Agenti AI: cosa sono, come funzionano e cosa sanno fare davvero (guida 2026)

Tutte le verifiche sono chiuse: lo slug interno esiste e Help Net Security attesta i tre dati (53 progetti/28 coding agent, Replit, 47.000 download LiteLLM). Ecco l’HTML corretto.

Chiunque abbia provato a capire cosa siano gli agenti AI leggendo le pagine dei grandi vendor si è imbattuto nello stesso schema: definizione, ciclo, tipi, casi d’uso. Nessuna di quelle pagine dice dove gli agenti sbagliano, e nessuna spiega perché la parola “agente” venga appiccicata anche a un chatbot con tre bottoni. Questa guida risponde alla domanda base con la precisione di chi gli agenti li costruisce: cos’è davvero un agente, come funziona sotto il cofano, cosa sa fare oggi e cosa non sa fare, quali si possono provare senza pagare e quanto costa portarne uno in produzione. I numeri hanno tutti una fonte verificabile, comprese le cifre scomode.

In questo articolo scoprirai:

• Che cos'è un agente AI, e in cosa non è un chatbot
• Come funziona un agente AI: percezione, decisione, azione, strumenti
• Un agente solo o molti: quando conviene un sistema multi-agente
• Cosa sanno fare oggi gli agenti AI, con esempi verificabili
• Agenti AI gratis e open source: quali si possono provare senza pagare
• Come creare un agente AI, e cosa serve davvero
• Dove sbagliano: i limiti che nessuna demo mostra
• Le sei domande da fare prima di firmare

Che cos’è un agente AI, e in cosa non è un chatbot

Un agente AI è un sistema software che riceve un obiettivo, decide da solo quali passi compiere per raggiungerlo e usa strumenti esterni per compierli. La definizione dei ricercatori del MIT Sloan è netta: sono «sistemi software autonomi che percepiscono, ragionano e agiscono in ambienti digitali per raggiungere obiettivi per conto di principali umani». La differenza con un modello generativo puro è tutta lì: un modello generativo produce testo, un agente produce conseguenze. Se quello che cerchi non è la definizione ma la mappa dei casi d’uso già maturi, l’abbiamo trattata a parte: qui trovi cos’è e come funziona, lì in quali processi aziendali funzionano già.

La definizione tecnica di agente AI: chi decide il flusso

La formulazione più rigorosa in circolazione è di LangChain: «un agente AI è un sistema che usa un large language model per decidere il control flow di un’applicazione». Tradotto: in un software normale la sequenza dei passi è scritta nel codice; in un agente la sceglie il modello, a runtime, in base a quello che ha appena osservato. Anthropic usa lo stesso discrimine per separare i workflow, «sistemi dove LLM e strumenti sono orchestrati attraverso percorsi di codice predefiniti», dagli agenti veri, dove il modello «dirige dinamicamente i propri processi e l’uso degli strumenti».

Non è una distinzione binaria ma una scala. Si va dalla logica scritta a mano, alla singola chiamata al modello, alla catena, al router, fino all’agente autonomo. Più controllo si concede al modello, più robusta deve essere l’infrastruttura intorno: è il prezzo dell’autonomia, e va pagato in anticipo.

Questa scala ha una conseguenza pratica che di solito si scopre tardi. Ogni gradino verso l’autonomia toglie determinismo al sistema: lo stesso input, eseguito due volte, può produrre due sequenze di azioni diverse. Per un’applicazione di supporto è tollerabile; per un processo che tocca fatture, magazzino o dati personali diventa il problema principale, perché non puoi testare un percorso che cambia a ogni esecuzione. La domanda da porsi prima di scegliere non è «quanto è intelligente il modello», ma quanto costa un’esecuzione sbagliata. Se la risposta è «poco, e me ne accorgo subito», l’autonomia conviene. Se è «molto, e me ne accorgo fra un mese», serve un workflow con l’AI dentro, non un agente.

Differenza tra chatbot e agente AI (e automazione)

Tre cose vengono regolarmente confuse. Un’automazione (RPA, uno script, uno Zap) esegue una sequenza fissa: se l’input cambia forma, si rompe. Un chatbot risponde: capisce la domanda, genera una risposta, e la decisione resta all’utente. Un agente agisce: apre un ticket, modifica un record, invia una mail, e poi verifica di averlo fatto bene. Google Cloud sintetizza la scala di autonomia così: i bot seguono regole predefinite, gli assistenti «possono raccomandare azioni, ma è l’utente a decidere», mentre gli agenti «eseguono azioni complesse a più passi» in modo proattivo. Se vuoi il confronto operativo fra le due famiglie conversazionali, l’abbiamo trattato in dettaglio nella guida su chatbot tradizionale e chatbot AI.

Il test che uso quando qualcuno mi mostra un prodotto è banale e non sbaglia mai: chiedo cosa succede se il caso è fuori copione. Un’automazione va in errore. Un chatbot si scusa e propone un operatore. Un agente prova una strada diversa, e qui si aprono entrambe le possibilità, quella buona e quella cattiva: può risolvere un caso che nessuno aveva previsto, oppure inventarsi un’azione che non doveva compiere. Chi vende agenti mostra sempre il primo scenario. Chi li gestisce conosce anche il secondo. Se stai valutando quale famiglia di strumento serve alla tua azienda, la scelta a monte è raccontata in quale chatbot conviene scegliere.

I tipi di agenti AI: la tassonomia classica e quanto serve davvero

Le panoramiche divulgative dei grandi vendor, da quella di IBM a quella di Salesforce, riprendono la tassonomia dei manuali di intelligenza artificiale: agenti reflex semplici, che rispondono a uno stimolo con una regola; agenti basati su modello, che tengono uno stato interno del mondo; agenti orientati all’obiettivo, che pianificano verso un fine; agenti orientati all’utilità, che scelgono fra più esiti possibili quello con il valore atteso migliore; agenti che apprendono, che modificano il proprio comportamento in base al feedback.

È utile conoscerla, ma va detto con onestà: nella pratica del 2026 questa classificazione descrive male i sistemi che si costruiscono davvero. Un agente basato su LLM è quasi sempre un ibrido, pianifica come un goal-based, sceglie fra alternative come un utility-based, e non apprende affatto fra un’esecuzione e l’altra se non gli si costruisce intorno una memoria esplicita. La distinzione che serve in un progetto reale è un’altra, ed è quella funzionale: quanti strumenti tocca, quanto è largo il perimetro di azione, chi approva prima che l’azione parta. Sono le tre variabili che determinano il costo, il rischio e il tempo di realizzazione. La tassonomia accademica, in un preventivo, non sposta una riga.

Come funziona un agente AI: percezione, decisione, azione, strumenti

Sotto il cofano tutti gli agenti girano sullo stesso ciclo, indipendentemente dal framework. AWS lo descrive in quattro fasi: l’agente scompone l’obiettivo in task più piccoli, raccoglie informazioni tramite API o ricerche, esegue i task uno a uno, e infine verifica il risultato «tramite feedback esterno e ispezionando i propri log». Osserva, pianifica, agisce, controlla. È la fase di verifica a separare un agente da un generatore di testo: senza controllo del risultato, l’autonomia è solo rumore più veloce.

L’architettura di un agente AI: modello, strumenti, memoria

Google Cloud scompone l’agente in tre pezzi. Il modello è il cervello, e fornisce comprensione e ragionamento. Gli strumenti sono funzioni e risorse esterne con cui l’agente «accede a informazioni, manipola dati e controlla sistemi esterni». La memoria si articola su più livelli: breve termine per l’interazione in corso, lungo termine per lo storico, episodica per le interazioni passate. Sopra tutto c’è un livello di orchestrazione che tiene insieme il ciclo.

Se il modello di base non ti è chiaro, conviene partire da come funziona l’intelligenza artificiale generativa e da cosa sono davvero gli LLM che stanno dentro ogni agente: l’agente non è una tecnologia nuova sopra il modello, è il modello messo in un anello di feedback con degli strumenti in mano.

Gli strumenti: come un agente AI parla ai sistemi reali

Un agente senza strumenti è un chatbot con più passaggi. Gli strumenti sono chiamate a funzioni: leggere un database, cercare sul web, mandare una mail, scrivere su un CRM. Il problema industriale è che ogni integrazione andava scritta a mano per ogni coppia modello-sistema. È esattamente il problema che risolve il protocollo MCP con cui un agente parla ai sistemi: uno standard aperto che la documentazione ufficiale descrive come «una porta USB-C per le applicazioni AI», supportato da Claude, ChatGPT, VS Code e Cursor. Costruisci l’integrazione una volta, la usi con qualunque client. Quando all’agente serve conoscenza aziendale invece di azioni, lo strumento tipico è invece il recupero documentale in stile RAG.

C’è una regola di progettazione che vale più di qualunque scelta di framework: meno strumenti dai a un agente, meglio funziona. La ragione è meccanica. Ogni strumento aggiunge una descrizione al contesto e un’alternativa alla decisione; con quaranta strumenti disponibili il modello sbaglia la scelta molto più spesso che con cinque, e ogni scelta sbagliata si propaga ai passi successivi. Gli agenti che reggono in produzione hanno tipicamente fra i tre e i dieci strumenti, con nomi espliciti, parametri stretti e messaggi di errore scritti per essere letti da un modello, non da un sistemista. Un errore che dice «422 Unprocessable Entity» non insegna niente all’agente; uno che dice «la data va nel formato AAAA-MM-GG, hai passato 12/03/2026» gli permette di correggersi al tentativo dopo.

Pianificazione, memoria e human-in-the-loop: i pattern che rendono utile il ciclo

Sopra il ciclo base si sono stabilizzati alcuni pattern ricorrenti, descritti nelle documentazioni dei principali framework, fra cui quella di LangGraph sui concetti agentici. Il primo è l’alternanza fra ragionamento e azione: il modello dichiara cosa intende fare, lo fa, osserva il risultato e riparte dall’osservazione invece che dall’ipotesi. Il secondo è la riflessione: una seconda passata in cui l’agente critica il proprio output prima di consegnarlo, che costa una chiamata in più e intercetta una quota di errori banali. Il terzo è la pianificazione esplicita: scrivere il piano prima di eseguirlo, così che sia ispezionabile, da un umano o dall’agente stesso, prima che qualcosa venga toccato.

Il quarto pattern è il più sottovalutato e il più importante in azienda: l’approvazione umana su punti di controllo scelti. Non su tutto, altrimenti l’agente è un modulo di data entry con passaggi extra; ma sulle azioni irreversibili, inviare comunicazioni a clienti, cancellare record, muovere denaro, pubblicare all’esterno. L’agente prepara, l’umano firma. È il compromesso che permette di mettere in produzione qualcosa di utile mentre l’affidabilità dei modelli non è ancora al livello che servirebbe per lasciar correre, e ha il vantaggio di generare esattamente i dati che servono per decidere, sei mesi dopo, quali approvazioni si possono togliere.

Un agente solo o molti: quando conviene un sistema multi-agente

La moda del momento è dividere il lavoro fra più agenti specializzati: uno cerca, uno scrive, uno controlla, uno coordina. L’architettura è elegante e in certi casi funziona, ma va scelta per un motivo, non per estetica.

Il costo nascosto del coordinamento

Ogni agente aggiunto moltiplica tre cose: le chiamate al modello, i punti in cui l’informazione può degradarsi passando da uno all’altro, e la difficoltà di capire chi ha sbagliato quando il risultato finale è sbagliato. Un sistema a cinque agenti non è cinque volte più capace: è cinque volte più difficile da diagnosticare. Vale qui l’avvertenza di Anthropic sugli agenti in generale, che «scambiano latenza e costo per prestazioni migliori» e portano «il potenziale di errori che si accumulano», moltiplicata per il numero di attori. Se un singolo passaggio ha il 90% di affidabilità, cinque passaggi in serie ne hanno il 59%.

Quando il multi-agente ha senso davvero

Tre condizioni, e servono tutte e tre. La prima: i sottocompiti sono genuinamente indipendenti, quindi possono girare in parallelo senza aspettarsi a vicenda, è il caso della ricerca su più fonti, dove ogni ramo esplora da solo e i risultati si uniscono alla fine. La seconda: ogni ruolo ha un set di strumenti diverso, e tenerli in un agente solo produrrebbe quel sovraccarico di strumenti che degrada le decisioni. La terza: esiste un criterio di verifica per il singolo ruolo, non solo per l’esito finale, altrimenti la diagnosi diventa impossibile.

Se manca anche una sola delle tre, un agente solo con strumenti ben scelti batte quasi sempre l’orchestra. Ed è la scelta giusta anche per un’altra ragione, meno tecnica: un sistema semplice si spiega a chi lo deve approvare. Un’architettura che nessuno in azienda sa raccontare in tre frasi è un’architettura che nessuno difenderà quando avrà il primo incidente.

Cosa sanno fare oggi gli agenti AI, con esempi verificabili

La domanda utile non è «cosa potranno fare», ma cosa reggono adesso. La misura più onesta che abbiamo viene da METR, che misura l’orizzonte temporale di un agente: la durata di un compito umano che il sistema completa con il 50% di probabilità. I modelli riescono quasi sempre su compiti che a un umano richiedono meno di 4 minuti, e falliscono oltre il 90% delle volte su compiti che ne richiedono più di 4 ore, con un raddoppio dell’orizzonte ogni sette mesi circa. La regola pratica che ne discende: spezza il lavoro in unità che un umano chiuderebbe in pochi minuti, e l’agente regge; dagli un progetto intero, e no.

Gli esempi di agenti AI che funzionano davvero

Gli agenti di coding sono oggi la categoria più matura e più diffusa: dei 53 progetti agentici tracciati dallo State of AI Surveyor di OWASP, 28 sono agenti di coding, con Claude Code, Gemini CLI, Codex, Cline e Aider come strumenti a crescita più rapida. Seguono l’assistenza clienti con accesso agli ordini, gli agenti di back-office che riconciliano dati fra sistemi, e la ricerca strutturata, dove l’agente naviga, legge e sintetizza. Sul canale voce abbiamo dedicato un pezzo agli agenti vocali AI applicati al call center.

Il pattern comune a tutti i casi che funzionano: dominio chiuso, strumenti pochi e ben definiti, un criterio di successo verificabile dalla macchina stessa. Dove manca il criterio di verifica, l’agente non sa di aver sbagliato.

Nota che la categoria più matura è anche quella dove il criterio di verifica è gratuito: il codice o compila o non compila, i test o passano o falliscono. Non è un caso, è la spiegazione. Quando un mestiere ha un giudice automatico, l’agente può iterare da solo fino a superarlo; quando il giudizio è umano e soggettivo, un testo che convince, una risposta che soddisfa un cliente, l’agente resta bloccato al primo tentativo, e la qualità dipende interamente da quanto era buono il prompt. Prima di scegliere il processo da affidare a un agente, chiediti se sai scrivere il test che dice se ha funzionato. Se non lo sai scrivere tu, non lo saprà valutare nemmeno lui.

L’adozione in azienda: entusiasmo alto, impianto basso

Il divario fra sperimentazione e produzione è il dato che ricorre in tutte le rilevazioni sul tema, incluse le analisi delle società di consulenza che hanno costruito practice dedicate, come quella di BCG sugli AI agent. In Italia la fotografia è quantificata dall’Osservatorio Artificial Intelligence del Politecnico di Milano: a fronte di un mercato da 1,8 miliardi di euro nel 2025, in crescita del 50%, appena il 9% delle grandi imprese ha una governance strutturata dell’AI e solo il 15% ha un progetto di adeguamento normativo in corso.

I due numeri vanno letti insieme, perché raccontano una cosa sola: si sta comprando molto più in fretta di quanto si stia organizzando. È il terreno su cui nascono i progetti che si fermano al pilota, non per limiti del modello, ma perché nessuno ha deciso chi risponde di cosa fa l’agente. Il tema del ritorno mancato lo abbiamo affrontato di petto in se l’AI generativa non genera ROI, il problema non è la tecnologia, e sul lato organizzativo in come si fa l’onboarding di un agente AI in azienda.

Cosa non sanno fare: le quattro cose su cui cadono sempre

Prima: le eccezioni. Il MIT Sloan lo dice senza giri di parole, gli agenti «faticano su compiti che gli umani gestiscono facilmente, come le eccezioni». Un caso fuori distribuzione non produce un rifiuto, produce una risposta plausibile e sbagliata. Seconda: i compiti lunghi, per il limite di orizzonte misurato da METR. Terza: il giudizio su valori in conflitto, scegliere fra soddisfare un cliente e rispettare una policy non è un problema di ragionamento, è una decisione aziendale, e va scritta come regola invece che delegata. Quarta: sapere di non sapere. Un agente che ha finito le informazioni non si ferma: continua con quello che ha, e questa è la modalità di errore che costa di più, perché è indistinguibile dal successo finché non si controlla il risultato.

Agenti AI gratis e open source: quali si possono provare senza pagare

Si può capire un agente solo costruendone uno, e per farlo non serve un budget. Il costo d’ingresso reale oggi è zero in licenze e qualche euro di chiamate al modello.

Framework open source per agenti AI

Sul fronte codice, smolagents di Hugging Face è la via più corta: libreria open source, logica dell’agente concentrata in un solo file, e un’impostazione interessante, l’agente scrive le proprie azioni come codice Python eseguibile invece che come JSON, approccio che secondo i benchmark della casa «supera nettamente» quello a chiamate JSON. Supporta modelli aperti, OpenAI, Anthropic e oltre cento provider via LiteLLM. Accanto ci sono LangGraph, CrewAI e AutoGen, tutti gratuiti da installare.

Piattaforme low-code per creare un agente AI senza scrivere codice

Chi non programma può partire da n8n, che offre nodi agente, oltre 500 integrazioni, supporto MCP nativo, checkpoint di approvazione umana ed è self-hostabile con licenza fair-code. La stessa pagina riporta il caso di un’azienda che ha messo in piedi il primo workflow in due ore. Esistono poi i livelli agentici gratuiti o inclusi degli assistenti generalisti: vale la pena leggere cosa sanno fare davvero Claude, ChatGPT e Gemini prima di scegliere.

Cosa non aspettarsi dal gratis: log, controllo dei permessi, gestione degli errori e osservabilità. Sono esattamente le parti che costano, e sono quelle che distinguono un prototipo da un sistema che qualcuno può usare.

Il primo agente in un pomeriggio: il percorso minimo

Se vuoi toccare con mano invece di leggere altre definizioni, questo è il percorso più corto che conosca, ed è a costo quasi zero. Passo uno: scegli un compito noioso, ripetitivo e verificabile che fai davvero, leggere una cartella di PDF e produrre una tabella, controllare che una lista di URL risponda, riclassificare le voci di un export. Deve essere un compito di cui sai riconoscere l’esito corretto in dieci secondi. Passo due: dai all’agente due soli strumenti, non di più. Passo tre: fallo girare venti volte sullo stesso input e conta quante volte esce il risultato giusto.

Il terzo passo è l’unico che conta davvero, ed è quello che nessun tutorial fa fare. Non stai misurando se l’agente funziona: stai misurando quante volte su venti funziona. È il numero che decide se puoi metterci sopra un processo o no, ed è anche l’unico modo per capire in prima persona perché la sezione sull’affidabilità, qui sotto, è la parte più importante della guida. Un pomeriggio speso così insegna più di dieci articoli, questo compreso.

Come creare un agente AI, e cosa serve davvero

Un agente in produzione si compone di cinque pezzi: un obiettivo scritto in modo verificabile, un modello, un insieme minimo di strumenti, una memoria, e un criterio di stop. Il quinto è quello che tutti dimenticano. Un agente senza condizione d’arresto non fallisce: cicla, e la bolletta cresce.

L’errore più comune: usare un agente dove basta un workflow

Anthropic è esplicita nel raccomandare prudenza: «ottimizzare singole chiamate all’LLM con retrieval ed esempi in-context è di solito sufficiente» per la maggior parte delle applicazioni, perché gli agenti «scambiano latenza e costo per prestazioni migliori» e portano con sé «costi più alti e il potenziale di errori che si accumulano». La sequenza corretta è: prompt singolo → catena → router → agente, e si sale di livello solo quando il livello sotto ha dimostrato di non bastare. Prima ancora conviene aver imparato a scrivere prompt che reggono: la qualità delle istruzioni resta il fattore più economico su cui intervenire.

Gli strumenti dei vendor: cosa offrono le piattaforme commerciali

Chi non vuole assemblare i pezzi a mano trova oggi kit ufficiali presso tutti i principali fornitori di modelli: OpenAI ha pubblicato un set di strumenti dedicati alla costruzione di agenti, e lo stesso hanno fatto Google, Anthropic e i grandi cloud, ciascuno con il proprio SDK, i propri strumenti integrati e i propri servizi di tracciamento delle esecuzioni.

La scelta fra kit del vendor e stack open source si riduce a una domanda sola: quanto ti costa cambiare fornitore fra dodici mesi? Un SDK proprietario accorcia il tempo al primo risultato e allunga il tempo di uscita; uno stack aperto fa il contrario. Non c’è una risposta giusta in astratto, c’è una risposta giusta rispetto a quanto è strategico il processo che stai automatizzando. Se l’agente tocca il cuore del tuo business, la portabilità vale il mese in più di lavoro. Se automatizza un adempimento periferico, il kit del vendor è la scelta economicamente razionale.

Cosa serve per portarlo in azienda

Fra il prototipo del venerdì e il sistema che tocca dati veri c’è un salto fatto di permessi, log, valutazione continua e responsabilità. I permessi vanno concessi al minimo e per singolo strumento: un agente che riconcilia fatture deve poter leggere il gestionale, non modificarlo, e ogni credenziale che gli dai va revocabile senza spegnere il sistema. I log servono a ricostruire, non a rassicurare: devono registrare quale azione è stata compiuta, con quali dati in ingresso e su decisione di quale passo del ciclo, perché è l’unico materiale con cui si spiega un incidente a chi lo subisce. E soprattutto va deciso in anticipo chi risponde delle azioni dell’agente, una persona con nome e cognome, non «l’IT»: è il punto in cui quasi tutti i piloti si fermano. Sul lato regole servono ruoli e policy scritte, ed è il tema della governance degli agenti AI fra AI Act e imprese; sul lato fornitore, il motivo per cui in questo mestiere il servizio conta più del modello.

Quanto costa tenerlo acceso, e perché il conto sorprende

La voce che spiazza chi arriva dal software tradizionale è che un agente costa a ogni esecuzione, non una volta sola. Un’applicazione classica, una volta scritta, gira a costo marginale quasi nullo; un agente consuma token a ogni passo del ciclo, e i passi non sono fissi. Un compito che di solito si chiude in quattro chiamate può richiederne venti quando qualcosa va storto, ed è esattamente nel caso peggiore, quello in cui l’agente arranca, che il conto si moltiplica.

Da qui tre accortezze che riducono la spesa più di qualunque negoziazione sul listino. Metti un tetto ai passi, così un ciclo impazzito si ferma da solo. Usa il modello grande solo dove serve: la pianificazione può richiederlo, l’estrazione di un campo da un documento quasi mai. Misura il costo per compito riuscito, non per chiamata, è l’unico numero confrontabile con il costo della persona che oggi fa quel lavoro, ed è il numero che serve per la decisione. La scomposizione completa delle voci sta in quanto costa implementare un agente AI in azienda, con il dettaglio per voce in quanto costa un agente AI aziendale.

Dove sbagliano: i limiti degli agenti AI che nessuna demo mostra

Questa è la sezione che le pagine dei vendor non scrivono, ed è quella che conta se devi decidere qualcosa.

Affidabilità: il problema non è riuscire, è riuscire ogni volta

Il benchmark τ-bench misura gli agenti su conversazioni realistiche con regole di dominio da rispettare, e introduce la metrica pass^k: la frazione di compiti risolti in tutte le k esecuzioni indipendenti. Il risultato è severo: gli agenti allo stato dell’arte riescono in meno del 50% dei compiti, e il pass^8 scende sotto il 25% nel dominio retail. Un agente che ha successo il 60% delle volte al primo tentativo è affidabile meno di una volta su quattro se gli chiedi lo stesso compito otto volte. Il MIT Sloan aggiunge il perché operativo: gli agenti «faticano su compiti che gli umani gestiscono facilmente, come le eccezioni».

La conseguenza gestionale è netta e va detta a chi firma il progetto: una demo riuscita non è un dato. Una demo è un campione di dimensione uno, scelto da chi vende. L’unica evidenza che vale è la stessa richiesta ripetuta molte volte su input reali, con il conteggio degli esiti corretti. Chiedere questo numero a un fornitore, e osservarne la reazione, è il singolo controllo più informativo di tutta la valutazione.

Sicurezza: la prompt injection è un problema architetturale, non un bug

OWASP mappa la prompt injection su sei delle dieci categorie del Top 10 per applicazioni agentiche. La causa è strutturale: i modelli «trattano il system prompt, la richiesta dell’utente e qualsiasi testo recuperato da fonti esterne come un unico flusso di token», senza modo affidabile di distinguere i comandi dai dati. Gli incidenti sono reali e la stessa rilevazione li documenta: nel 2025 un assistente di coding su Replit ha cancellato database di produzione nonostante l’istruzione esplicita di non toccare nulla, arrivando a fabbricare migliaia di record fittizi; nel marzo 2026 una backdoor sul pacchetto LiteLLM, il gateway verso i modelli usato da CrewAI, DSPy, Microsoft GraphRAG e decine di altri framework agentici, è rimasta tre ore su PyPI e ha prodotto quasi 47.000 download compromessi. La regola difensiva che OWASP propone è la «trifetta letale»: accesso a dati privati, esposizione a contenuti non fidati e capacità di comunicare all’esterno non devono coesistere senza approvazione umana.

Il punto da cui non si scappa è che nessun filtro risolve il problema, perché non esiste un modo affidabile di riconoscere un’istruzione ostile dentro un testo legittimo. Quello che funziona è togliere potere all’agente: permessi minimi e revocabili, credenziali separate per ogni strumento, un’approvazione umana sulle azioni irreversibili e un registro completo di ciò che l’agente ha fatto e con quali dati. Sono misure noiose e sono le uniche che tengono. Chi ti vende «protezione dalla prompt injection» come funzionalità sta vendendo una mitigazione parziale con il nome di una soluzione.

Agent washing: la maggior parte di ciò che si chiama agente non lo è

Gartner prevede che oltre il 40% dei progetti di AI agentica sarà cancellato entro la fine del 2027, su un sondaggio di più di 3.400 organizzazioni, e stima che fra le migliaia di fornitori che si dichiarano agentici solo circa 130 offrano capacità reali; la previsione è riportata anche nel comunicato stampa originale della società. La domanda da fare a un fornitore è una sola: chi decide la sequenza dei passi, il tuo codice o il modello? Se la risposta è «il codice», è un’automazione, utile, magari ottima, ma non un agente.

Vale la pena aggiungere una cosa che di solito non si dice: l’agent washing non è sempre un danno per il compratore. Molte aziende hanno bisogno esattamente di un’automazione robusta con un modello linguistico in un punto del flusso, e la pagherebbero volentieri se venisse chiamata con il suo nome. Il danno nasce dal disallineamento delle aspettative, si compra promettendo autonomia, si consegna un workflow, e il progetto viene giudicato fallito quando in realtà stava funzionando. Chiamare le cose con il loro nome, in questo mercato, protegge il fornitore quanto il cliente.

Le sei domande da fare prima di firmare

Se dovessi ridurre tutta questa guida a una pagina da portare in riunione, sarebbe questa lista. Sono le sei domande che separano un progetto che arriva in produzione da uno che si ferma al pilota.

Uno: chi decide la sequenza dei passi, il codice o il modello? Distingue un agente da un’automazione e allinea le aspettative prima che sia tardi. Due: qual è il tasso di successo sulla stessa richiesta ripetuta venti volte? Non la demo, la ripetizione, per la ragione misurata da τ-bench. Tre: come fa il sistema ad accorgersi di aver sbagliato? Se la risposta è «lo vede l’utente», il criterio di verifica non c’è e l’autonomia non è sostenibile.

Quattro: quali azioni può compiere senza approvazione umana, e quali no? Se non esiste una lista scritta, non è stata fatta l’analisi del rischio. Cinque: dove sono i log, chi li legge e ogni quanto? Un agente non osservato è un agente che degrada in silenzio, perché i modelli e i sistemi intorno cambiano sotto di lui. Sei: quanto costa un compito riuscito, e quanto costa oggi la persona che lo fa? È l’unico confronto che regge in un consiglio di amministrazione, e va fatto sul costo pieno, incidenti e manutenzione compresi.

Chi risponde a queste sei domande con dei numeri sta costruendo qualcosa. Chi risponde con degli aggettivi sta vendendo. Se il tuo interesse è aziendale più che concettuale, il seguito naturale di questa guida sono i tre processi aziendali in cui gli agenti AI funzionano già. Chi preferisce partire da un sistema già montato può guardare come lavora Mimír AI Agent.

Fonti:

• MIT Sloan — Agentic AI, explained: definizione di agente autonomo e limiti sulle eccezioni
• LangChain — What is an agent: l’agente come sistema che decide il control flow
• Anthropic — Building effective agents: workflow contro agenti e quando non usarli
• LangGraph — Agentic concepts: pianificazione, memoria e human-in-the-loop
• Google Cloud — What are AI agents: scala di autonomia e architettura modello/strumenti/memoria
• AWS — What is an AI agent: il ciclo in quattro fasi e la verifica del risultato
• IBM Think — AI agents: panoramica e tassonomia dei tipi di agente
• Salesforce Agentforce — AI agents: panoramica vendor sui tipi di agente
• BCG — AI agents: la practice di consulenza sull’adozione enterprise
• Model Context Protocol — documentazione ufficiale: lo standard aperto per gli strumenti
• OpenAI — New tools for building agents: il kit ufficiale per costruire agenti
• METR — Measuring AI ability to complete long tasks: l’orizzonte temporale degli agenti
• τ-bench (arXiv) — affidabilità degli agenti e metrica pass^k
• Hugging Face — smolagents: la libreria open source per agenti che scrivono codice
• n8n — piattaforma low-code con nodi agente, MCP e approvazione umana
• Osservatorio AI, Politecnico di Milano — mercato italiano e stato della governance
• Help Net Security / OWASP — prompt injection e trifetta letale, i 53 progetti agentici tracciati dallo State of AI Surveyor, gli incidenti Replit e la backdoor LiteLLM
• MarTech — Gartner: oltre il 40% dei progetti agentici sarà cancellato entro il 2027
• Gartner — comunicato stampa originale sulla cancellazione dei progetti agentici e sull’agent washing

Domande frequenti

Qual e' la differenza tra un agente AI e un chatbot?

Un chatbot risponde: capisce la domanda, genera una risposta e lascia la decisione all'utente. Un agente agisce: apre un ticket, modifica un record, invia una mail e poi verifica di averlo fatto bene. La differenza tecnica sta in chi decide la sequenza dei passi: nel chatbot e nell'automazione la decide il codice, in un agente la decide il modello a runtime.

Cosa sanno fare oggi gli agenti AI, concretamente?

Reggono bene i compiti brevi, in domini chiusi, con pochi strumenti e un criterio di successo verificabile dalla macchina. La categoria piu' matura e' quella degli agenti di coding, seguita da assistenza clienti con accesso agli ordini, riconciliazione dati di back-office e ricerca strutturata. Secondo le misurazioni di METR i modelli riescono quasi sempre su compiti che a un umano richiedono meno di 4 minuti e falliscono oltre il 90% delle volte oltre le 4 ore.

Esistono agenti AI gratis o open source?

Si', e il costo di ingresso e' praticamente zero in licenze. Sul fronte codice ci sono smolagents di Hugging Face, LangGraph, CrewAI e AutoGen; per chi non programma ci sono piattaforme low-code come n8n, self-hostabile e con supporto MCP nativo. Quello che manca nel gratis sono log, gestione dei permessi, controllo degli errori e osservabilita': esattamente le parti che distinguono un prototipo da un sistema usabile.

Quanto sono affidabili gli agenti AI?

Molto meno di quanto suggeriscano le demo. Il benchmark tau-bench misura che gli agenti allo stato dell'arte riescono in meno del 50% dei compiti, e che la percentuale di compiti risolti in tutte e otto le esecuzioni ripetute scende sotto il 25% nel dominio retail. In pratica un agente che riesce il 60% delle volte al primo tentativo e' affidabile meno di una volta su quattro se gli chiedi lo stesso compito otto volte.

Cosa serve per creare un agente AI?

Cinque pezzi: un obiettivo scritto in modo verificabile, un modello, un insieme minimo di strumenti, una memoria e un criterio di stop. Il criterio di stop e' quello che quasi tutti dimenticano, perche' un agente senza condizione di arresto non fallisce: cicla, e la spesa in token cresce. Per l'uso aziendale servono in aggiunta permessi, log, valutazione continua e una policy che dica chi risponde delle azioni compiute.

Che cos'e' l'agent washing?

E' la pratica di chiamare agente un prodotto che e' in realta' un'automazione o un workflow con un modello linguistico in un punto del flusso. Gartner stima che fra le migliaia di fornitori che si dichiarano agentici solo circa 130 offrano capacita' reali. Il danno non e' il prodotto in se', che spesso e' utile, ma il disallineamento delle aspettative: si compra promettendo autonomia e il progetto viene giudicato fallito anche quando stava funzionando.