CoreWeave Forge e il vuoto di identità degli agenti: la conformità AI aziendale si complica

CoreWeave ha presentato Forge il 30 settembre durante l'evento Fully Connected a San Francisco, secondo Data Center Knowledge. L'azienda lo descrive come una piattaforma software integrata per sviluppare, eseguire e migliorare continuamente modelli e agenti AI. Forge è disponibile nelle edizioni Free, Pro ed Enterprise e unisce prodotti esistenti a nuovi software per addestramento, inferenza, valutazione, osservabilità e sviluppo di agenti.

Agent Lens è il punto di partenza per la questione della conformità. CoreWeave lo presenta come uno strumento di osservabilità e miglioramento continuo per gli agenti in produzione, che analizza le tracce e genera insight.

In un briefing stampa, Corey Sanders, vicepresidente senior del product management, ha dichiarato che CoreWeave è passata dall'essere un provider di infrastruttura AI a "fornire un'ampia gamma di servizi AI per consentire ai clienti di costruire applicazioni sulla nostra piattaforma". L'azienda ha anche introdotto una rete di partner con integrazioni validate. I primi partner includono VAST Data, CrowdStrike e ClickHouse, ha riportato Data Center Knowledge. Per quanto riguarda l'hardware, CoreWeave ha affermato che Nvidia Vera Rubin NVL72 è ora disponibile sulla sua piattaforma cloud e che l'AI startup Cognition è il primo cliente a eseguire workload su di essa, operativo in due giorni. L'analista di IDC Dave McCarthy ha dichiarato alla pubblicazione che CoreWeave sta cercando di distinguersi dai provider di cloud AI specializzati come Nebius, Lambda e Vultr, mentre compete con AWS, Google Cloud e Microsoft Azure.

Il problema di governance non è specifico di un singolo vendor. Un framework pubblicato da The Hacker News il 28 settembre descrive la gestione dell'identità e dell'accesso per gli agenti AI come una disciplina distinta: ogni agente dovrebbe essere trattato come un'identità non umana con un proprietario umano, uno scopo definito, autorizzazioni limitate, una data di scadenza e monitoraggio continuo. L'articolo cita la Top 10 di OWASP per le applicazioni LLM, che elenca l'eccessiva agenzia come LLM06, ovvero un agente a cui sono concessi ampie funzionalità, permessi o autonomia che esercita capacità oltre il suo compito approvato.

Il framework sostiene che l'assegnazione statica dei ruoli non può limitare quel comportamento e la revisione della configurazione non può misurarlo. Il divario tra ciò che le piattaforme di identità esprimono come accesso previsto e ciò che gli agenti eseguono effettivamente è dove i programmi di conformità tendono a bloccarsi.

L'articolo elenca cinque modalità di fallimento: assenza di proprietà, segreti a lunga durata, delega illimitata, istanziazione invisibile e nessuna scadenza. Non tutti gli ambienti mostrano tutti e cinque, ma ognuno corrisponde a un livello di controllo che un framework di identità per agenti deve fornire. I regolatori stanno muovendosi su terreno adiacente. La Federal Reserve Board il 24 settembre ha richiesto commenti pubblici su due proposte relative all'istituzione di un quadro normativo per i fornitori di stablecoin di pagamento supervisionati dalla Board ai sensi del GENIUS Act, secondo il comunicato stampa della Board. La prima proposta richiederebbe una copertura completa con attività di riserva ammissibili come titoli di tesoro a breve termine e altre attività liquide di alta qualità, oltre a requisiti di capitale standardizzati, standard di gestione del rischio e regole per le società che custodiscono le attività che supportano le stablecoin. La seconda creerebbe un processo di applicazione su misura per le banche che desiderano emettere stablecoin di pagamento, includendo un piano aziendale, informazioni finanziarie, appelli e udienze. Il periodo di commento si chiude 60 giorni dopo la pubblicazione nel Federal Register.

Fuori dalla finanza, la pressione sulla conformità emerge negli appalti. Un articolo di Unite.AI pubblicato il 1 ottobre sostiene che l'approvvigionamento sta diventando lo strumento normativo più potente per l'AI, poiché gli acquirenti aziendali impongono termini contrattuali che i regolatori non hanno ancora scritto nella legge.

Lo stesso giorno, IBM ha annunciato il deployment self-hosted per IBM Bob per aiutare le aziende ad avanzare nella sovranità e governance AI, secondo la newsroom di IBM. Nessuna delle due annunci aveva poteri di applicazione, ma insieme descrivono dove la conformità AI aziendale viene effettivamente decisa: nei contratti e nell'architettura di deployment, non nelle leggi. Le scelte infrastrutturali fanno parte di questo quadro. Le aziende scelgono sempre più i data center in colocation per ospitare l'inferenza AI, perché l'inferenza funziona meglio a densità di armadi superiori a quelle supportate dalla maggior parte dei data center aziendali legacy, secondo Data Center Knowledge. I moderni facility di colocation supportano armadi da 35 kW con raffreddamento ad aria e armadi da 70 a 150 kW con raffreddamento a liquido opzionale. Lo stesso articolo cita la 2026 Cloud Computing Study di Foundry, che ha scoperto che il 74% delle aziende ha accelerato le migrazioni cloud l'anno scorso, mentre il Private Cloud Outlook 2026 di VMware indica che l'83% delle aziende ha completato o sta pianificando di rimpatriare i workload dal cloud pubblico, guidato da preoccupazioni su sicurezza, costi, conformità e prestazioni.

L'energia è il vincolo che i regolatori hanno già iniziato a testare. I regolatori della North Carolina il 19 settembre hanno respinto la richiesta di Duke Energy di costruire una centrale a gas da 255 megawatt nella Contea di Richmond, un rifiuto raro per un pannello che spesso defersce all'utilità predominante dello stato, ha riportato Canary Media.

Il provvedimento di 23 pagine ha affermato che una licenza era prematura perché la crescita dei data center era troppo incerta e il rischio per i consumatori troppo grande per giustificare il via libera alla struttura, stimata in 584.000.000 di dollari. L'ordine ha anche affermato che Duke "deve dimostrare come l'aggiunta di tale nuova capacità generatrice e i suoi costi siano coerenti con il White House Ratepayer Protection Pledge", firmato da Duke e oltre 200 altre utility nel marzo. Il quadro non è uniforme. Il framework di The Hacker News e l'argomento di approvvigionamento di Unite.AI trattano entrambi la governance come un problema di design che le aziende possono risolvere internamente. Le proposte sulla stablecoin della Federal Reserve, al contrario, sono un regolamento formale con una finestra di commento pubblico. E la sentenza di Duke è una commissione statale che dice a un'utilità che le previsioni di domanda basate sui data center non sono abbastanza affidabili da giustificare nuova capacità fossile. Tre regolatori diversi, tre meccanismi diversi, un soggetto condiviso.

Per le aziende che deployano agenti ora, la domanda pratica è quale evidenza possono produrre. Il framework di The Hacker News lo dice chiaramente: i risultati di configurazione descrivono la possibilità, mentre la telemetria descrive ciò che è accaduto.

Agent Lens di CoreWeave è una risposta commerciale a quel requisito. Se soddisfa auditor, assicuratori o regolatori è una domanda che i primi clienti di Forge risponderanno in produzione, non in una keynote di lancio.