Agenti AI aziendali, arrivano control plane, algebra dei permessi e identità

L'ultimo pezzo di infrastruttura per gli agenti aziendali è arrivato il 30 settembre. Quel giorno la OpenClaw Foundation ha pubblicato OpenClaw Enterprise (OCE), un control plane open source e indipendente dai fornitori per agenti persistenti. Il progetto dichiara di svilupparlo apertamente, in vista della release 1.0 entro la fine dell'anno. Oggi si può installare in autonomia con docker-compose o Kubernetes.

OCE è nato dentro OpenAI ed è stato donato alla OpenClaw Foundation, dove ora lo sviluppano Red Hat e NVIDIA, secondo il post sul blog del progetto. Lo stesso post afferma che OCE è in fase di sperimentazione interna presso Red Hat e OpenAI. OpenAI sta già usando agenti OpenClaw con accesso completo a codebase e plugin, aggiunge il post. È un dettaglio che mostra quanto l'azienda si sia allontanata dall'idea dell'agente come demo.

Il blocco è la governance, non le capacità

Vale la pena leggere con attenzione l'inquadramento di quel post. OpenClaw ammette che quasi un anno dopo il lancio "la diffusione reale degli agenti persistenti resta limitata" e che nella maggior parte delle organizzazioni l'IT per impostazione predefinita vieta del tutto le piattaforme agentiche. L'obiettivo dichiarato di OCE è rispondere a una domanda ristretta: come si distribuiscono agenti capaci in un ambiente sensibile senza togliere le funzioni che li rendevano utili. La risposta offerta è multi-tenancy, confini di sicurezza rigidi tra carichi di lavoro fidati e non fidati, sandboxing, revisioni basate su LLM, permessi granulari e verificabilità lungo tutto il ciclo di vita dell'agente. È una lista lunga, e ogni voce comporta un costo operativo proprio.

Gartner sostiene una tesi vicina, ma più brutale. In una ricerca ripresa da The Register il 30 settembre, la società di consulenza prevede che entro il 2028 il 70 percento delle imprese abbandonerà i sistemi di AI agentica costruiti con l'assistenza di un fornitore, man mano che i costi salgono e i clienti faticano a modificare la tecnologia senza aiuto esterno. Il bersaglio di Gartner è quello che chiama forward-deployed engineering, cioè quando un fornitore inserisce propri ingegneri presso il cliente per costruire e distribuire software secondo le sue esigenze. I progressi rapidi delle prime fasi, dice l'argomentazione, possono lasciare il cliente dipendente da competenze esterne costose.

"Gli incarichi FDE meglio definiti hanno linee guida chiare su governance, valore di business, proprietà della proprietà intellettuale, co-titolarità del progetto, trasferimento di conoscenze e una strategia di uscita dal primo giorno", ha detto Mukul Saha, senior director analyst di Gartner, secondo The Register.

Gartner prevede anche che fino al 2028 meno del 20 percento di questi incarichi trasformerà le richieste ricorrenti dei clienti in funzioni del prodotto principale del fornitore. Mette in guardia dal "FDE washing", quando una normale consulenza viene presentata come qualcosa di più specializzato. The Register osserva che non è il primo avvertimento del genere da parte di Gartner. Previsioni precedenti riguardavano progetti di AI generativa che superano i budget e il 40 percento delle distribuzioni di agenti AI ridimensionate o dismesse per problemi di governance.

Altri due tentativi di rendere gli agenti responsabili

Sempre il 30 settembre, un progetto chiamato OpenAPPA ha pubblicato guardrail deterministici che si collocano tra un agente e i suoi strumenti. Rispondono a una domanda prima di ogni azione: questo dato può andare a questa destinazione. Il repository GitHub lo descrive come basato su APPA, un'Agentic Permissions Policy Algebra. APPA tiene traccia della sensibilità e dell'affidabilità di tutto ciò che un agente legge e verifica ogni chiamata a uno strumento rispetto a quel registro prima che venga eseguita. La tesi è che classificatori e rilevatori di PII sono probabilistici, mentre questo controllo è deterministico e restituisce la stessa decisione a ogni esecuzione.

I numeri di benchmark del progetto, pubblicati sul repository, sostengono che nessun attacco valutato ha avuto successo contro OpenAPPA in 1.320 valutazioni, mentre il sistema completava l'88-90 percento dei compiti. La stessa tabella colloca Microsoft FIDES al 41 percento di completamento con il 31 percento di attacchi riusciti, e la modalità automatica di Claude Code al 90 percento di completamento con 10 attacchi riusciti su due suite. Sono cifre pubblicate dal fornitore sui benchmark del fornitore stesso. Il repository precisa che il lavoro è un'anteprima e una RFC, con configurazioni e interfacce di rete che potrebbero cambiare senza shim. Il paper alla base è stato accettato al NeurIPS 2026 Workshop on Agents in the Wild.

Un terzo progetto, UAI, è comparso lo stesso giorno con un protocollo aperto per identità, autorizzazione e responsabilità verificabile in modo indipendente degli agenti. Divide il problema in quattro artefatti. Un UAI-ID per stabilire chi è l'agente. Una credenziale che lo lega a un proprietario. Un passaporto per un'autorizzazione limitata nel tempo e nella giurisdizione. E attestazioni di azione firmate che registrano ciò che l'agente ha effettivamente fatto. Il README è prudente su ciò che questo non fa. "UAI non sostiene che un agente AI sia sicuro", si legge, ma solo che le azioni diventano attribuibili e verificabili. Il design evita deliberatamente un'unica autorità globale, puntando invece su registri federati. Il verificatore nel browser è pensato per convalidare le prove localmente, invece di chiedere al registro se le proprie prove sono valide.

Il mercato corre più veloce dei controlli

Gli agenti rivolti ai consumatori viaggiano già a un altro ritmo. DoorDash ha annunciato il 30 settembre un agente text-to-order che permette agli utenti di ordinare tramite Apple Messages, gestendo richieste come "ordina il solito" e ordini di gruppo con preferenze alimentari diverse, secondo TechCrunch. L'azienda apre una lista d'attesa negli Stati Uniti e ha detto separatamente che inizierà a testare droni per le consegne con alcuni ristoranti nel Nord della California. DoorDash posiziona l'agente contro Uber Eats e Grubhub.

Muse di Meta, annunciato all'inizio di settembre, è l'altra grande spinta dal consumer all'enterprise. Il blog di Tailscale del 30 settembre offre lo sguardo più concreto su come un agente del genere venga recintato. Muse gira in una macchina virtuale Linux isolata per impostazione predefinita dai dati dell'utente e dai servizi esterni, con connettori per calendario, contatti, dispositivi smart home, Gmail, Outlook, Spotify e le app di Meta. L'integrazione di Tailscale rende Muse un nodo sulla tailnet dell'utente, dove valgono le solite concessioni, i tag e i controlli di accesso. Tailscale segnala anche il rischio evidente: il prompt injection passerà comunque, e collegare un agente che può vedere servizi self-hosted e usare SSH solleva questioni a cui gli utenti dovrebbero rispondere in modo consapevole.

Sempre il 30 settembre è arrivato su GitHub Magnitude, un motore di inferenza self-hosted. Dichiara prestazioni fino a 2 volte più veloci di llama.cpp, con il 92 percento in più di velocità di decodifica su Metal e il 19 percento su CUDA, e il 27 percento in meno di memoria per agente. Un tool chiamato git-dedup, pubblicato lo stesso giorno, dichiara checkout di grandi dimensioni 6 volte più veloci e una riduzione del 70 percento dello spazio di archiviazione Git, da 35,5 GB a 11,1 GB su 117 checkout, pensato espressamente per flotte di agenti di programmazione. DevNavigator ha riferito del State of agent skills report di Vercel del 25 settembre, secondo cui skills.sh ha superato un milione di voci e quasi 280.000.000 di installazioni registrate in sette mesi. Osserva che queste cifre descrivono l'attività del registro, non un valore di business dimostrato.

Il filo conduttore non è spettacolare. Il fronte delle capacità è affollato e si muove ogni settimana. Il fronte della contabilità, cioè chi possiede l'agente, cosa può toccare e chi può dimostrare cosa ha fatto, è dove stanno arrivando i lavori più recenti. Se uno di questi tre protocolli verrà adottato è una domanda diversa. Due sono anteprime, uno è un primo pilotaggio di un singolo fornitore, e la previsione di Gartner dà alle imprese tempo fino al 2028 per decidere.