Google Cloud ha annunciato nuove funzionalità per VPC Service Controls (VPC-SC) dedicate agli agenti AI, un aggiornamento cruciale per le organizzazioni che stanno scalando carichi di lavoro autonomi in ambiente enterprise. Questo innovativo strumento di sicurezza aiuta a stabilire un perimetro di rete robusto, fondamentale per proteggere i dati sensibili durante l'esecuzione di compiti automatizzati.
Novità chiave in VPC Service Controls
Tra le principali novità ci sono:
- Identità agenti come prima classe: è ora possibile aggiungere identità agentiche direttamente alle regole di ingresso/edgente del perimetro VPC-SC utilizzando principali IAM standard. Un singolo principal è mappato a un individuo agente, mentre un principalSet copre un ampio gruppo di agenti, permettendo politiche di accesso coerenti e auditabili.
- Controllo granulare tramite MCP: con l'introduzione degli attributi Model Context Protocol (MCP), si possono applicare regole condizionali basate su tool specifici. Ad esempio, si può consentire a un agente di leggere dati da un server MCP Workspace mentre si nega l'invio di email.
- Integrazione nativa con Gemini Enterprise Agent Platform: quando si include il piattaforma Agent Platform in un perimetro VPC-SC, il sistema blocca automaticamente l'accesso pubblico, garantendo un confine sicuro senza configurazioni aggiuntive.
Perché è importante per PMI e MSP
Per le piccole e medie imprese, l'adozione di agenti AI comporta rischi di data breach e non conformità. VPC Service Controls agisce come rete di sicurezza di ultima istanza, proteggendo contro minacce come l'exfiltration tramite prompt injection o l'uso illecito di strumenti. Il caso di Mercado Libre dimostra come questa tecnologia possa scalare in ambienti complessi, mantenendo il controllo su centinaia di progetti Google Cloud.
Protezione contro le principali minacce OWASP
VPC Service Controls affronta direttamente le minacce identificate nella Top 10 per le applicazioni LLM:
- ASI01 (Exfiltration via indirect prompt injection): blocca il trasferimento di dati a destinationi esterne rispetto al perimetro definito.
- ASI02, ASI08 (Tool misuse): previene l'uso malevolo di strumenti per trasferire dati sensibili.
- AS103 (Insider threats): interrompe operazioni di copia non autorizzate tra progetti, anche se i traffici appaiono leciti agli occhi di firewall e IAM.
Come iniziare
Le organizzazioni possono sfruttare VPC Service Controls per definire un perimetro di rete che limiti l'accesso ai servizi AI critici. La documentazione ufficiale di Google Cloud fornisce indicazioni dettagliate per configurare e gestire questi controlli, adatti sia a nuovi utenti che a ambienti enterprise complessi.
