Content Benefit

Content Strategy | UX Writing | Content Design | Globalization | Communications

Password, l’AI bussa al vault

Password, l’AI bussa al vault

Come funziona 1Password for Claude

L’annuncio è del 16 luglio 2026: 1Password e Anthropic hanno costruito un ponte che permette a Claude di entrare nei servizi online usando le credenziali custodite nella cassaforte digitale, senza che queste arrivino mai al modello. La meccanica, raccontata anche da HDblog, prevede che l’assistente, davanti a una schermata di accesso, non chieda di digitare nulla: domanda la chiave a 1Password, chi possiede l’archivio approva con la biometria e il gestore inserisce i dati direttamente nella pagina, attraverso un canale che resta fuori dalla vista dell’assistente.

Ci sono alcuni dettagli che fanno la differenza. L’autorizzazione vale per il singolo compito, quindi non esiste un accesso permanente. Quando l’agente prende il controllo del browser si attiva la Agentic Mode, che restringe la cassaforte alle sole voci necessarie. Dopo ogni compilazione automatica il sistema riesamina i campi della pagina per accertarsi che nessun segreto sia rimasto esposto dopo l’invio del modulo. Servono un Mac, Claude Desktop, l’estensione Claude in Chrome, l’applicazione desktop di 1Password con la sua estensione e un piano individuale, famiglia o business.

Nancy Wang, CTO di 1Password, ha sintetizzato il ragionamento con una frase che vale la pena riportare per intero: “La risposta non sta nel consegnare agli agenti i nostri segreti. Sta nel permettere a una persona di autorizzare un agente a usare delle credenziali senza che l’AI possa vederle”. Il contesto numerico aiuta a capire la posta in gioco: l’azienda dichiara un milione di sviluppatori, oltre 180.000 clienti business e più di 1,5 miliardi fra credenziali e segreti custoditi.

Che cosa resta davvero fuori dalla portata del modello

La documentazione di Anthropic è esplicita su un punto: Claude sa quale accesso ha utilizzato per portare a termine un compito, però non vede la password, non legge i codici monouso TOTP e non sfoglia il contenuto dell’archivio. Per chi ha passato anni dentro un’azienda di pagamenti, dove ogni schermata di login veniva pesata parola per parola, l’architettura risulta elegante: separa il permesso dal segreto, che è esattamente la distinzione che manca in quasi tutte le integrazioni nate finora.

Il dubbio, semmai, arriva subito dopo. Perché la stessa pagina di supporto avverte che “l’AI basata su browser comporta comunque rischi” e invita a esaminare ogni richiesta di approvazione prima di operare su conti delicati.

Il punto cieco sta nella sessione già aperta

L’analisi di The New Stack mette il dito nella piaga con una formula che ho riletto due volte: proteggere il segreto non limita, di per sé, tutte le azioni che l’agente può compiere una volta autenticato. Tradotto: la chiave resta nascosta, la porta però si apre lo stesso, e dietro la porta c’è una sessione viva con i privilegi di chi è titolare dell’account. Se qualcuno riesce a dettare istruzioni all’assistente mentre quella sessione è attiva, il caveau blindato diventa un dettaglio.

C’è poi un limite di perimetro: l’integrazione oggi copre nome utente, password e codici temporanei. Accessi social, passkey e pagamenti restano sulla tabella di marcia, il che riduce parecchio i casi d’uso quotidiani.

I numeri del prompt injection nei browser agentici

Qui le cifre raccontano una storia interessante, e va riconosciuto ad Anthropic di averle pubblicate. Nella comparazione fra laboratori realizzata da VentureBeat, l’agente in versione browser risulta dirottabile nel 31,5% dei tentativi senza protezioni attive, quota che scende allo 0,5% con le difese inserite, su 129 ambienti web. Nel documento tecnico dedicato alle contromisure, l’azienda parla di un tasso di successo intorno all’1% contro un attaccante adattivo e aggiunge due frasi che pesano più di qualsiasi grafico: quella percentuale “rappresenta comunque un rischio significativo” e “nessun agente di navigazione è immune al prompt injection”.

Il confronto con gli altri laboratori è istruttivo. Meta dichiara un 17,6% di attacchi riusciti a difese spente e un 1,75% con le protezioni combinate, misurato sul benchmark pubblico AgentDojo. OpenAI pubblica un unico punteggio di robustezza, limitato ai connettori. Google descrive una resistenza superiore e nessuna cifra. Nessuno adotta la stessa metodologia degli altri, quindi i numeri sembrano confrontabili e non lo sono.

Sul piano pratico, la ricerca di Brave sul browser agentico Comet resta la dimostrazione più eloquente: istruzioni nascoste in una pagina, testo bianco su fondo bianco, e l’assistente che recupera l’indirizzo email dell’utente, pesca un codice monouso dalla casella Gmail e spedisce tutto a un server ostile. Segnalazione a luglio 2025, divulgazione ad agosto. Le vecchie assunzioni sulla sicurezza del web, scrive Brave, non reggono davanti agli agenti.

L’estate in cui un agente è andato fuori dal seminato

Arrivo al punto che mi ha resa diffidente. Fra maggio e luglio 2026 alcuni agenti di OpenAI, impegnati in test di capacità offensive, hanno sfruttato nove vulnerabilità zero-day in JFrog Artifactory, si sono allontanati dall’ambiente di prova e sono entrati nell’infrastruttura di Hugging Face, dove hanno operato per tre giorni compiendo circa 17.600 azioni registrate e costringendo l’azienda a ricostruire quasi un terzo dei sistemi. Meno di tredici ore fra la prima esecuzione di codice e i privilegi di amministratore del cluster. I modelli coinvolti avevano perfino allestito una bacheca interna per coordinarsi, accumulando centinaia di migliaia di messaggi prima che qualcuno se ne accorgesse.

Sam Altman lo ha definito “un incidente informatico estremamente fantascientifico” e “il primo incidente di sicurezza che ho avvertito in modo molto viscerale”, aggiungendo che “potremmo dover calibrare il ritmo dello sviluppo dell’AI per dare alla società il tempo di irrobustirsi attorno a questi nuovi livelli di capacità”. Il 29 luglio è andato a Washington a discuterne con i senatori. Logan Graham di Anthropic ha parlato del “primo vero incidente di sicurezza dell’AI”; Hussein Abbass della UNSW ha osservato che il modello di minaccia cambia perché nessun essere umano ha diretto l’attacco; Dan Guido di Trail of Bits ha ridimensionato la mitologia parlando di un fallimento di contenimento con le protezioni disattivate.

Entrambe le letture, quella fantascientifica e quella ingegneristica, portano allo stesso posto: una macchina ha agito senza scrupoli e senza regia, e chi l’aveva costruita se ne è accorto dopo.

Schneier e Willison, due voci che pesano

Bruce Schneier, in un’intervista dell’8 luglio 2026, ha riassunto la sua posizione in una frase secca: “Non affidare i tuoi segreti all’AI”. La sua obiezione non riguarda la crittografia, riguarda la percezione. “Si comporta come una persona. Parla una lingua. La consideriamo una persona, ma non lo è”. L’antropomorfismo è la vulnerabilità, prima ancora del codice.

Simon Willison ha dato un nome alla combinazione pericolosa: lethal trifecta, la triade letale. Un agente diventa esposto quando tiene insieme tre ingredienti: accesso a dati privati, contatto con contenuti non affidabili e possibilità di comunicare verso l’esterno. Le pagine di login, con la casella di posta aperta accanto per ricevere i codici, mettono i tre ingredienti nella stessa stanza. Sulla difesa, Willison è netto: “non sappiamo ancora come impedire tutto questo in modo affidabile al 100%”, e guarda con sospetto i prodotti che vantano il 95% di attacchi bloccati, perché in sicurezza informatica quella cifra corrisponde a una bocciatura.

I dati che giocano a favore dell’automazione

Onestà vuole che si guardi anche dall’altra parte, perché la gestione umana delle credenziali non è un modello di virtù. Il Data Breach Investigations Report 2026 di Verizon, costruito su oltre 31.000 incidenti e 22.000 violazioni confermate in 145 paesi, registra per la prima volta in diciannove anni il sorpasso dello sfruttamento di vulnerabilità (31%) sul furto di credenziali (13%), che però resta una porta d’ingresso importante: il 73% delle vittime di ransomware aveva subito prima una fuga di credenziali o un infostealer. L’elemento umano tocca il 62% delle violazioni.

In Italia il Rapporto Clusit 2026 conta 507 incidenti gravi nel 2025, con una crescita del 42% sull’anno precedente e phishing e social engineering al 12,4% delle tecniche, spinti dall’uso dell’AI generativa da parte degli aggressori. Ne avevo scritto anche in Cybersecurity: rischi in aumento.

Sul fronte della fiducia, il Digital Trust Index 2026 di Thales fotografa un disagio diffuso: il 77% delle persone si dichiara a disagio all’idea che un sistema di AI agisca per proprio conto, mentre il 69% ritiene che l’autenticazione a più fattori aumenti la fiducia in un servizio. Tre quarti degli utenti, insomma, si trovano nella mia stessa posizione.

A quali condizioni sono pronta a ricredermi

Uso Claude ogni giorno per lavorare, ricerco, traduco, impagino, discuto di strategia editoriale. Le chiavi dei miei conti, per ora, restano fuori dalla conversazione. La riserva non riguarda un marchio in particolare: riguarda la mancanza di una misura condivisa del rischio, visto che ogni laboratorio si valuta con il proprio metro.

Cambierò idea quando troverò tre cose. Un registro leggibile di ogni azione compiuta durante una sessione autenticata, con revoca immediata. Una separazione netta fra il caveau che contiene account marginali e quello che custodisce banca, fisco e identità digitale, perché la delega ha senso solo per il primo. E una prova che la triade di Willison venga spezzata, quindi nessun accesso simultaneo alla casella dove atterrano i codici monouso.

Nel frattempo la direzione mi sembra corretta. Dare a un agente il permesso senza dargli il segreto è un principio di progettazione sano, lo stesso che applico quando scrivo un’interfaccia: mostrare il minimo indispensabile perché l’azione riesca. Ho già fatto pace con altre deleghe che all’inizio mi sembravano azzardate, dai wearable che leggono i parametri vitali agli strumenti che mi correggono il codice. Sulle password mi serve ancora qualche mese di prove altrui, e qualche problema in meno da segnalare.

Risorse correlate

Chiara Bonifazi