F-Secure e AMD Silo AI stanno lavorando a un’architettura di routing adattivo capace di decidere, evento per evento, se un carico di lavoro AI debba essere elaborato sul dispositivo, su un’infrastruttura privata oppure nel cloud. L’obiettivo è conciliare sicurezza, privacy, prestazioni e costi mentre gli agenti AI acquisiscono maggiore autonomia nelle attività svolte per conto degli utenti.
L’evoluzione dell’intelligenza artificiale generativa verso sistemi agentici sta modificando anche il perimetro della cybersecurity. Gli assistenti non si limitano più a generare risposte, ma possono interpretare le intenzioni dell’utente, consultare siti e contenuti di terze parti, confrontare prodotti e servizi e preparare operazioni come prenotazioni, acquisti, resi o gestione di abbonamenti.
Questa maggiore autonomia introduce nuovi rischi. Oltre alla protezione dell’utente e dei suoi dati diventa necessario difendere l’agente stesso da contenuti manipolati, istruzioni malevole, fughe di informazioni e percorsi decisionali non sicuri.
In questo scenario F-Secure sta sviluppando TrustPath, una nuova architettura di protezione progettata per seguire l’intero percorso digitale dell’utente, anziché applicare i controlli soltanto a livello di singola pagina, dispositivo o applicazione. Parallelamente, AMD Silo AI affronta il problema dal punto di vista dell’infrastruttura: stabilire dove eseguire ogni operazione AI mantenendo sotto controllo privacy, costo computazionale, latenza e possibilità di audit.
La sicurezza degli agenti non può basarsi soltanto sul dominio
Uno dei problemi individuati dalle due aziende riguarda il cosiddetto agentic browsing. Un agente può visitare pagine web, leggere recensioni, confrontare offerte e utilizzare le informazioni raccolte per elaborare una raccomandazione. Il fatto che il sito visitato sia legittimo, tuttavia, non significa che tutti i contenuti presenti sulla pagina siano necessariamente affidabili.
Una recensione pubblicata dagli utenti può essere poco attendibile, eccessivamente promozionale o deliberatamente costruita per influenzare il comportamento di un sistema AI. Nei casi più critici può contenere testo formulato come un’istruzione o tecniche di indirect prompt injection, con l’obiettivo di modificare le decisioni dell’agente.
La soluzione proposta consiste quindi nel superare un modello di fiducia assegnato genericamente a un dominio e valutare invece ogni singolo elemento sulla base della provenienza del contenuto, dei segnali di rischio e della fase del percorso digitale in cui viene utilizzato.
“Il principio fondamentale dei percorsi digitali sicuri è che la fiducia viene concessa per singolo evento, non per dominio. Un sito conosciuto può comunque contenere un segmento non affidabile, mentre una fase di navigazione a basso rischio può diventare sensibile quando l’agente passa al login, al pagamento, alla salute, alla finanza o a un impegno di valore elevato”, spiega Khalid Alnajjar, Lead AI & Data Scientist di F-Secure.
Il livello di rischio cambia durante lo stesso percorso digitale
L’architettura considera un percorso digitale come una sequenza di eventi con caratteristiche differenti. Ricerca, confronto, scelta, pagamento, consegna, cancellazione e reso non presentano infatti lo stesso livello di esposizione.
La decisione deve quindi tenere conto contemporaneamente della fase del percorso, dell’intenzione e delle preferenze dell’utente, dell’esposizione finanziaria, della classificazione del sito e dei contenuti, dei segnali di sicurezza, delle impostazioni relative alla privacy e dei limiti di latenza, batteria e capacità computazionale del dispositivo.
Il risultato di questa valutazione determina il routing dell’elaborazione AI.
Una configurazione particolarmente restrittiva sul piano della privacy può mantenere l’elaborazione esclusivamente sul dispositivo o su infrastrutture private. Un’impostazione intermedia può utilizzare modelli privati più potenti quando aumenta la sensibilità dell’operazione, lasciando sul dispositivo le attività ordinarie. Servizi esterni possono invece essere impiegati soltanto per gli scenari non sensibili esplicitamente consentiti dalla policy e dall’utente.
Dal dispositivo al cloud in base al singolo evento
AMD Silo AI ha sviluppato tecnologie di routing utilizzabili all’interno di applicazioni come TrustPath. La policy può decidere se un evento debba essere gestito mediante regole deterministiche, attraverso un modello locale, mediante un modello più potente su infrastruttura privata oppure attraverso un servizio esterno autorizzato.
Nella pratica, un’attività semplice può essere eseguita direttamente su un notebook, mentre operazioni di complessità intermedia possono essere trasferite a un cloud privato. Soltanto le richieste più complesse e compatibili con le impostazioni di sicurezza possono essere indirizzate verso API di modelli esterni.
“L’obiettivo non è inviare più eventi ai modelli più grandi. L’obiettivo è gestire ogni evento il più vicino possibile all’utente, per mantenerlo sicuro, privato ed efficiente”, afferma Jaakko Vainio, senior director di AMD Silo AI.
Sul dispositivo, le piattaforme AMD Ryzen AI possono utilizzare CPU, NPU e risorse grafiche per l’inferenza locale, mentre le GPU integrate e discrete AMD Radeon possono accelerare modelli e carichi multimodali.
L’elaborazione locale è particolarmente indicata per le operazioni frequenti e sensibili alla latenza oppure per quelle che coinvolgono informazioni che non è necessario trasferire verso infrastrutture remote.
Quando serve una maggiore capacità di calcolo, l’architettura può invece sfruttare server basati su AMD EPYC e acceleratori AMD Instinct, destinati a modelli più complessi, throughput elevati, contesti più estesi e infrastrutture centralizzate sottoposte a governance.
Separare la decisione logica dall’infrastruttura
Un elemento dell’architettura riguarda la separazione fra logical route e physical endpoint.
La prima rappresenta la decisione presa dalla policy: elaborazione esclusivamente locale, utilizzo del cloud privato oppure accesso consentito a un servizio esterno. L’endpoint fisico stabilisce invece su quale infrastruttura verrà realmente eseguito il modello.
Questa distinzione permette agli sviluppatori di evitare di collegare direttamente le applicazioni a un singolo provider o a una specifica infrastruttura. L’applicazione può rivolgersi a una determinata classe di modello e a un contratto API compatibile, lasciando al sistema di routing la scelta dell’ambiente di esecuzione.
In questo modo policy, modelli e infrastruttura possono essere modificati indipendentemente quando cambiano dispositivi, minacce, requisiti aziendali o capacità dei modelli.
Lemonade porta l’inferenza AI sui dispositivi AMD
Per l’elaborazione locale AMD mette a disposizione Lemonade, un layer open source per il serving dell’intelligenza artificiale che consente agli sviluppatori di esporre modelli locali attraverso un’API e utilizzare l’hardware AMD disponibile sul client senza trasferire necessariamente ogni richiesta verso un servizio remoto.
Un evento classificato come a basso rischio può quindi essere eseguito tramite un endpoint Lemonade su un sistema AMD, sfruttando le risorse CPU e NPU di Ryzen AI e la grafica Radeon quando disponibile.
Quando il livello di rischio o la complessità aumentano, lo stesso schema applicativo può passare a un endpoint privato basato su EPYC e Instinct. La logica dell’applicazione continua così a occuparsi della policy, mentre il livello di astrazione degli endpoint gestisce il luogo in cui viene effettivamente eseguita l’inferenza.
Lo shopping agentico mostra come cambia il routing
F-Secure e AMD utilizzano lo shopping agentico come esempio perché concentra all’interno dello stesso processo numerose condizioni di fiducia differenti.
Durante la fase iniziale, nella quale l’agente confronta pagine pubbliche e prezzi, l’elaborazione può rimanere sul dispositivo tramite Lemonade: la sensibilità delle informazioni è limitata, le richieste possono essere numerose e la bassa latenza è importante.
La situazione cambia quando l’agente analizza una recensione particolarmente promozionale o contenente testo che potrebbe essere interpretato come un’istruzione. Il dominio può essere affidabile, ma quello specifico contenuto rappresenta un elemento non attendibile e può richiedere un’analisi più approfondita su infrastruttura AMD privata.
Quando l’utente sta per scegliere un prodotto di valore elevato o particolarmente sensibile, il sistema può passare a un percorso privato oppure richiedere una conferma esplicita.
Nella fase di checkout, dove entrano in gioco credenziali di accesso, informazioni di pagamento, posizione precisa o indirizzo di consegna, il routing può invece imporre esclusivamente infrastrutture private e impedire qualsiasi fallback verso servizi esterni.
Dopo l’acquisto, per operazioni relative a consegne, resi, rimborsi o assistenza, l’elaborazione può tornare locale oppure restare privata a seconda dei dati coinvolti.
La stessa sessione può quindi passare ripetutamente da un livello computazionale all’altro seguendo l’evoluzione del rischio e delle informazioni elaborate.
Non soltanto ecommerce: viaggi, finanza e servizi sanitari
Il modello può essere applicato anche ad altri percorsi digitali nei quali le informazioni diventano progressivamente più sensibili.
Nel settore dei viaggi, per esempio, la ricerca di una destinazione e il confronto tra offerte possono essere gestiti localmente. L’eventuale utilizzo di dati relativi a passaporti, visti, assicurazioni, pagamenti o requisiti sanitari può invece determinare il passaggio verso un ambiente privato.
Nei servizi finanziari, la consultazione di offerte pubbliche o delle condizioni economiche presenta un rischio relativamente basso, mentre credenziali di accesso, autorizzazioni di transazioni, informazioni sul credito e dati di identità richiedono controlli privati più rigorosi.
Un principio analogo può essere applicato ai servizi collegati alla salute. La consultazione di informazioni pubbliche o la ricerca di prodotti può restare locale, mentre la presenza di farmaci, sintomi, dati sanitari personali o informazioni di pagamento aumenta il livello di sensibilità.
Anche nella gestione degli abbonamenti il rischio varia: il confronto tra piani e condizioni è differente da un processo di cancellazione che coinvolge credenziali dell’account, offerte di retention o procedure di rimborso.
Privacy, costi e auditabilità diventano parte del routing
L’approccio è pensato anche per le imprese che intendono adottare agenti AI all’interno dei propri flussi digitali mantenendo il controllo sull’infrastruttura.
I dati sensibili possono essere trattenuti sul dispositivo, oscurati oppure trasferiti esclusivamente verso ambienti privati autorizzati. Le richieste frequenti e a basso rischio possono essere gestite localmente, riducendo il ricorso a inferenza remota più costosa.
Lo stesso meccanismo permette di mantenere bassa la latenza delle operazioni semplici e accettare tempi di elaborazione maggiori quando un evento richiede analisi più profonde.
L’astrazione degli endpoint aumenta inoltre la portabilità dei modelli, perché le applicazioni possono riferirsi a classi di modelli compatibili anziché essere codificate direttamente per uno specifico provider.
Un altro elemento riguarda l’auditabilità: percorso scelto, motivazione della decisione, eventuali operazioni sui dati per garantirne la privacy ed endpoint utilizzato possono essere registrati e successivamente analizzati attraverso dashboard, replay o test delle policy.
Le organizzazioni possono quindi modificare nel tempo le regole di routing in funzione dell’evoluzione delle minacce, delle normative, dei modelli disponibili e dell’infrastruttura.
L’architettura sviluppata da F-Secure e AMD Silo AI punta così a spostare il controllo della sicurezza dal singolo modello AI all’intero percorso dell’agente: elaborazione locale quando l’evento può rimanere sul dispositivo, infrastruttura privata quando servono maggiore capacità e controllo e accesso a servizi esterni soltanto quando policy e consenso dell’utente lo permettono.
