Autorità delegata e sicurezza delle transazioni

Tipo

Principio

Delegare a un agente non significa trasferire responsabilità senza limiti. L'autorità delegata è un mandato circoscritto: chi concede il potere, quale obiettivo autorizza, quali strumenti possono essere usati, entro quali limiti e fino a quando. I limiti possono essere monetari, temporali, merceologici, geografici e operativi. Un agente può essere autorizzato a preparare un carrello, ma non a completarlo; a comprare entro una soglia; a usare un determinato metodo di pagamento; oppure a operare solo per una sessione. Il sistema deve applicare questi limiti deterministicamente, non affidarsi alla memoria del modello. Il human-in-the-loop va collocato nei punti in cui la decisione diventa materialmente difficile da invertire. Non ogni tool call richiede conferma. Serve invece una conferma significativa quando cambiano importo, destinatario, policy, modalità di pagamento o rischio. L'interfaccia deve mostrare cosa sarà eseguito, con quali condizioni e quale sistema ne sarà responsabile. Least privilege e separation of duties riducono il blast radius. L'agente non dovrebbe ricevere credenziali generali né accesso diretto a database. Usa capability server-owned che verificano identità, autorizzazione, stato e policy. I token o mandati dovrebbero essere bounded e, dove possibile, specifici per operazione. La sicurezza transazionale richiede evidenza. Il sistema registra intento, vincoli, autorizzazione, strumenti invocati, dati autorevoli letti, risultato e eventuale revisione umana. Questo audit non deve conservare segreti o reasoning grezzo, ma deve permettere di ricostruire chi ha autorizzato cosa e quale esito è stato riconciliato. Un agente affidabile sa anche fermarsi. Se il mandato è scaduto, i dati sono cambiati, l'esito precedente è incerto o una policy non può essere valutata, il comportamento corretto è fallire chiuso e richiedere una nuova decisione.