Agenti AI in OT: trattarli come minacce interne, con un responsabile

Il 5 novembre 2026 IIoT World ha pubblicato la sintesi di un panel dell'Industrial AI Summit 2026 dedicato a una domanda scomoda: l'AI agentica è una minaccia interna per le reti OT? La risposta dei relatori è netta: ogni agente AI che opera in ambiente industriale va trattato come un insider, con un responsabile chiaro all'interno del team di cybersecurity industriale.

Una precisazione sulla fonte: l'articolo è contrassegnato come sponsorizzato da Skkynet (con indicazione di indipendenza editoriale) e dichiara di aver usato strumenti di AI per riassumere il panel. Vanno quindi letti come opinioni di esperti, non come risultati di una ricerca.

Chi ha parlato e che cosa ha detto

Al panel hanno partecipato Ian Bramson (Black & Veatch, Global Industrial Cybersecurity), Scott Christensen (GrayMatter, Cyber Practice Director) e Gary Tillery (CEO di Skkynet), con la moderazione di Matt Morris di EverLine. Il punto di partenza è la differenza tra AI generativa e agentica: la prima suggerisce, la seconda agisce. Un agente che modifica un set point opera in un contesto in cui gli effetti toccano sicurezza, ambiente e continuità produttiva.

Perché l'OT è un terreno delicato

Secondo il panel, tre caratteristiche rendono più rischioso l'ingresso degli agenti:

• alcuni sistemi di controllo legacy sono in servizio da fino a 50 anni, non sono stati progettati per dialogare con l'AI e non possono essere aggiornati senza un fermo pianificato;
• una modifica in uno di 20 o più sistemi interconnessi può propagarsi agli altri;
• le conseguenze sono definite «cyber-fisiche», cioè non limitate ai dati ma estese al processo.

L'argomento dell'insider

Un agente possiede credenziali, accede ai sistemi ed esegue azioni: è, a tutti gli effetti, un insider. Questo vale a prescindere dalla causa di un comportamento anomalo, che si tratti di dati di addestramento manipolati, di un agente fuori controllo o di deriva del modello.

L'articolo cita anche una quota di output AI con allucinazioni tra il 6% e il 10%, usata per sostenere la necessità di controlli di contenimento per ogni agente con accesso alla produzione. Il dato non è accompagnato da una fonte, quindi va trattato con cautela; l'argomento regge comunque anche senza una cifra precisa.

Togliere l'essere umano dal ciclo decisionale dove le azioni hanno effetti nel mondo reale è «probabilmente il punto più spaventoso», ha detto Bramson.

Chi ne è responsabile

Il panel propone che la governance di ogni agente in esecuzione in ambito OT spetti al team di cybersecurity industriale, non alla sicurezza IT. Il rischio, altrimenti, è che la responsabilità cada nel vuoto tra IT, OT e sicurezza aziendale: ognuno presume che se ne occupi un altro.

I relatori ritengono inoltre che l'adozione sia inevitabile. L'AI agentica sarebbe già in uso nell'industria e il pensionamento di personale esperto crea un vuoto di conoscenza che gli agenti potrebbero aiutare a colmare. La scelta, quindi, è tra adottarli con i propri tempi e con regole di governo, oppure scoprire poi che agenti privi di controlli sono già in funzione.

Che cosa fare in pratica

Il tema della governance dell'AI in OT non è nuovo: standard, supervisione e il principio «l'AI analizza, la persona decide» sono già stati trattati. L'elemento nuovo è l'inquadramento come minaccia interna e la domanda su chi possieda il rischio. Ne deriva una regola operativa semplice: prima di dare a un agente accesso in scrittura a PLC, SCADA o HMI, trattalo come un utente privilegiato.

Ciò significa, come minimo:

• credenziali con ambito limitato, solo per i sistemi e le azioni necessari;
• contenimento, per limitare l'impatto di un comportamento errato o malevolo;
• tracce di audit di ciò che l'agente legge e modifica;
• un responsabile con nome e cognome, chiaramente identificato.

Sono indicazioni di buon senso, coerenti con i principi di accesso privilegiato già applicati agli utenti umani. Per chi guida team IT e OT, il messaggio del panel è soprattutto organizzativo: definire la proprietà del rischio prima che gli agenti arrivino in produzione, non dopo.