Secondo un nuovo sondaggio “State of NHI and AI Security” di Cloud Security Alliance (CSA), l’adozione accelerata dell’intelligenza artificiale sta amplificando criticità storiche nella gestione delle identità e degli accessi. In particolare, la crescita delle Non‑Human Identity (NHI) sta trasformando questi account in uno dei principali punti ciechi della cyber security, esponendo le organizzazioni a rischi sempre più complessi e difficili da governare.
La maggior parte delle organizzazioni continua, infatti, a gestire le identità dell’IA utilizzando strumenti IAM legacy e processi manuali. Tuttavia, queste risorse non sono mai state progettate per supportare sistemi autonomi ad alta velocità. Inoltre, con l’accelerazione dei carichi di lavoro guidati dall’IA, la creazione di nuove identità aumenta rapidamente, mentre le organizzazioni si trovano a fronteggiare proliferazione delle credenziali, modelli di ownership poco chiari, automazione incoerente e tempi di correzione eccessivamente lenti.
Indice degli argomenti
Che cos’è una Non‑Human Identity (NHI)?
Una Non-Human Identity (NHI) è una qualsiasi entità digitale utilizzata per identificare, autenticare e autorizzare macchine, dispositivi, applicazioni o processi automatizzati all’interno di un’infrastruttura IT.
È importante evidenziare che una NHI, a differenza di un utente umano – che può essere autenticato tramite password, biometria o autenticazione a più fattori (Multi Factor Authentication – MFA) – si autentica tipicamente attraverso credenziali statiche quali: chiavi API, certificati digitali, token di accesso o segreti crittografici.
Il termine “identità macchina”, in molti contesti tecnici, viene spesso utilizzato come sinonimo, sebbene tradizionalmente riferito ai dispositivi fisici. Questa distinzione, con l’avvento del cloud, della virtualizzazione e degli agenti di IA, si è progressivamente assottigliata, ampliando il perimetro delle NHI a qualsiasi entità digitale capace di agire in modo autonomo.
La gestione delle NHI comprende un insieme articolato di pratiche e tecnologie: dall’emissione e revoca dei certificati alla gestione delle chiavi crittografiche, dal controllo del ciclo di vita delle credenziali alla definizione di policy di accesso granulari.
Un ruolo centrale è svolto dalla gestione dei “segreti” — password, chiavi API, token, certificati e stringhe di connessione — elementi indispensabili per garantire l’integrità delle comunicazioni machine‑to‑machine e la protezione dei dati in transito, ma anche tra i più critici da governare in termini di sicurezza.
Perché le NHI sono un rischio crescente per la sicurezza informatica
Le NHI sono particolarmente pericolose per la loro natura intrinsecamente “silenziosa”. Di fatto, a differenza degli utenti umani, le NHI e le loro attività passano in genere inosservate, nonostante dispongano di accessi potenti a sistemi sensibili.
Inoltre, negli ambienti cloud moderni, gli “utenti non umani” superano numericamente quelli umani in modo significativo, ampliando le superfici di attacco e introducendo vulnerabilità che i team di sicurezza faticano a presidiare.
Le credenziali “hard-coded” – incorporate direttamente nel codice sorgente o negli script di configurazioni, spesso per comodità o per accelerare i tempi di sviluppo – rappresentano i principali fattori di rischio. Esse rimangono attive per mesi o anni, prive di scadenza e raramente sottoposte a rotazione.
Purtroppo, una volta compromesse, aprono ai criminali informatici un accesso persistente e difficile da rilevare. Inoltre, il problema è aggravato dall’assenza di meccanismi di monitoraggio e registrazione (logging) adeguati: quando una NHI non viene tracciata, le sue credenziali possono essere sfruttate per settimane o addirittura mesi prima che qualcuno se ne accorga.
I recenti incidenti di sicurezza che hanno coinvolto aziende di primissimo piano – quali AWS, Okta, Cloudflare e Microsoft – sono un esempio di violazioni in cui le NHI hanno giocato un ruolo centrale, nonostante la presenza di misure di sicurezza avanzate. Il denominatore comune era proprio la difficoltà di trattare le identità non umane con lo stesso rigore applicato agli utenti in carne e ossa.
Il report della CSA: un quadro preoccupante
I dati del report “State of NHI and AI Security” di CSA delineano un quadro che merita particolare attenzione. Quasi una organizzazione su cinque ha dichiarato di aver vissuto almeno un incidente di sicurezza direttamente riconducibile alle NHI.
Le cause più frequenti individuate dagli intervistati non sono riconducibili a vulnerabilità sofisticate, bensì a criticità strutturali, quali:
- mancanza di rotazione delle credenziali (45%)
- monitoraggio insufficiente (37%)
- presenza di account o identità con privilegi eccessivi (37%).
Il quadro diventa ancora più critico se osservato dal punto di vista della governance: il 78% delle organizzazioni non dispone di politiche formalizzate per la creazione e per la rimozione delle identità IA, favorendo una proliferazione non controllata di account difficili da tracciare e gestire.
Inoltre, dal sondaggio si evince che, in assenza di regole chiare, le identità vengono create in modo ad hoc, accumulate nel tempo e difficilmente tracciate.
Il 51% delle organizzazioni indica nella mancanza di una chiara responsabilità (ownership) sulle NHI e nell’eccesso di privilegi di accesso le principali criticità, mentre il 50% segnala una carenza di visibilità.
Fonte immagine – CSA “State of NHI and AI Security” Report.
La fiducia nelle soluzioni IAM esistenti è bassa: il 92% degli intervistati si è dichiarato incerto sulla capacità dei propri sistemi legacy di gestire efficacemente i rischi associati all’IA e alle NHI.
Un dato che non sorprende, considerando che le infrastrutture IAM tradizionali sono state progettate per un mondo statico, con utenti umani e macchine relativamente stabili; mentre il paradigma dell’IA generativa e degli agenti autonomi sfida queste fondamenta in modo strutturale.
Fonte immagine – CSA “State of NHI and AI Security” Report.
La fiducia nella capacità di prevenire attacchi tramite NHI è bassa o moderata per il 79% delle organizzazioni. Un dato che riflette non solo la consapevolezza dei limiti tecnologici, ma anche la percezione di un ritardo strutturale nella maturità dei processi di governance.
Strumenti frammentati, risultati insufficienti – Il problema non risiede tanto nella mancanza di strumenti, quanto nella loro natura frammentata e nella loro origine progettuale. Le organizzazioni, infatti, ricorrono a una combinazione eterogenea di soluzioni – IAM tradizionali (58%), PAM (54%), sicurezza API (40%), Zero Trust o di minimo privilegio (38%) e gestione dei segreti (36%) – nessuna delle quali è stata concepita nativamente per governare le NHI.
Fonte immagine – CSA “State of NHI and AI Security” Report.
Tale approccio frammentato crea inevitabilmente punti ciechi. Le principali sfide operative segnalate includono: l’audit e il monitoraggio (25%), la gestione degli accessi e dei privilegi (25%), la discovery delle NHI — ovvero la capacità di identificarle e catalogarle all’interno dell’infrastruttura — (24%) e il rafforzamento delle policy (21%).
Governance assente e automazione limitata – Il 39% degli intervistati ha citato la governance come la principale preoccupazione relativa all’identità dei sistemi di IA, seguito dal controllo (34%) e visibilità (23%). Questo dato acquisisce ancor più peso se letto insieme a quelli sull’automazione dei processi: solo il 14% delle organizzazioni ha dichiarato che la creazione e la rimozione delle identità legate all’IA sono completamente automatizzate. Il 41% si affida a flussi di lavoro semi-automatizzati, mentre il 27% gestisce questi processi interamente a mano.
Fonte immagine – CSA “State of NHI and AI Security” Report.
La dipendenza dai processi manuali va ben oltre l’impatto sull’efficienza operativa e si traduce in una criticità di sicurezza. Questi processi riducono la visibilità complessiva, ostacolano l’applicazione uniforme delle policy e complicano la definizione di responsabilità chiare.
Il report rivela, altresì, che oltre il 16% delle organizzazioni non monitora la creazione di nuove identità legate all’IA. Anche quando tali identità sono note, la gestione del loro ciclo di vita risulta spesso inefficiente: quasi un’organizzazione su quattro (24%) impiega più di 24 ore per ruotare o revocare una credenziale dopo una potenziale esposizione, mentre il 30% richiede oltre un giorno per intervenire su una fuga di credenziali ad alta criticità.
Fonte immagine – CSA “State of NHI and AI Security” Report.
L’igiene dell’NHI: un concetto fondamentale
Il settore della cybersecurity, per rispondere alle sfide di sicurezza delle NHI, sta sviluppando un framework concettuale e operativo noto come NHI hygiene. L’obiettivo è garantire che agenti, servizi, container e modelli di AI: evitino la conservazione di “segreti” non necessari (i.e. codici e altre informazioni che non dovrebbero avere); non accedano a risorse non autorizzate; non lascino in circolazione credenziali sfruttabili da terzi.
L’igiene NHI si articola attorno a tre principi fondamentali:
- Limitazione dell’ambito di accesso, affinché ogni sistema disponga solo dei segreti strettamente necessari;
- Controllo del ciclo di vita delle credenziali, che devono essere ruotate, fatte scadere o eliminate al termine di ogni processo o deployment;
- Piena verificabilità, affinché ogni accesso sia sempre riconducibile a un agente, a una pipeline o a un processo noto e autorizzato.
Nei sistemi privi di un’adeguata igiene NHI, le identità autorizzate diventano indistinguibili da quelle compromesse, aumentando l’esposizione al rischio e rendendo difficile ricostruire la catena degli eventi in caso di incidente.
La gestione dei “segreti” diventa quindi un elemento centrale della governance, richiedendo una definizione rigorosa di chi può accedere a cosa, per quanto tempo e in quali condizioni.
Approccio Zero Trust e privilegi minimi: la risposta strategica
L’approccio Zero Trust è oggi considerato il più efficace per mitigare i rischi legati alle NHI, a condizione che venga applicato in modo esteso a tutte le identità digitali, non solo agli utenti umani.
Il paradigma si fonda su un presupposto chiaro: nessuna entità — che si tratti di persone, dispositivi, applicazioni o agenti di IA — deve essere considerata affidabile per impostazione predefinita, nemmeno all’interno del perimetro aziendale. Ogni accesso deve essere esplicitamente autenticato e autorizzato, secondo criteri rigorosi e dinamici.
Ciò si traduce nell’adozione del principio del minimo privilegio: ogni NHI deve ricevere esattamente e solo le autorizzazioni necessarie per svolgere la propria funzione specifica. I controlli di accesso basati sui ruoli (Role-Based Access Control – RBAC) devono essere applicati con coerenza, mentre le credenziali non possono più essere permanenti, ma devono avere una durata limitata e controllata.
Elementi chiave di questo modello sono l’accesso Just‑in‑Time e l’uso di “segreti effimeri”. Invece di assegnare credenziali statiche di lunga durata, l’accesso viene concesso tramite token temporanei, validi solo per il tempo necessario a completare una specifica operazione. Al termine dell’attività, il token scade automaticamente, riducendo in modo significativo il rischio che credenziali dimenticate o inutilizzate possano essere sfruttate da un attaccante.
Inoltre, l’automazione della rotazione delle credenziali e la revoca tempestiva in presenza di comportamenti anomali permettono di mitigare in modo efficace uno dei principali vettori di attacco emersi negli scenari più recenti.
Quando automazione, governance e accountability devono convergere
Il messaggio che emerge dall’analisi complessiva del report CSA evidenzia un messaggio chiaro: senza una strategia unificata che integri automazione, governance e accountability, l’adozione dell’IA rischia di amplificare la complessità, invece di ridurla. Ogni nuovo modello, integrazione o workflow introduce, infatti, nuove identità, credenziali e privilegi, estendendo la superficie di attacco e aumentando il rischio di abusi o compromissioni.
Il superamento di un approccio puramente reattivo richiede un cambiamento strutturale. Sul piano tecnologico, è necessario adottare soluzioni progettate specificamente per le NHI, in grado di supportare la discovery continua, la rotazione automatizzata delle credenziali e il rilevamento tempestivo delle anomalie.
Sul piano dei processi, servono policy chiare e verificabili per l’intero ciclo di vita delle identità IA, con responsabilità esplicitamente assegnate. Infine, sul piano culturale, la sicurezza delle NHI deve essere integrata fin dalle fasi di sviluppo e deployment, secondo un approccio di security by design.
Ad oggi, come si evince anche dal rapporto “Future of Identity Security Report 2025” di ConductorOne, sebbene il 51% dei professionisti IT riconosca alla sicurezza delle NHI un’importanza pari a quella degli account umani, questa consapevolezza non si è ancora tradotta in investimenti e pratiche adeguate.
Purtroppo, una governance che fatica a tenere il passo con l’evoluzione tecnologica continua a lasciare molte organizzazioni senza una chiara attribuzione di responsabilità, costringendole a gestire le identità dell’IA in modo reattivo anziché strategico.
Conclusione
Il volume delle identità, delle deleghe e dei privilegi di accesso è destinato a crescere in modo esponenziale con l’integrazione sempre più profonda dell’IA nei processi aziendali. In questo scenario, le NHI non possono più essere considerate un’eccezione tecnica o un effetto collaterale dell’automazione, ma rappresentano ormai una componente strutturale dell’ecosistema digitale.
A fronte di questa evoluzione, tuttavia, molti modelli di governance continuano a riflettere una visione superata, pensata per ambienti statici e prevalentemente umani, e quindi inadeguata a gestire identità software dinamiche, autonome e pervasive.
Come evidenzia Lorenzo Motta – Market & Portfolio Management/Product Development Senior Professional di Hitachi Rail: “Questo scenario impone un cambio di passo anche sul piano operativo. In definitiva, il punto non è dimostrare che gli strumenti siano sufficienti, ma applicarli con disciplina: Ovvero, significa usarli in modo coerente, continuativo e verificabile, evitando configurazioni occasionali o lasciate alla discrezionalità dei singoli.
Di fatto, portare le NHI al centro della strategia significa adottare discovery continua e verificabile, policy applicate automaticamente e misurabili, privilegi minimi e a tempo, responsabilità esplicite sugli owner e sulla rotazione dei segreti — i.e. ogni NHI deve avere un owner umano nominato e rendicontabile per scopo, permessi, rotazione e deprovisioning — controlli di rilevazione e risposta che osservano le identità come primo segnale.
Poiché molte NHI vivono ed emergono anche nei sistemi di collaboration e meeting – quali come Teams, Copilot Studio e piattaforme cloud-native -diventa essenziale che discovery, rotazione, policy ed enforcement non dipendano più dal singolo ambiente, ma siano eseguiti da un piano di controllo cloud centralizzato, che ne assicuri continuità, tracciabilità e coerenza operativa end‑to‑end. Solo così l’adozione dell’IA può crescere senza amplificare il rischio, trasformando le NHI da area cieca a dominio governato, dove la sicurezza deve essere ed avere un esito operativo costante, in quanto la cybersecurity è un moving target.”
Alla luce di queste considerazioni, intervenire oggi su governance, visibilità e controllo delle NHI non è una scelta opzionale, ma una condizione necessaria per costruire la maturità operativa richiesta dalla scalabilità dell’IA. Rimandare significa accettare che la complessità superi, rapidamente, ogni capacità di governo. Il rischio, infatti, non è ipotetico né confinato a uno scenario futuro: è già presente, misurabile e ampiamente documentato.
In molte organizzazioni, ciò che manca non è la consapevolezza tecnologica, ma la determinazione ad affrontarlo con la stessa urgenza riservata alle minacce più evidenti.
Le NHI operano in silenzio. Ma, in cyber security, il silenzio è spesso il segnale più pericoloso. E questo non dobbiamo dimenticarlo mai.
Partecipa alla community