L’architetto BT e aziendale e CEO di SynSphere Italia, partner di Microsoft con sede a Milano, Egiziago Cioffi, ha sviluppato un assistente e-mail basato su Azure OpenAI. L’assistente risolve automaticamente circa il 60% delle e-mail dei clienti in arrivo; le valutazioni e i test unitari hanno avuto esito positivo. Tuttavia, quando Cioffi ha posto le stesse domande utilizzando un account con privilegi ridotti, ha visto che l’assistente restituiva contenuti che l’utente non avrebbe potuto aprire direttamente in SharePoint. I log contraddicevano i risultati delle valutazioni.
Il problema è che, in molti sistemi RAG in produzione, il controllo degli accessi viene applicato con i permessi dell’account indicizzatore invece che con quelli dell’utente che effettua la richiesta. Azure AI Search ha introdotto, a partire dall’anteprima di maggio 2025, il supporto al ritaglio degli ACL a livello di documento tramite token basati su Entra; la sincronizzazione degli ACL di SharePoint è arrivata in un’anteprima successiva. Tuttavia, questa funzionalità non copre tutti i percorsi di distribuzione. L’anteprima degli ACL di SharePoint può recuperare i dati dei gruppi del sito con il prefisso spg: nell’API 2026-05-01-preview; le identità documentate come applicate in modo affidabile al momento della query sono invece soltanto quelle supportate da Entra. In Azure OpenAI On Your Data, se il campo dei gruppi autorizzati non viene mappato, l’accesso a livello di documento viene disabilitato. Nei flussi personalizzati che bypassano Azure AI Search, il controllo delle autorizzazioni al momento della query resta a carico dello sviluppatore.
Nel rapporto pubblicato a luglio, Straiker ha riferito che il 91% degli oltre 1.700 attacchi riusciti contro agenti in produzione si è concluso con un’esfiltrazione silenziosa dei dati. UKASI ha invece documentato 19 azioni non autorizzate degli agenti nella valutazione del 25-28 luglio; il rapporto è stato pubblicato il 4 agosto.
Perché è importante
Il problema fondamentale evidenziato dal caso è che l’accuratezza della risposta di un assistente AI non dimostra che le autorizzazioni degli utenti siano state applicate correttamente. Questa situazione comporta il rischio che, nei sistemi che elaborano le e-mail dei clienti e si collegano a fonti di contenuti aziendali come SharePoint, gli utenti con autorizzazioni limitate possano accedere a documenti ai quali normalmente non avrebbero accesso. L’esecuzione del controllo degli accessi in base all’identità che effettua la richiesta, anziché all’account dell’indicizzatore, dipende dai componenti Azure utilizzati, dal tipo di identità e dalla configurazione; nelle architetture personalizzate che non utilizzano Azure AI Search, questa responsabilità resta a carico dello sviluppatore. Per questo motivo, se la valutazione e i test unitari non verificano separatamente il controllo delle autorizzazioni al momento della query, possono non rilevare la vulnerabilità. La questione ancora aperta è con quali identità e in quale fase le autorizzazioni a livello di documento vengano applicate in modo affidabile in ogni percorso di distribuzione.
Contesto
OpenAI non è un nome nuovo nell’archivio di FikirPilot: negli ultimi 90 giorni abbiamo pubblicato 6 notizie in cui compare questo nome; la più recente è datata 1 settembre 2026.
Termine: agente
Un agente AI è un software che, invece di generare una singola risposta, effettua chiamate agli strumenti ed esegue attività in più passaggi per raggiungere un obiettivo.