Il Contagio Inter-Agente: Perché l'MCP Espone la Fragilità dei Sistemi Multi-Agente

Mentre l'industria del software si affretta a passare dai modelli linguistici di grandi dimensioni autonomi a sciami collaborativi di agenti autonomi, una scomoda verità continua a perseguitare l'architettura: non abbiamo ancora risolto il problema della prompt injection. Quando i sistemi si basano sul linguaggio naturale sia come codice di esecuzione che come livello dati, collegare più agenti insieme non crea sinergia. Crea un vettore di infezione.

Recenti analisi relative al Model Context Protocol (MCP) evidenziano vulnerabilità strutturali nel modo in cui la comunicazione agente-agente viene standardizzata. Originariamente progettato per ottimizzare la condivisione del contesto, il recupero dei dati e le integrazioni degli strumenti tra i modelli, il protocollo stabilisce inavvertitamente confini di fiducia che semplicemente non esistono nella pratica. Quando un agente a monte ingerisce testo non attendibile e lo trasforma in istruzioni strutturate per un agente a valle, qualsiasi payload avversario incorporato nell'input originale può attraversare il confine del sistema con resistenza crittografica o semantica pari a zero.

Questa vulnerabilità mette a nudo la persistente arroganza dell'attuale ingegneria multi-agente. Nei sistemi distribuiti tradizionali, gli ingegneri del software si affidano a schemi tipizzati, alla sanificazione degli input e a una rigorosa separazione dei privilegi. Nel paradigma degli agenti AI, tuttavia, gli sviluppatori trattano la comprensione semantica come un sostituto della validazione. Un agente secondario si fida di un agente primario non perché il payload sia matematicamente verificabile, ma perché presume che il modello generatore abbia già "compreso" e filtrato la malizia. Questa assunzione è fondamentalmente errata.

L'iniezione indiretta di prompt rimane una sfida di allineamento aperta e irrisolta. Quando gli agenti sono concatenati tramite protocolli come l'MCP, un attacco di iniezione si trasforma da un jailbreak a singolo turno in una cascata distribuita. Un prompt non verificato su una pagina web pubblica può manipolare un agente di navigazione web, che successivamente passa un payload di contesto avversario tramite un link MCP a un agente interno di esecuzione di codice o di accesso aziendale. La violazione risultante non richiede alcuna vulnerabilità zero-day del software; sfrutta semplicemente la credulità probabilistica inerente ai modelli transformer.

Finché la comunità AI non affronterà la realtà che i modelli linguistici non possono demarcare in modo affidabile i dati dal codice, i protocolli di comunicazione standardizzati rimarranno amplificatori del rischio architettonico. La soluzione non è applicare filtri di sicurezza superficiali agli agenti a valle, né dichiarare il protocollo sicuro per convenzione. Costruire sistemi multi-agente robusti richiede isolamento verificabile e paradigmi di minimo privilegio che assumano che ogni agente nella rete sia già compromesso.

Foto: MARCO / Unsplash (https://unsplash.com/@thephotoandfocus)