Il paper “Why Does Agentic Safety Fail to Generalize Across Tasks?”, pubblicato su arXiv il 7 maggio 2026, mostra in 3 esperimenti che la sicurezza agentica può fallire su task nuovi anche quando l’agente continua a eseguire correttamente il compito.
Il punto non è che gli agenti AI siano “insicuri” in senso generico. È più scomodo: l’esecuzione di un task e la sua esecuzione sicura non sembrano generalizzare allo stesso modo. Se questo risultato regge oltre i limiti del paper, molte aziende che oggi stanno addestrando agenti su demo sicure, workflow approvati e policy testate internamente stanno misurando metà del problema.
Per capire perché la notizia pesa più di un normale paper di benchmark, bisogna partire dalla definizione di agente. Un agente AI non si limita a generare testo: osserva un ambiente, riceve un obiettivo, decide azioni e modifica uno stato. Può compilare un form CRM, navigare un sito, chiamare tool, scrivere codice, controllare un drone simulato o interagire con un database. La differenza rispetto a un chatbot è l’azione.
Nel paper di Yonatan Slutzky, Yotam Alexander, Tomer Slor, Yoav Nagel e Nadav Cohen, tutti affiliati alla Tel Aviv University, il problema viene formalizzato così: un agente multi-task deve imparare a eseguire compiti specificati solo al momento del test. La domanda è se la policy appresa su alcuni compiti possa trasferirsi a compiti non visti. Fin qui siamo nel territorio classico della generalizzazione. La novità è separare due capacità: fare il task e farlo rispettando vincoli di sicurezza.
Gli autori distinguono due forme di safety: risk avoidance, cioè evitare stati vietati o ad alto rischio, e risk handling, cioè gestire rischi quando si materializzano. Nel caso di controllo lineare-quadratico, la safety viene modellata con H∞-robustness, una nozione di controllo robusto che chiede al sistema di mantenere performance accettabili anche sotto disturbi avversi. Nella versione agentica moderna, la stessa logica diventa: l’agente CRM non deve solo creare un record, ma deve avvisare l’utente prima di salvare dati personali, rilevare email sospette, rispettare vincoli di qualità del dato.
La tesi tecnica è precisa: la mappatura tra specifica del task e policy ottimale diventa più irregolare quando si aggiungono requisiti di sicurezza. Gli autori usano la costante di Lipschitz come proxy della difficoltà di generalizzazione: più la mappa cambia bruscamente al variare del task, più è difficile apprenderla in modo trasferibile. Per chi vuole ripassare questi termini, il nostro Glossario AI è il punto naturale in cui collocarli.
“The relationship between a task and its safe execution is more complex.” — Slutzky et al.
Il risultato non dice che la safety sia impossibile. Dice che non basta osservare buone performance su task di training. Un agente può imparare perfettamente come comportarsi in scenari già visti e fallire proprio dove l’impresa gli chiede valore: casi nuovi, combinazioni non previste, eccezioni operative.
Perché la sicurezza agentica non generalizza: i limiti misurati
La parte più forte del paper è la convergenza tra teoria e tre setting sperimentali. Nel controllo lineare-quadratico, le figure allegate mostrano che il rapporto tra la costante di Lipschitz della policy sicura e quella della policy non sicura resta sopra 1 sia con dimensione 4 sia con dimensione 8. In termini meno matematici: la regola “sicura” cambia più rapidamente della regola “solo efficace”.
Il dato diventa più leggibile nella Tabella 1. Nel setting lineare-quadratico a campione infinito, dove gli errori sui task di training sono nulli per costruzione, l’errore sui task nuovi passa da 14,16±2,43 per il teacher non sicuro a 1265,53±310,44 per quello sicuro. Nel caso a campione finito, il divario è ancora più netto: 33,76±9,61 contro 4018,10±604,55.
Analisi tecnica di sensibilità per il sistema di dimensione 4. Il grafico mostra come il rapporto tra policy sicura e non sicura varia al cambiare dei parametri del sistema, in particolare A, B e R.
Nel quadcopter simulato, l’agente sicuro deve evitare regioni vietate mentre raggiunge un target. Sui task nuovi, l’errore del modello sicuro è 141,74±15,79, contro 22,90±4,46 del modello non sicuro. Nel benchmark CRM, costruito su un agente LLaMA-3.2-1B-Instruct fine-tuned da dimostrazioni, l’errore sui task nuovi è 25,94±4,10 per il teacher sicuro e 16,93±2,14 per quello non sicuro.
Versione dello stesso confronto su un sistema di dimensione 8. Anche aumentando la dimensionalità, la policy sicura mantiene una maggiore sensibilità al cambio di task rispetto alla policy non sicura.
Questi numeri vanno letti insieme ai limiti dichiarati dagli autori. Il paper considera l’incorporazione della safety soprattutto via imitation learning; la teoria è limitata al controllo lineare-quadratico; la costante di Lipschitz è un proxy, non una misura diretta della generalizzazione; gli effetti di campione finito restano in parte fuori dalla dimostrazione formale. È ricerca forte, ma non è una legge universale già chiusa.
Il contesto però spinge nella stessa direzione. ST-WebAgentBench, presentato da IBM Research come paper ICLR 2026, valuta 375 task web con 3.057 policy di safety e trustworthiness. La sua metrica Completion Under Policy misura non solo se l’agente completa il task, ma se lo fa rispettando le policy. Nei risultati riportati, la completion “sicura” media scende sotto i due terzi della completion nominale.
“Safety and trustworthiness are prerequisite conditions for adoption.” — ST-WebAgentBench, IBM Research
La domanda che nessun comunicato enterprise si pone è questa: quante aziende stanno dichiarando “agente validato” dopo aver testato la capacità di completare workflow, senza aver misurato separatamente la generalizzazione della safety su workflow mai visti?
La strategia della sicurezza agentica: dal modello al sistema
Chi segue il settore da vicino sa che questo è il punto in cui la discussione cambia piano: non basta più chiedere quale modello usare, bisogna chiedere quale sistema di controllo costruire attorno al modello. La sicurezza agentica non vive solo nel fine-tuning, ma in policy runtime, logging, permessi, tool gating, ambienti sandbox, monitoraggio continuo e valutazioni per classe di task.
OWASP ha formalizzato questa transizione con il Top 10 for Agentic Applications, pubblicato nel dicembre 2025 dopo oltre un anno di lavoro e contributi da più di 100 ricercatori e practitioner. I rischi elencati includono goal hijacking, tool misuse, privilege abuse, memory poisoning, cascading failures e rogue agents. Sono categorie operative, non filosofiche: descrivono cosa succede quando un agente ha accesso a strumenti reali.
“Identify and mitigate the unique risks posed by autonomous AI agents.” — OWASP GenAI Security Project
NIST, con il profilo Generative AI del suo AI Risk Management Framework, spinge nella stessa direzione: la gestione del rischio deve entrare in design, sviluppo, uso e valutazione. La Commissione europea, con gli obblighi AI Act per i modelli general-purpose applicabili dal 2 agosto 2025, chiede documentazione tecnica, policy copyright, sintesi dei dati di training e, per i modelli con rischio sistemico, risk assessment, incident reporting e cybersecurity.
Per il mercato, questo significa una cosa pratica: gli agenti non saranno comprati come singoli prodotti, ma integrati come stack governati. Nei settori AI più esposti — banking, assicurazioni, sanità, manifattura, PA — il valore non sarà “abbiamo un agente”, ma “sappiamo dove può agire, cosa può vedere, quando deve chiedere conferma, come registriamo l’azione e come testiamo i casi nuovi”.
La conseguenza strategica è un ritorno della competenza di dominio. Se la safety non generalizza automaticamente, allora la policy sicura non può essere scritta solo dal team AI. Serve chi conosce processi, normativa, responsabilità professionale e punti in cui un errore genera danno. Per molte imprese italiane, questa sarà la differenza tra sperimentazione utile e automazione fragile.
La storia della sicurezza agentica: da RL a web agent
La traiettoria storica aiuta a capire perché il paper arriva ora. La safety nei sistemi agentici non nasce con gli LLM. Reinforcement learning e controllo robusto studiano da decenni agenti che massimizzano reward sotto vincoli, disturbi, ambienti dinamici. Il punto è che per anni questi sistemi sono rimasti in ambienti limitati: simulatori, robotica controllata, giochi, benchmark accademici.
Con gli LLM, il confine si è spostato. Dal 2023 in poi, lavori come ReAct, Toolformer, WebArena e SWE-agent hanno reso normale l’idea di modelli che ragionano e agiscono. L’agente non risponde soltanto: pianifica, osserva, chiama strumenti, corregge traiettorie. È qui che la vecchia nozione di safety cambia scala. Un errore non è più una frase sbagliata, ma una sequenza di azioni sbagliate.
AgentHarm, pubblicato nel 2024, aveva già mostrato il lato offensivo del problema: 110 task malevoli, estesi a 440 con augmentations, distribuiti su 11 categorie di danno. Il punto non era solo misurare il rifiuto di richieste dannose, ma verificare se un agente jailbroken manteneva capacità operative multi-step. ST-WebAgentBench ha aggiunto l’altro lato: non basta completare task web enterprise, bisogna farlo rispettando policy.
Il paper di Slutzky e colleghi porta questa storia su un piano più fondamentale. Non dice semplicemente che gli agenti sbagliano. Prova a spiegare perché la safety può essere meno trasferibile della capacità di eseguire. Questa è la discontinuità: finora molte aziende hanno trattato la safety come un livello aggiunto, un wrapper, una policy, un dataset di esempi corretti. Il paper suggerisce che potrebbe essere una funzione più complessa del task stesso.
Analisi di sensibilità equivalente per il sistema di dimensione 8. Serve a mostrare che il divario tra policy sicura e non sicura non è un artefatto del caso più piccolo, ma resta visibile anche in una configurazione più ampia.
Cosa cambia per l’Italia nella sicurezza agentica
Per l’Italia, la questione non è teorica. Secondo ISTAT, nel 2025 il 16,4% delle imprese con almeno 10 addetti utilizza almeno una tecnologia AI, il doppio dell’8,2% del 2024. Nelle grandi imprese la quota arriva al 53,1%, mentre tra le PMI sale al 15,7%. Il dato racconta una diffusione rapida, ma anche una maturità diseguale.
Il Politecnico di Milano aggiunge un secondo strato: nel 2025 il mercato italiano dell’AI vale 1,8 miliardi di euro, in crescita del 50%. Il 71% delle grandi imprese ha avviato almeno un progetto AI, ma solo una su cinque usa l’AI in modo pervasivo su più funzioni. Ancora più rilevante per questo tema: appena il 9% delle grandi imprese ha una governance AI strutturata, e solo il 15% ha un progetto di adeguamento AI Act già integrato con altre normative.
“L’approccio human-in-the-loop non è solo consigliato, ma necessario.” — Nicola Gatti, Osservatorio Artificial Intelligence Politecnico di Milano
Questa frase va presa alla lettera. Se la sicurezza agentica non generalizza come la capacità di completare task, l’essere umano non serve solo come supervisore simbolico. Serve come punto di controllo nei task ad alto impatto: approvazione di azioni irreversibili, verifica di dati personali, revisione di decisioni finanziarie, controllo su comunicazioni esterne, escalation nei casi non previsti.
AGID colloca l’AI dentro quattro macroaree della Strategia italiana 2024-2026: ricerca, Pubblica Amministrazione, imprese e formazione. La Legge 23 settembre 2025, n. 132 insiste su un uso antropocentrico, trasparente e sicuro. Ma tra principio e implementazione c’è un vuoto operativo: come si testa un agente che opera su dati reali, in processi aziendali variabili, con policy che cambiano da settore a settore?
Qui le applicazioni AI più promettenti coincidono con quelle più delicate. Nel manifatturiero, un agente può orchestrare manutenzione, supply chain e qualità. Nei servizi professionali, può leggere contratti, compilare pratiche, preparare pareri. Nella PA, può supportare sportelli digitali e istruttorie. In tutti questi casi il problema non è solo accuratezza: è tracciabilità, responsabilità, diritto di intervento umano e verifica su casi nuovi.
Per i professionisti italiani, il cambiamento pratico è chiaro. Avvocati, commercialisti, consulenti, responsabili compliance e CIO dovranno chiedere ai fornitori non solo benchmark di task completion, ma test di safety cross-task: quali policy sono state simulate, quali eccezioni sono state viste, quali restano fuori distribuzione, quali azioni richiedono conferma umana. La domanda di procurement diventa: “su quali task nuovi avete misurato il fallimento sicuro?”.
Il mercato premierà chi saprà trasformare la safety da disclaimer a processo misurabile. Non basterà avere licenze GenAI, né un agente integrato nel CRM o nell’ERP. Serviranno dataset di policy, audit trail, red teaming, metriche separate per successo e compliance, e una cultura aziendale capace di dire no all’automazione quando il rischio supera il beneficio.
Il dato finale è quello che dovrebbe restare sul tavolo dei decisori: nel 2025, secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano, solo il 9% delle grandi imprese italiane ha una governance AI strutturata.