlo. 'Trova i tre voli più economici sul sito di questa compagnia aerea e elencameli' è un compito che un agente può svolgere con quasi nulla in gioco. 'Prenota il volo che sembra migliore' affida una decisione e un pagamento in un solo passaggio, il che è esattamente il tipo di compito che appartiene dietro una regola di approvazione umana, non dentro l'istruzione stessa.

Osserva attentamente le prime sessioni, anche in uno spazio isolato. L'isolamento limita quanto danno può fare un errore; non ti dice se l'agente sta svolgendo bene il compito. Una volta che lo hai visto gestire alcune esecuzioni come ti aspettavi, puoi rilassare l'attenzione per quel compito specifico e ristretto, ma non per uno nuovo che non hai ancora provato.

Infine, parti dal presupposto che la configurazione che usi oggi avrà bisogno di un secondo controllo più avanti. I fornitori cambiano cosa possono fare i loro agenti, quali impostazioni esistono e quali impostazioni predefinite si applicano, spesso entro pochi mesi dal lancio di una funzione. Rivedi la tua configurazione e la documentazione attuale di quel fornitore, prima di affidarti a un agente per qualcosa di più grande di quanto hai testato all'inizio.

Un profilo del browser pulito, un account separato o una macchina virtuale limitano tutti il raggio d'azione di un errore. Nessuno di questi rende l'agente più capace di giudizio, e nessuno impedisce a una pagina truffaldina convincente di far perdere un'ora a una sessione isolata, anche se non può raggiungere nulla di importante una volta lì. L'isolamento riguarda cosa può toccare l'agente, non se interpreterà correttamente una situazione.

Non sostituisce nemmeno il guardare davvero il risultato. Un agente che funziona dentro una macchina virtuale può comunque compilare un modulo con le informazioni sbagliate, interpretare male una pagina confusa o completare un compito in un modo tecnicamente corretto ma non quello che volevi. L'abitudine di verifica descritta prima in questa guida conta sia che l'agente funzioni nella configurazione più isolata disponibile sia nella meno isolata.

Infine, niente di tutto questo è una configurazione da fare una volta e poi dimenticare. Anthropic, OpenAI, Microsoft e Google stanno ancora tutte sviluppando attivamente le loro funzioni di computer use e di navigazione agentica, il che significa che le impostazioni specifiche, le impostazioni predefinite e le protezioni disponibili per te possono cambiare da una sessione all'altra. Considera questa guida come le abitudini che restano utili attraverso quel cambiamento, e controlla la documentazione attuale di quel fornitore per i nomi esatti delle funzioni e le impostazioni che hai davanti in questo momento.