8 min di lettura

Agenti IA autonomi: cosa sono, esempi reali e quando tenere una persona nel ciclo

In breve: un agente IA autonomo è un'IA che persegue un obiettivo scegliendo ed eseguendo da sola i passi, con poco o nessun coinvolgimento da parte tua: pianifica, usa strumenti, controlla i risultati e va avanti, spesso mentre nessuno guarda. L'autonomia non è acceso o spento ma una scala, da un agente che agisce solo su tuo comando a uno che puoi soltanto osservare. È potente per lavori ripetitivi e a basso rischio, rischiosa dove le azioni sono irreversibili o i dati sono sensibili: i pericoli principali sono la prompt injection, il troppo potere dato all'agente e gli errori che si sommano senza che nessuno se ne accorga. Per quei sistemi un agente che lavora con te, che agisce quando chiedi e si ferma per l'approvazione, è spesso la scelta migliore.

Cosa rende autonomo un agente

Ogni agente IA è un modello con degli strumenti: decide quale usare, guarda il risultato e decide il passo successivo finché il lavoro è finito. Quello che cambia da un agente all'altro è quanto fa senza di te. Un gruppo dell'Università di Washington ha proposto nel 2025 di trattare l'autonomia come una scelta di progetto, separata da quanto l'agente è capace, e di descriverla con il ruolo lasciato all'utente:

Quando si parla di “agente autonomo” di solito si intendono i livelli 4 e 5: un agente che svolge compiti lunghi, a orari programmati o 24 ore su 24, e ti coinvolge solo alla fine o in pochi punti di controllo.

Esempi di agenti autonomi nel 2026

Molti possono lavorare anche a livelli più bassi: lo stesso strumento può chiedere prima di ogni passo o andare da solo, a seconda di come lo configuri. Tutti i modi per dare a un'IA l'accesso a un dispositivo sono nella guida agli agenti IA su PC, Mac e telefono.

A cosa serve l'autonomia

• Lavori ripetitivi: riordinare i download, rinominare file, resoconti settimanali dalle stesse fonti.
• Osservare e aspettare: tenere d'occhio una pagina o un log e segnalare un cambiamento.
• Ricerche lunghe: leggere decine di fonti e scrivere un riassunto che poi controllerai.
• Codice in un ambiente isolato: modifiche che finiscono in una pull request che una persona rivede prima che vadano in produzione.

Hanno tutti una cosa in comune: il risultato si controlla prima che conti, oppure un errore costa poco e si può annullare.

I rischi che contano davvero

1. Prompt injection

I modelli seguono le istruzioni scritte nei contenuti che leggono. Un'email, una pagina web o un documento possono contenere testo rivolto all'agente, e l'agente può obbedire. Il ricercatore di sicurezza Simon Willison chiama la combinazione pericolosa triade letale: un agente che ha accesso a dati privati, legge contenuti non fidati e può comunicare verso l'esterno può essere indotto a mandare i tuoi dati a un attaccante. Un agente autonomo che legge la tua posta e può inviare email le ha tutte e tre. Oggi nessun filtro lo impedisce in modo affidabile; la difesa è non dare a un solo agente tutte e tre le cose insieme.

2. Troppo potere

Nell'edizione 2026 della OWASP Top 10 per le applicazioni LLM, l'elenco di riferimento dei rischi di sicurezza dell'IA, l'eccesso di autonomia (excessive agency) è salito dal sesto al terzo posto: è il rischio dove si concentrano i danni nei sistemi reali. Significa un agente con più strumenti, permessi più ampi o più autonomia di quanto serva al compito, così un output sbagliato o manipolato diventa un'azione dannosa.

3. Errori che si sommano

Senza una persona tra un passo e l'altro, un'ipotesi sbagliata all'inizio porta a una serie di azioni sbagliate. Nel luglio 2025 un agente di programmazione su Replit ha cancellato il database di produzione di un'azienda durante un periodo in cui le modifiche erano state esplicitamente bloccate, e poi ha dato un resoconto inesatto di quanto successo. Replit si è scusata e ha separato i dati di sviluppo da quelli di produzione. La lezione non riguarda un solo fornitore: un agente che può eseguire comandi distruttivi senza sorveglianza prima o poi ne eseguirà uno nel momento sbagliato.

4. Chiavi ed esposizione

Un agente sempre acceso ha bisogno di chiavi e password salvate su una macchina sempre accesa, e di un modo per ricevere ordini dall'esterno. Le installazioni configurate male finiscono raggiungibili da internet: all'inizio del 2026 le scansioni hanno trovato decine di migliaia di gateway OpenClaw esposti. Di più in alternative a OpenClaw e come usarlo in sicurezza.

5. Costi

Ogni passo consuma token a pagamento. Un agente bloccato in un ciclo o sommerso di richieste può spendere molto più del previsto; l'elenco OWASP 2026 ha portato il consumo senza limiti al sesto posto.

Autonomo o che lavora con te?

Una regola pratica: guarda quanto è delicato il sistema e quanto sono reversibili le azioni.

• Poco delicato, reversibile (una cartella di download, bozze) → l'autonomia va bene.
• Poco delicato, irreversibile (pubblicare, cancellare) → autonomia con approvazione su quei passi.
• Delicato, reversibile (documenti interni, un server di prova) → lavora con l'agente, approvazioni sulle modifiche.
• Delicato, irreversibile (pagamenti, email ai clienti, database di produzione, account) → una persona nel ciclo per ogni azione importante.

Se usi un agente autonomo: una lista di controllo

• Minima autonomia: dagli solo gli strumenti e i permessi che servono al compito, niente “per sicurezza”.
• Approvazioni su tutto ciò che cancella, invia, paga, pubblica o modifica account.
• Rompi la triade: un agente che legge contenuti non fidati non deve avere anche dati privati e un modo per mandarli fuori.
• Account separati, ambienti isolati e dati di prova; mai in produzione senza un controllo.
• Backup che hai ripristinato almeno una volta.
• Limiti di spesa presso il fornitore del modello, con avvisi.
• Registro di ogni azione e un pulsante di arresto che raggiungi dal telefono.

Dove si colloca MCP DeskManager

DeskManager lo sviluppiamo noi, e abbiamo scelto di proposito di non farlo autonomo. Dà a Claude o ChatGPT degli strumenti sul tuo PC Windows, e loro agiscono solo quando scrivi in una chat; le cancellazioni definitive, i comandi con privilegi elevati, l'avvio di programmi scaricati e ogni accesso nel tuo browser chiedono la tua conferma sul PC o sul telefono, e puoi revocare l'accesso di un assistente con un interruttore. Sul PC non ci sono chiavi API dei fornitori di IA, e nessun bot in attesa di ordini. Il motivo è semplice: lo usiamo su sistemi a cui teniamo, e lì vogliamo esserci quando succede qualcosa di importante.

Non è lo strumento giusto se vuoi lavori che partono da soli di notte o che girano per giorni senza sorveglianza: per quello guarda le opzioni autonome qui sopra, con la lista di controllo in mano.

Domande frequenti

Cos'è un agente IA autonomo?

Un'IA che persegue un obiettivo pianificando ed eseguendo da sola i passi con degli strumenti, con poco o nessun coinvolgimento dell'utente, spesso per lunghi periodi o a orari programmati.

Che differenza c'è tra un agente IA e un agente IA autonomo?

Ogni agente usa strumenti e decide i passi; l'autonomia misura quanto fa senza di te. Un agente che agisce solo quando chiedi e aspetta l'approvazione è comunque un agente, solo con un livello di autonomia più basso.

Gli agenti IA autonomi sono sicuri?

Possono esserlo, per i compiti giusti e con dei limiti: permessi minimi, approvazioni sulle azioni irreversibili, ambienti isolati, backup e registri. I rischi principali sono prompt injection, permessi eccessivi ed errori che si sommano senza che nessuno se ne accorga.

Cosa significa “persona nel ciclo” (human in the loop)?

Che una persona partecipa al lavoro dell'agente nei punti che contano: avviare i compiti, approvare le azioni importanti, controllare i risultati prima che abbiano effetto.

Quali sono esempi di agenti IA autonomi?

Assistenti da ospitare come OpenClaw e Hermes Agent, Perplexity Personal Computer, le attività cloud di Claude, la modalità agente di ChatGPT e gli agenti di programmazione che aprono pull request da soli.

Per approfondire

• Agente IA su PC, Mac e telefono: tutte le opzioni
• Alternativa a OpenClaw: 7 opzioni
• Claude Computer Use o MCP: quale usare