Per anni la formazione sulla sicurezza in azienda si è ridotta a una frase: non aprire allegati sospetti. Poi è arrivato il phishing fatto bene e la frase è diventata: controlla il mittente. Adesso serve aggiornarla di nuovo, perché è comparso un caso in cui il danno non è un file infetto né una password rubata, ma un collaboratore digitale che nessuno ha assunto e che lavora al posto tuo, con le tue chiavi.
La società di ricerca Zenity Labs ha reso pubblica nei giorni scorsi una vulnerabilità battezzata AgentForger, che riguardava i Workspace Agents di ChatGPT. Le testate di settore l’hanno ripresa il 23 e 24 luglio. Partiamo dalla notizia buona, perché conta: la falla è già stata chiusa. Segnalata a OpenAI il 4 giugno, accettata entro un giorno, corretta l’8. Non c’è nulla da aggiornare stanotte.
Quello che resta da fare, però, è un’altra cosa. E riguarda anche chi ha cinque dipendenti.
Cosa succedeva, in parole povere
Un dipendente collegato a ChatGPT riceveva un link. Lo apriva. Sembrava un normale link di un servizio che l’azienda usa tutti i giorni.
In quel momento, senza nessuna finestra di conferma, veniva creato e autorizzato un agente automatico che ereditava tutti i permessi che quella persona aveva già concesso in passato: posta elettronica, calendario, archivio documenti in cloud, chat aziendali. I ricercatori citano esplicitamente Outlook, Gmail, Google Calendar, Drive, Slack e Teams.
L’agente non chiedeva più nulla a nessuno. Girava da solo, a intervalli regolari, per restare presente nel tempo. E poteva fare quello che farebbe un dipendente infedele con molta pazienza: guardarsi intorno, capire dove stanno i documenti che contano, raccogliere credenziali, scrivere email fingendosi la vittima, mandare messaggi interni ai colleghi che si fidano di quel nome.
Il responsabile tecnico di Zenity l’ha sintetizzata in una frase che vale più di una pagina di analisi: non è una richiesta contraffatta, è un insider contraffatto.
Un account compromesso smette di fare danni quando cambi la password. Un agente autorizzato continua a operare con permessi propri, in autonomia e in modo ricorrente, anche dopo che l'attacco iniziale è finito: va trovato e revocato, non basta chiudere la sessione.
Fonte: Zenity Labs, SecurityWeek, The Hacker News
Perché la storia interessa anche a chi non usa ChatGPT
Se ti stai dicendo «noi non abbiamo agenti AI aziendali, quindi non ci riguarda», la risposta onesta è: probabilmente ce li hai e non lo sai.
Il punto non è il prodotto specifico. Il punto è che negli ultimi due anni, in ogni azienda, è successa la stessa cosa senza che nessuno la decidesse: i singoli collaboratori hanno collegato strumenti di intelligenza artificiale ai dati aziendali, uno alla volta, con le proprie credenziali. Il commerciale ha dato accesso alla casella di posta per farsi riassumere i thread. L’amministrativa ha collegato Drive per farsi cercare i documenti. Qualcuno ha autorizzato il calendario, qualcun altro la chat interna.
Ognuno di questi permessi è stato concesso in dieci secondi, cliccando consenti. Nessuno di questi permessi è scritto da qualche parte. E nessuno di questi permessi scade.
AgentForger è interessante non perché fosse pericolosa — è stata chiusa in tre giorni — ma perché mostra cosa succede quando qualcuno riesce a entrare in quella catena di deleghe che nessuno sta guardando.
La mezz’ora che vale la pena spendere lunedì
Non serve un consulente e non serve un reparto IT. Serve aprire tre pannelli e guardare.
- La lista delle app e dei connettori autorizzati sugli strumenti che l’azienda usa davvero: account Google Workspace, Microsoft 365, l’area amministrativa di ChatGPT o dell’assistente AI in uso. In tutti c’è una pagina che elenca a chi hai dato accesso. Quasi sempre contiene roba dimenticata da mesi.
- Chi può autorizzare cosa. Nella maggior parte delle piccole imprese la risposta attuale è: chiunque, in autonomia, senza dirlo a nessuno. Non serve vietare — serve sapere. Una regola sola, scritta in tre righe: prima di collegare uno strumento nuovo alla posta o ai file aziendali, si avvisa.
- Cosa succede quando qualcuno se ne va. Revocare l’account non revoca sempre i permessi che quella persona ha concesso a strumenti terzi. È il punto più trascurato in assoluto ed è quello che, nel giro di un paio d’anni, produce le brutte sorprese.
Falla segnalata a OpenAI il 4 giugno 2026 e corretta l'8 giugno. Il tempo di risposta è la parte rassicurante della vicenda: la parte che riguarda le aziende è cosa resta autorizzato nei loro sistemi.
Fonte: SecurityWeek, 23/07/2026
C’è una lettura più larga, e conviene farla adesso che il tema è ancora gestibile. Fino a ieri i software aziendali erano strumenti: si aprivano, si usavano, si chiudevano. Gli agenti sono un’altra categoria — agiscono anche quando non li stai guardando, e agiscono con l’identità di qualcuno. Il modo giusto di pensarci non è quello che usiamo per un programma, ma quello che useremmo per una persona a cui diamo le chiavi del magazzino: chi gliele ha date, cosa può aprire, e chi se le riprende quando non serve più.