Rubrik Agent Identity introduce in Rubrik Agent Cloud un livello dedicato alla gestione delle identità e dei permessi degli agenti AI. La soluzione controlla l’accesso a server MCP e strumenti per ogni singola chiamata, attribuisce l’azione a un utente e rilascia credenziali limitate alla sola operazione autorizzata, così da applicare il principio del privilegio minimo durante l’esecuzione.
Il problema emerge quando un agente supera il compito di elaborare informazioni e comincia ad agire su applicazioni SaaS, database e API. Un’identità tecnica dotata di chiavi statiche o di un account di servizio condiviso può conservare autorizzazioni molto più ampie e durature di quelle necessarie. Inoltre, la combinazione di accessi singolarmente legittimi può produrre un’azione che nessuna policy aveva previsto: un agente autorizzato a leggere il CRM e a inviare email, per esempio, potrebbe trasferire all’esterno informazioni commerciali riservate.
Agent Identity sposta quindi la decisione dal semplice accesso all’applicazione al momento in cui l’agente chiede di utilizzare uno specifico tool. La catena presa in esame comprende l’utente, l’agente che opera per suo conto, il server MCP, lo strumento richiesto e l’azione da compiere. Ogni passaggio può essere ricondotto a un’identità precisa e registrato nella traccia di audit della sessione.
Identità delegate e token per ogni chiamata
La nuova architettura si integra con Okta e Microsoft Entra ID, utilizzando utenti, gruppi e strutture di identità già presenti in azienda. Attraverso la federazione On-Behalf-Of, l’agente riceve un accesso delegato per conto di una persona identificata, circoscritto ai server MCP e agli strumenti consentiti dalle policy applicate a quell’utente o al suo gruppo.
Per ciascuna chiamata autorizzata, il sistema genera un token temporaneo con uno scope limitato a quell’operazione. La chiamata successiva richiede una nuova valutazione e una nuova credenziale, eliminando la necessità di assegnare all’agente permessi permanenti. Una policy può così consentire la lettura di un record e negarne la modifica, anche quando entrambe le funzioni sono esposte dallo stesso server MCP.
Il primo passaggio operativo consiste nella costruzione di un inventario che comprende gli agenti attivi, i server MCP, le skill e i plugin rilevati nell’ambiente. La visibilità permette ai responsabili della sicurezza di individuare componenti introdotti fuori dai processi governati e di associare a ciascuno accessi, attività e profilo di rischio.
Secondo i dati di Rubrik Zero Labs, l’86% dei responsabili IT e della sicurezza intervistati ritiene che entro un anno gli agenti AI supereranno la capacità dei controlli di sicurezza della propria organizzazione, mentre soltanto il 23% dichiara di avere una visibilità completa sugli agenti presenti nei sistemi aziendali.
Tre controlli prima dell’esecuzione
Il punto di applicazione delle regole è l’MCP Gateway, che sottopone ogni richiesta a tre verifiche prima che il tool venga eseguito. Inizialmente SAGE, il Semantic AI Governance Engine di Rubrik, analizza il significato dell’azione, il contesto, i parametri ricevuti e il possibile impatto operativo. Il gateway verifica quindi le policy di accesso a livello infrastrutturale, arricchite con le indicazioni su intento e rischio prodotte da SAGE. Infine autentica la sessione dell’agente e crea il token temporaneo necessario alla singola chiamata.
SAGE utilizza uno small language model specializzato per interpretare policy espresse in linguaggio naturale e confrontarle con il comportamento dell’agente. Il controllo semantico considera lo scopo dell’operazione anziché limitarsi alla corrispondenza con parole chiave o comandi già catalogati.
In un client AI collegato a un server MCP interno, l’agente richiede prima listAccounts e poi getTransactions: entrambe le operazioni di lettura sono consentite e ricevono due token distinti, ciascuno valido soltanto per la relativa chiamata. Quando lo stesso agente tenta updateAccount, la scrittura viene negata perché la policy non contempla lo scope necessario. L’azione non raggiunge quindi il sistema di destinazione, mentre il rifiuto viene registrato e attribuito con precisione all’utente e all’agente che lo hanno generato.
Il modello di Rubrik Agent Cloud si articola ora in quattro componenti. Agent Observability rileva agenti e server MCP e ne segue l’attività durante l’esecuzione; Agent Identity governa chi può utilizzare agenti e strumenti; Agent Runtime Security applica attraverso SAGE le policy basate sull’intento; Agent Rewind interviene dopo un comportamento indesiderato per annullarne in modo selettivo gli effetti su dati e configurazioni.
La capacità di ripristino affianca prevenzione e tracciabilità perché anche un’azione autorizzata può produrre un risultato errato. Ogni chiamata viene associata a un’identità all’interno della traccia di audit della sessione, che può essere integrata con le piattaforme SIEM. Agent Rewind usa queste informazioni per ricondurre la modifica all’agente responsabile e ripristinare in modo selettivo gli elementi interessati, senza effettuare un rollback generale dell’ambiente. Il tema riguarda direttamente la continuità operativa: l’88% dei responsabili citati da Rubrik teme che la crescita delle minacce legate agli agenti renda più difficile rispettare gli obiettivi di tempo di ripristino.
Agent Identity è disponibile come parte di Rubrik Agent Cloud, la piattaforma generalmente disponibile che si colloca tra agenti, applicazioni e modelli AI. L’MCP Gateway offre un punto di controllo comune per le risorse raggiunte tramite Model Context Protocol e API, mentre l’integrazione con i sistemi di identità aziendali conserva il legame fra ogni azione automatizzata e la persona per conto della quale è stata richiesta.
