L'intelligenza artificiale avanza a un ritmo difficile da seguire: a distanza di poche settimane arriva un modello più capace del precedente, e quasi sempre il dibattito si riduce a una domanda, quale sia il modello migliore. Ce n'è poi una seconda, meno dichiarata ma altrettanto diffusa: l'idea che un'azienda conti davvero solo se possiede un modello tutto suo.
Nella cybersecurity questa discussione ha preso una piega più netta. Si sente ripetere che un prodotto costruito su tecnologie che esistono già, dai frontier model e open-weight model agli strumenti e ai framework di terze parti, sia in qualche modo meno legittimo di uno costruito attorno a un modello sviluppato interamente in casa. Come se l'innovazione vera stesse tutta nei pesi del modello, e tutto il resto fosse soltanto un contorno tecnico.
È una premessa che vale la pena mettere in discussione.
Proviamo a porre le domande più scomode. Quante aziende possono dire, in tutta onestà, di aver addestrato un modello proprietario capace di battere i migliori modelli disponibili, anche solo in un ambito ristretto? E tra queste, quante possono mostrare benchmark riproducibili che lo dimostrino, al di là di un grafico pensato per il marketing? Costruire un modello volutamente limitato ma originale, solo per poterlo definire proprietario, non è una strategia: è un limite che si prova a far passare per un pregio.
Il punto, a nostro avviso, non è possedere ogni pezzo dello stack, ma ottenere risultati concreti sul campo. E lì il modello è una parte del sistema, non il sistema intero: ciò che determina se una soluzione di AI è utile, affidabile e sicura è l'ambiente costruito attorno al modello. Un ambiente che ha un nome.
Che cos'è un AI harness
Con AI harness si intende tutto ciò che serve a un modello per svolgere un lavoro reale, e che il modello di per sé non è: gli strumenti che può richiamare, i dati e il contesto a cui accede, la memoria che conserva lo stato tra un passaggio e l'altro, l'orchestrazione che decide la mossa successiva, le interfacce con cui una persona lo supervisiona e i guardrail che lo mantengono entro limiti sicuri.
Un modello, da solo, può ragionare e produrre testo, ma non può interagire direttamente con l'ambiente in cui dovrebbe operare. Sa descrivere come si testa un'applicazione web, però non può aprire una shell, lanciare una scansione, leggere la risposta, metterla in relazione con quanto ha già scoperto e decidere il passo seguente. Nel momento in cui serve tutto questo, il lavoro non riguarda più il modello: riguarda il sistema che lo mette in condizione di agire.
La distinzione conta perché sposta il punto in cui si concentra davvero l'ingegneria, e con essa il valore. Un modello è una capacità generica; l'harness la trasforma in un sistema che opera in un dominio preciso, con vincoli precisi e con risultati su cui si può contare. È la differenza tra un modello che sa parlare di sicurezza e un sistema in grado di condurre davvero un'attività di sicurezza.
Perché nella cybersecurity l'harness pesa più che altrove
Nella maggior parte delle applicazioni di AI il compito è produrre un artefatto: un riassunto, una bozza, una porzione di codice. Quasi sempre si tratta di un'operazione singola, in un contesto che non cambia.
Un assessment di sicurezza funziona in modo opposto. Lo stato evolve a ogni azione, il bersaglio non collabora e le conseguenze sono reali.
Ogni azione modifica ciò che si sa e ciò che si può fare dopo: un servizio scoperto ridisegna l'attack surface, una vulnerabilità confermata cambia il piano, un'evidenza raccolta a metà percorso stabilisce se un certo tentativo abbia ancora senso. Un modello che dimentica, o che non vede lo stato accumulato, non può ragionare come farebbe un professionista. C'è poi il fatto che il bersaglio reagisce: le difese rispondono, gli input vengono filtrati, i rate limit entrano in gioco e una tecnica che ieri funzionava oggi fallisce. Serve un sistema capace di osservare, adattarsi e riprovare, non di eseguire una sequenza già scritta. Infine, queste azioni vengono eseguite contro infrastrutture vere, e un agente che lancia comandi su un host in produzione ha bisogno di isolamento, di supervisione e della possibilità di essere fermato in qualsiasi momento. Su una rete di produzione non esiste un tasto per annullare.
Nessuna di queste caratteristiche arriva dal modello. Arrivano dall'harness: dagli strumenti che permettono di agire, dalla memoria che consente di accumulare conoscenza, dall'orchestrazione che tiene l'agente concentrato sull'obiettivo e dai controlli che lo rendono verificabile. In un contesto come questo, gran parte dell'intelligenza operativa sta proprio nell'harness, non nel modello.
Innovazione sul modello o innovazione sul sistema
Per migliorare un sistema di AI ci sono essenzialmente due strade.
La prima punta sul modello: se ne addestra uno più grande o più specializzato, contando sul fatto che la capacità grezza regga da sola il prodotto. È la strada che il dibattito sul "ma è proprietario?" dà per scontata come unica legittima. Ha costi enormi, invecchia in fretta man mano che lo stato dell'arte avanza e, salvo poche eccezioni, porta a un modello inferiore a quello che si può già usare gratuitamente o a noleggio.
La seconda punta sul sistema: si prendono i migliori modelli disponibili, quali che siano in un dato momento, e si costruisce intorno a loro un ambiente che li renda molto più efficaci in un lavoro reale. Strumenti migliori, contesto migliore, orchestrazione migliore, controlli migliori. È un approccio che si accumula nel tempo: ogni miglioramento dell'harness rende più efficace ogni modello collegato, e quando arriva un modello più potente se ne ereditano subito i progressi.
Abbiamo scelto la seconda strada con convinzione, e abbiamo già spiegato perché l'architettura conti più della dimensione del modello in Più intelligente, non più grande. Non è una posizione soltanto teorica: nei confronti diretti con altre piattaforme offensive basate sull'AI, il nostro sistema si colloca stabilmente tra i più efficaci e, in diversi casi documentati, supera soluzioni molto più note, come in BackBox AI vs Aikido e XBOW su Photoview e BackBox AI vs Neo su MedPortal. Sono risultati che sostengono un'idea semplice: è nel sistema, più che nel modello, che si costruisce il vantaggio.
Il nostro harness, in tre livelli
BackBox AI è composto da tre parti che insieme formano l'harness attorno al modello che ragiona. Ciascuna copre un aspetto di ciò che un harness deve offrire.
Gli strumenti: dal ragionamento all'azione
La prima cosa di cui un modello ha bisogno è un modo per agire concretamente. Nel nostro caso l'agente raggiunge i propri strumenti tramite il Model Context Protocol (MCP), lo standard aperto che si sta affermando per collegare gli agenti alle loro capacità operative. Anche questa è una decisione di sistema: con un'interfaccia standard gli strumenti e il modello restano indipendenti, e ciascuno dei due può evolvere senza costringere a riscrivere l'altro.
Attraverso questa interfaccia l'agente svolge il lavoro concreto di un assessment su una macchina reale: esegue comandi, controlla un browser, scarica e legge pagine e documenti, effettua ricerche sul web, analizza immagini, mappa le attività sulle tecniche MITRE ATT&CK e registra i finding in modo strutturato mentre procede. È qui che un vero harness si distingue da un chatbot con qualche plugin: l'agente non descrive una scansione, la esegue, ne legge l'output e decide come proseguire.
Due aspetti di questo livello contano quanto gli strumenti stessi. Ogni sessione gira in un ambiente isolato e temporaneo, così il lavoro di un utente non entra mai in contatto con quello di un altro. E le azioni più delicate possono essere sospese in attesa di un'approvazione esplicita, in modo che la differenza non sia "l'AI ha eseguito un comando" ma "l'AI ha proposto un comando e una persona lo ha autorizzato".
Il cuore del sistema: contesto, memoria e orchestrazione
Strumenti senza capacità di giudizio sono pericolosi, e il giudizio senza memoria serve a poco. È il livello di orchestrazione a trasformare il modello in un vero operatore.
Qui gira il ciclo dell'agente, che a ogni passo decide come proseguire, e lo fa attraverso profili componibili: ognuno definisce un ruolo preciso e dà accesso ai soli strumenti che quel ruolo richiede. Un profilo di red team, un analista di malware, un threat hunter e un profilo difensivo non sono lo stesso agente con istruzioni diverse, ma configurazioni distinte dell'harness, ciascuna con i privilegi minimi necessari. Limitare le capacità in base al ruolo è una scelta di governance, applicata dal sistema e non semplicemente richiesta in un prompt.
La memoria lavora su due piani. Lo stato duraturo di un'attività, cioè i finding, i task, la conoscenza raccolta e i report, viene salvato in un workspace che sopravvive ai singoli turni e alle sessioni, così il sistema accumula conoscenza come farebbe un analista nel corso di un lavoro. Quanto di questa storia raggiunge il modello a ogni turno è invece una scelta deliberata e regolabile: inviare tutto a ogni passaggio non è né necessario né sostenibile. Decidere con cura quanto contesto passare è una delle leve principali sia sulla qualità delle risposte sia sull'efficienza complessiva del sistema.
Un punto merita particolare attenzione: questo livello è indipendente dal modello per scelta progettuale. Può appoggiarsi ai frontier model commerciali quando sono la soluzione migliore, e può funzionare interamente con open-weight model all'interno di un'infrastruttura privata quando privacy, sovranità o requisiti di compliance lo impongono, un tema che abbiamo approfondito in Sovranità tecnologica nell'era dell'AI. Il modello può cambiare nel tempo; l'architettura che lo circonda resta, e continua a sfruttare i progressi dei modelli che arrivano.
L'ambiente operativo: la supervisione umana
In sicurezza, l'autonomia senza supervisione non è un pregio ma un rischio. Il terzo livello è l'ambiente in cui una persona mantiene il controllo del lavoro.
Tutto parte da una procedura guidata che trasforma un'intenzione ancora generica in un compito ben definito: obiettivo, target, perimetro e il profilo più adatto. Da lì, ogni azione dell'agente viene mostrata mentre avviene, così l'operatore vede i comandi, gli output e il ragionamento, invece di doversi fidare di una scatola nera. Il workspace, con i suoi task, i grafi, la conoscenza, i report e i finding, resta consultabile in ogni momento. E i comandi principali restano nelle mani della persona: approvare o rifiutare un'azione, fissare un tetto di spesa per una conversazione, pianificare un'attività non presidiata, oppure cambiare il modello che sta dietro a tutto.
È questo che significa davvero human-in-the-loop, cioè mantenere una persona nel processo decisionale, quando lo si progetta sul serio invece di limitarsi a dichiararlo. All'agente spetta il volume di lavoro; al professionista restano il giudizio, la responsabilità e la possibilità di fermare tutto.
I tre livelli al lavoro: un assessment dall'inizio alla fine
I livelli acquistano senso solo per come collaborano tra loro. Prendiamo una richiesta concreta: valutare la sicurezza di un'applicazione web.
L'operatore la imposta nella procedura guidata, scegliendo obiettivo, perimetro e profilo. Il livello di orchestrazione prepara il ruolo giusto, gli assegna esattamente gli strumenti a cui ha diritto e predispone o collega l'ambiente isolato in cui l'agente lavorerà. L'agente inizia ad agire tramite gli strumenti: enumera la superficie esposta, sonda gli endpoint, legge ciò che riceve e registra ogni finding come stato duraturo. Quando arriva a un comando potenzialmente dannoso, si ferma e attende l'approvazione. Ogni passaggio torna in tempo reale all'operatore, che osserva, corregge la rotta e conferma. A lavoro concluso, lo stesso sistema raccoglie i finding in un report pronto per il cliente.
In nessun momento di questo percorso il risultato dipende da quale modello specifico stia lavorando dietro le quinte. Ciò che conta è che l'harness abbia fornito a un modello capace gli strumenti per agire, il contesto per ragionare, l'ambiente in cui operare e i controlli per restare sicuro. Sostituendo domani quel modello con uno più potente, lo stesso percorso migliora senza bisogno di altre modifiche.
Prestazioni, privacy e costi
Un harness ben progettato non è soltanto più capace: è anche più efficiente, più rispettoso della privacy e più controllabile. E sono vantaggi concreti per chi lo usa, non semplici dettagli tecnici.
L'efficienza nasce proprio da questa gestione del contesto. Fornendo al modello solo ciò che gli serve in quel momento, il sistema produce risultati di livello professionale senza far crescere a dismisura i costi in token, ed è ciò che rende la sicurezza assistita dall'AI accessibile e non un lusso. I costi, poi, vengono contabilizzati man mano che si consumano, con tetti di spesa per conversazione e limiti di frequenza: la spesa resta prevedibile per come è progettato il sistema, invece di arrivare come sorpresa a fine mese.
Privacy e sovranità sono la conseguenza diretta dell'indipendenza dal modello. Le attività più delicate possono restare per intero dentro un'infrastruttura controllata dal cliente, senza che i dati lascino il suo perimetro. È così che lo stesso prodotto risponde a esigenze opposte: chi cerca i modelli più avanzati sul mercato e chi, per vincoli normativi o di riservatezza, non può far uscire i dati dalla propria organizzazione.
Il controllo, infine, deriva dal fatto che i guardrail sono parte dell'architettura: profili con privilegi minimi, approvazione umana sulle azioni delicate, isolamento tra le sessioni, limiti di spesa e una traccia di audit completa. Non sono impostazioni aggiunte alla fine, ma elementi strutturali del sistema.
Il futuro della cybersecurity agentica
Si continuerà a discutere su quale sia il modello migliore, e la risposta continuerà a cambiare, perché un modello più potente è sempre a pochi mesi di distanza. Legare il proprio prodotto all'idea di essere quelli che possiedono quel modello è una corsa che quasi nessuna azienda può vincere, e che nessuna può vincere per sempre.
Esiste però una scommessa più solida, e sta tutta in ciò che circonda il modello.
Nella cybersecurity basata sull'AI il vantaggio non nasce dal modello che possiedi, ma dall'ambiente che costruisci intorno ai migliori modelli disponibili per renderli affidabili, controllabili e sicuri.
Raffaele Forte, CEO di BackBox Labs
Quell'ambiente è l'harness, ciò che trasforma un modello generico in un sistema operativo per la cybersecurity: qualcosa a cui affidare l'esecuzione del lavoro, che si può supervisionare mentre agisce e che migliora ogni volta che migliorano i modelli sottostanti. L'intelligenza dei prossimi anni non apparterrà a chi addestra il modello più grande, ma a chi costruisce il sistema migliore attorno a esso.
Se vuoi vedere come funziona nella pratica, scrivici.