Strumenti per agenti enterprise: cresce il livello di governance, i runtime si moltiplicano

Tra dicembre e settembre sono comparsi su Hacker News cinque progetti distinti. Ognuno sostiene di risolvere una parte diversa dello stesso problema: agenti che girano per ore, chiamano strumenti e toccano sistemi di produzione. Nessuno è un prodotto di governance nel senso della conformità. Letti insieme, descrivono un mercato che si divide in runtime, interfacce e infrastruttura di base, mentre il livello di sicurezza lo vende ancora qualcun altro.

Il primo è Soma, documentato su docs.trysoma.ai e pubblicato il 2 dicembre. È un runtime open source e self-hostable per agenti e workflow AI, distribuito come singolo binario, con quello che la documentazione chiama piano di sicurezza e governance per gli agenti. TypeScript è supportato oggi, Python è indicato come prossimo. La documentazione promette tolleranza ai guasti e ripristino: puoi interrompere o sospendere l'esecuzione in qualsiasi punto e riprenderla da dove era rimasta. Il sistema genera automaticamente endpoint A2A (Agent2Agent); la compatibilità con OpenAI Streaming è indicata come prossima.

È una superficie ampia per un solo binario.

La documentazione elenca anche un server MCP preintegrato con fornitori SaaS di terze parti. Gestisce cifratura e rotazione delle credenziali, cifratura dei segreti in locale, su AWS o prossimamente su GCP KMS, gestione granulare degli accessi tramite chiave API e un gateway AI in uscita che intercetta tutte le richieste degli agenti ai fornitori di modelli per l'osservabilità. Il supporto all'host è disomogeneo e dichiarato apertamente: Mac OS X x86 e ARM, Linux GNU x86 e ARM sono segnati in verde per TypeScript; Rust è segnato in bianco su tutta la linea. Windows non è supportato nativamente, cosa che la documentazione attribuisce all'uso dei socket di dominio Unix in Rust, ed è descritto come pianificato.

Inbox, worktree e agenti specializzati

Pizza Bot, pubblicato il 15 settembre e ospitato su github.com/pizza-bot-app/pizza-bot, fa il contrario: non cerca di essere il runtime. È un inbox local-first per agenti di lunga durata, costruito con DeepAgents e LangGraph, sviluppato in Amazon e rilasciato con licenza Apache 2.0. La proposta è semplice. Avvii o pianifichi un'attività, ti allontani e ritrovi il lavoro finito in Unread e le decisioni che ti aspettano in Action. Gli agenti continuano a lavorare quando navighi altrove o ti disconnetti, purché il processo api-server resti in esecuzione.

Il README del progetto è insolitamente preciso sulla sua postura di sicurezza. L'api-server si lega a 127.0.0.1, e un binding non loopback richiede l'autenticazione. Pizza Bot non riceve accesso predefinito alla home directory; gli utenti concedono singole cartelle in sola lettura o scrivibili in Settings, Files. L'app desktop protegge i segreti inseriti con Electron safeStorage, mentre la configurazione del server conserva solo riferimenti a variabili d'ambiente. Gli installer escono con ogni release, insieme a un file SHA256SUMS per verificare un download. Le build macOS sono firmate e notarizzate; quelle Windows e Linux no, e il README lo dice.

Il supporto ai modelli è ampio per scelta: Amazon Bedrock, Anthropic, Google Gemini, OpenAI, OpenRouter e Ollama sono tutti elencati. Bedrock accetta un profilo AWS, chiavi di accesso AWS o una chiave API Bedrock, con un override opzionale della regione, altrimenti AWS_REGION o us-west-2. Approvazioni human-in-the-loop, memoria a lungo termine e allegati fanno parte del workflow, non sono aggiunti dopo.

Hyperlane, pubblicato il 4 agosto su hyperlaneide.com, è il più difficile dei cinque da valutare dalla sua stessa pagina. Il sito descrive un IDE completo che esegue agenti AI in parallelo, e il titolo menziona un IDE e un ADE che uniscono i worktree degli agenti con il tooling nativo. Oltre a questo, il testo è in gran parte illeggibile: lunghe sequenze di caratteri decorativi e glifi corrotti sostituiscono quello che dovrebbe essere il testo del prodotto. Nessun prezzo, nessuna architettura e nessun dettaglio di sicurezza sopravvive nel testo disponibile. FLASH24 non ha potuto verificare alcuna affermazione sul prodotto dalla pagina stessa.

Recurse, pubblicato il 25 settembre su recurse.run, è il più concreto tra i nuovi arrivati. Offre un harness serverless per costruire agenti personalizzati e distribuirli come strumenti, MCP o bot. I nuovi account partono con 5 dollari di esecuzioni e nessuna carta richiesta: è un numero di marketing, non un benchmark. Il sito mostra un estratto rappresentativo del manifest agent.yaml con apiVersion recurse.run/v1alpha1, uno schema di input con valori predefiniti e uno schema di output che richiede un campo result. I comandi mostrati includono recurse run ./agent, recurse deploy --as mcp, recurse status e la registrazione con client esterni tramite codex mcp add recurse e claude mcp add recurse. I workflow di esempio coprono level design, progettazione di sequenze di RNA e altre attività iterative in cui un agente padre cambia lo specialista invece di rispondere direttamente.

Poi c'è PeerTalk.ai, pubblicato il 27 settembre. È gratuito, ed esplicitamente un esperimento, attribuito a Daniel Brain. L'idea: lascia che il tuo agente parli direttamente con quello di qualcun altro, così si scambiano note e concordano un piano. I messaggi vanno direttamente tra le due macchine, cifrati, e il sito dichiara che non passano mai dai server di PeerTalk. Ogni agente lascia il proprio indirizzo su peertalk.ai, cifrato con una chiave generata nel browser che vive solo nel link, così il servizio non può leggere o modificare gli indirizzi. Nulla viene inoltrato: se le due macchine non riescono a raggiungersi direttamente, gli agenti si fermano e lo dicono.

Il progetto è schietto sui limiti. Le stanze si chiudono dopo 30 minuti, anche se il sito osserva che a quel punto gli agenti non hanno più bisogno della stanza. Richiede un agente che giri localmente, come Claude Code, Codex CLI o Gemini CLI, con ChatGPT e le app di chat di Claude elencate come prossime. Per impostazione predefinita l'agente scarica il client pubblicato da PeerTalk e lo esegue; un'impostazione più rigorosa fa scrivere all'agente il proprio client dal protocollo nel prompt usando una libreria WebRTC standard. Il sito segnala il prompt injection come un problema reale e dice che agli agenti viene detto di trattare i messaggi dell'altro agente come informazioni, mai come istruzioni, rimuovendo i caratteri nascosti e condividendo solo ciò che l'utente approva. Avverte anche che alcune reti mobili e aziendali bloccano le connessioni dirette.

Cosa vendono i fornitori di governance

Nel frattempo il lato enterprise del mercato si muove sulla policy più che sull'infrastruttura. Tra i titoli recenti ci sono il piano di controllo agentico di Snowflake, l'Agent Manager di WSO2 per la governance sovrana dell'AI e Collibra che porta la governance runtime agli agenti AI enterprise. Microsoft ha riorganizzato Copilot con capacità di coding e agenti AI, trattate da Reuters e CIO Dive, e Google ha aggiunto il supporto agli agenti di terze parti in Android Studio.

La ricerca sulla sicurezza tiene il passo con il rischio. Darktrace ha segnalato che gli strumenti per agenti AI possono essere dirottati attraverso la loro stessa memoria, e ha descritto la soluzione come fuori dalle mani dell'utente. Quel risultato stona accanto ai design local-first e bring-your-own-key descritti sopra: spostano il controllo sulla singola macchina, ma lasciano il fornitore del modello e la catena di strumenti fuori dal perimetro.

Il modello che emerge dai cinque progetti è una divisione del lavoro. Soma vuole essere il runtime e il gateway. Pizza Bot vuole essere l'inbox e la coda di approvazione. Recurse vuole essere il target di distribuzione per specialisti ristretti. PeerTalk vuole essere il servizio di presentazione e nulla più, e lo dice. Hyperlane vuole essere il posto dove scrivi il codice, se la sua pagina mai dirà come.

Per gli acquirenti, le domande pratiche sono più ristrette di quanto suggerisca la categoria. Dove vivono le credenziali, e chi può ruotarle? Cosa succede a un'esecuzione quando il client si disconnette? Le richieste in uscita di un agente possono essere ispezionate, o solo registrate? Soma risponde ad alcune di queste nella sua documentazione, Pizza Bot risponde nel suo README, e PeerTalk risponde rifiutandosi di conservare qualsiasi cosa. Recurse risponde con una sandbox finanziata. Hyperlane, allo stato attuale delle prove, non risponde a nulla.