Agenti AI in OT: trattarli come minaccia interna, dice il panel

Il 5 novembre 2026 IIoT World ha pubblicato la sintesi di un panel tenuto all'Industrial AI Summit 2026. Il tema: l'AI agentica in ambito OT (Operational Technology) è una minaccia interna? La tesi dei relatori è netta: ogni agente va trattato come un insider e la sua governance deve spettare al team di cybersecurity industriale.

Hanno partecipato Ian Bramson (Black & Veatch), Scott Christensen (GrayMatter) e Gary Tillery (CEO di Skkynet), moderati da Matt Morris di EverLine. Una precisazione importante: l'articolo è contrassegnato "Sponsored by Skkynet | Editorially Independent" e dichiara che strumenti di AI hanno aiutato a riassumerne il contenuto. Va quindi letto come un punto di vista legato a un vendor.

Suggerire o agire: la differenza che conta

Per il panel, l'AI generativa suggerisce, mentre l'AI agentica agisce. Un agente che modifica un set point o innesca un cambio di modello opera in sistemi legati alla sicurezza del sito, all'ambiente, alla sicurezza pubblica e alla continuità produttiva. L'articolo parla di conseguenze "cyber-fisiche", una categoria che gli ambienti IT non condividono.

Mettere l'AI agentica nel mondo reale significa "togliere l'uomo dal ciclo decisionale, ed è probabilmente il posto più spaventoso" (Ian Bramson).

Perché l'OT non è l'IT

L'articolo include un confronto tra i due mondi:

• Conseguenze di un guasto: in IT perdita di dati o interruzione di servizio; in OT incidenti di sicurezza, danni ambientali e fermi impianto.
• Età dei sistemi: in IT rinnovo ogni 3–5 anni; in OT sistemi in servizio da 15 a 50 anni.
• Patching: in IT secondo calendario; in OT impossibile senza un fermo programmato.

Alcuni sistemi di controllo funzionano da 50 anni e non sono stati progettati per connessioni AI o modifiche autonome. Inoltre, una variazione in uno dei più di 20 sistemi interconnessi può propagarsi agli altri.

Perché un agente è un insider

Un agente possiede credenziali, accede ai sistemi ed esegue azioni: dunque è un insider. La causa può essere dati di addestramento manipolati, un agente fuori controllo o una deriva del modello, ma le conseguenze sono le stesse. Anche un agente che fa esattamente ciò per cui è stato progettato può causare danni su larga scala: è il cosiddetto problema del "paperclip".

L'articolo cita anche una quota del 6–10% di output AI che contiene ancora allucinazioni, per giustificare controlli di contenimento su ogni agente con accesso alla produzione. La fonte del dato non è indicata, quindi va considerato incerto.

Chi ne è responsabile

Secondo il panel, la governance di ogni agente in OT spetta al team di cybersecurity industriale, non al reparto di sicurezza IT. Altrimenti la responsabilità rimbalza tra IT, OT e sicurezza aziendale, senza un titolare chiaro.

Un'adozione ritenuta inevitabile

Tutti e tre i relatori affermano che l'AI agentica è già presente negli ambienti industriali. Il pensionamento degli esperti d'impianto crea un vuoto di conoscenza che gli agenti dovrebbero aiutare a colmare. Christensen l'ha detto così: "Everybody's got that one guy at the plant that's threatening every year, this will be the year I retire." La scelta, in sostanza, è adottare con i propri tempi e con regole definite, oppure scoprire agenti già attivi senza controlli.

Cosa significa per chi lavora in automazione

L'articolo è un argomento di governance, non una guida tecnica: non fornisce dettagli implementativi. Ma per integratori e ingegneri che aggiungono agenti ai livelli PLC, SCADA o MES, l'indicazione pratica è trattare ogni agente come un'identità privilegiata:

• accesso in scrittura con privilegi minimi;
• limiti sulle modifiche ai set point;
• registrazione (logging) di ciò che l'agente fa;
• un essere umano nel ciclo per le azioni con effetto fisico.

Prima di introdurre un agente conviene inoltre chiarire chi ne risponde, e censire quelli eventualmente già presenti nell'impianto. Trattandosi di un contenuto sponsorizzato, le tesi vanno valutate criticamente, ma il principio di fondo, cioè niente agenti con accesso di scrittura senza identità, limiti e supervisione, è una base di partenza ragionevole.