Zscaler, lo Zero Trust alla prova degli agenti AI. L’intelligenza artificiale sta cambiando la cybersecurity mentre molte aziende stanno ancora adattando le proprie difese a infrastrutture ormai distribuite. Gli utenti lavorano da luoghi diversi, le applicazioni si sono spostate nel cloud e il perimetro aziendale ha perso progressivamente consistenza. Ora agli accessi compiuti dalle persone si aggiungono quelli degli agenti AI, capaci di interagire con applicazioni, dati e altri sistemi senza un intervento umano continuo.
È su questo passaggio che si sono concentrate alcune delle riflessioni emerse in occasione del Summer Summit Roma 2026 di Zscaler, appuntamento dedicato ai partner dell’ecosistema della cybersecurity. A raccontare come cambia la protezione delle imprese sono Elena Accardi, Country Manager di Zscaler, e quattro esponenti del team italiano dell’azienda: Marco Catino, Senior Manager, Sales Engineering; David Cenciotti e Alberto Zampieri, Senior Sales Engineer; Stefano Bucci, Sales Engineer.
Dai loro contributi emerge una lettura comune: occorre superare definitivamente l’idea che quanto si trova all’interno della rete aziendale possa essere considerato affidabile e verificare ogni connessione sulla base dell’identità, del dispositivo utilizzato, della destinazione, dei dati coinvolti e del livello di rischio rilevato in quel preciso momento.
[L’estate è il momento giusto per ripensare la sicurezza. Parti da un approccio Zero Trust e scopri tutte le soluzioni Zscaler sul sito ufficiale.]
Quando dietro un’identità non c’è più una persona
Elena Accardi descrive l’AI agentica come l’onda più rapida incontrata finora dall’industria informatica. Il punto di discontinuità riguarda soprattutto l’identità digitale. Se tradizionalmente a un’identità corrispondeva una persona, oggi può esserci un agente autonomo che accede a un’applicazione, consulta informazioni, esegue attività e comunica con altri sistemi.
“Oggi l’intelligenza artificiale sta trasformando completamente il tema dell’identità digitale. Se prima eravamo abituati a trovare un essere umano dietro ogni identità, ora può esserci un agente autonomo. Diventa quindi essenziale estendere lo Zero Trust anche a questo nuovo mondo”, spiega Accardi.
Lo Zero Trust deve quindi estendersi oltre gli utenti e i workload, fino a comprendere gli agenti AI e tutte le interazioni che questi generano. Significa stabilire quali risorse possano utilizzare, quali dati possano vedere, quali azioni siano autorizzati a compiere e in quali condizioni sia necessario bloccarli.
Zscaler sta affrontando questa evoluzione anche attraverso Project AI-Guardian, iniziativa che riunisce piattaforma tecnologica, system integrator e alleanze con operatori dell’ecosistema AI. L’obiettivo è offrire alle imprese visibilità sugli asset di intelligenza artificiale, individuare gli utilizzi non governati e applicare controlli Zero Trust alle identità e ai flussi di dati generati dai nuovi sistemi agentici.
Accardi collega questa evoluzione anche al rapporto costruito da Zscaler con i clienti. L’azienda registra un Net Promoter Score pari a +70, un valore che, secondo la manager, riflette sia il grado di soddisfazione sia la progressiva estensione della piattaforma a nuove funzioni e nuovi ambiti di protezione.
Il rischio dell’inerzia tecnologica secondo Zscaler
La trasformazione dell’identità rende necessario rivedere anche decisioni tecnologiche che potevano essere corrette nel momento in cui sono state prese. Per Marco Catino, l’errore più frequente consiste proprio nel non rimettere in discussione architetture e strumenti già adottati.
“Ogni azienda compie le proprie valutazioni e prende decisioni che possono essere le migliori in quel preciso momento. La tecnologia, però, evolve molto velocemente e l’intelligenza artificiale ha accelerato questa evoluzione oltre ciò che ritenevamo possibile. L’errore è lasciare che prevalga l’inerzia e non rivalutare le proprie scelte”, osserva Catino.
Restare legati a un modello costruito sulla rete significa continuare a trattare come affidabile ciò che si trova al suo interno e concentrare i controlli sui punti di ingresso. Lo Zero Trust parte invece dall’assenza di fiducia implicita: ogni richiesta di connessione viene osservata e valutata prima di essere autorizzata.
“Zero Trust significa assenza di fiducia implicita. Ogni richiesta di connessione deve essere verificata e valutata sulla base dell’identità, del dispositivo, della destinazione e del contesto. Solo dopo questa verifica si decide se autorizzarla oppure bloccarla”, precisa Catino.
Il modello Zero Trust supera l’estensione della rete attraverso una VPN e affida a un broker il compito di mettere in relazione ciascun soggetto autorizzato esclusivamente con l’applicazione o la risorsa di cui ha bisogno. L’utente non entra nella rete e non ottiene la possibilità di spostarsi al suo interno: riceve un accesso puntuale, condizionato e continuamente verificato.
Dalla difesa del perimetro alla gestione dinamica del rischio
A sua volta, David Cenciotti invita a considerare esposizione alle minacce, utilizzo dell’AI, protezione dei dati e accesso degli utenti come parti dello stesso problema. Affrontarle separatamente conduce alla moltiplicazione di strumenti, console e processi che faticano a restituire una visione complessiva del rischio.
“Molte volte osservo presso i clienti un approccio segmentato, a silos, nel quale viene affrontata una problematica alla volta. Non è il modo più efficace per gestire temi che riguardano la cybersecurity. Esposizione alle minacce, applicazioni AI e accesso sicuro degli utenti devono essere considerati come un unico problema”, afferma Cenciotti.
La difesa tradizionale della rete presupponeva un perimetro riconoscibile e la collocazione dei controlli in alcuni punti prestabiliti. Nel cloud e nel lavoro ibrido, la posizione dell’utente perde parte del proprio significato. Diventano centrali l’identità, il contesto della richiesta e la capacità della sicurezza di adattarsi a condizioni che possono cambiare durante la stessa sessione.
“La difesa della rete è un concetto ormai obsoleto, legato alla presenza di un perimetro specifico e all’applicazione delle contromisure in punti discreti dell’infrastruttura. Nel modello Zero Trust diventano centrali l’identità, la gestione del rischio e una sicurezza dinamica, capace di adattarsi a condizioni in continua evoluzione”, aggiunge.
L’approccio Zero Trust porta quindi il controllo vicino alla connessione e al dato, valutando ogni volta chi chiede accesso, da quale dispositivo, verso quale applicazione e con quale profilo di rischio.
Zscaler: bisogna mettere in sicurezza l’uso dell’AI
Del resto, le domande ricevute più frequentemente da Alberto Zampieri mostrano quanto la questione sia già concreta. Le imprese vogliono sapere quali applicazioni AI utilizzino i dipendenti, come controllarne l’accesso e, soprattutto, quali informazioni vengano inserite nei prompt, trasferite ai modelli o impiegate dai nuovi workflow.
“La domanda che le aziende ci rivolgono più spesso è come abilitare l’utilizzo dell’intelligenza artificiale in modo sicuro. Vogliono conoscere tutte le applicazioni AI usate dai dipendenti, controllarne l’accesso e capire quali dati vengano effettivamente messi in gioco”, racconta Zampieri.
L’esigenza è rendere possibile un utilizzo governato dell’intelligenza artificiale. Occorre riconoscere le applicazioni adottate, distinguere quelle autorizzate da quelle sconosciute, applicare policy diverse in base all’utente e impedire che dati critici, proprietà intellettuale o informazioni personali vengano esposti all’esterno.
Zampieri mette inoltre in discussione l’idea che una maggiore sicurezza dipenda dall’aggiunta continua di prodotti. VPN, firewall, antivirus e sistemi di prevenzione delle intrusioni possono svolgere funzioni specifiche, ma la loro presenza non dimostra che l’organizzazione abbia realmente ridotto la propria superficie di attacco.
“È un falso mito pensare che, per migliorare la sicurezza, sia sempre necessario aggiungere nuove soluzioni. Le aziende non dovrebbero chiedersi quanti prodotti possiedono, ma se siano davvero in grado di ridurre la superficie di attacco e minimizzare il rischio”, sottolinea.
Visibilità e competenze per governare gli agenti
Lo scenario è in evoluzione e secondo Stefano Bucci, le richieste delle aziende si stanno spostando verso la governance dell’AI: conoscere gli strumenti utilizzati dagli utenti, censire agenti, modelli linguistici e server MCP, assegnare responsabilità e rendere visibili le attività a chi deve governarle.
“Nei nostri incontri il tema principale è sempre più spesso come governare l’intelligenza artificiale e conoscerne l’utilizzo, sia da parte degli utenti sia sul versante agentico. Occorre offrire a chi governa questi sistemi visibilità su ciò che viene utilizzato, su quali attività possano essere svolte e a quali condizioni”, spiega Bucci.
La componente tecnologica si accompagna al lavoro dei partner, chiamati a intervenire nella prevendita, nell’implementazione e nella gestione successiva. Per Zscaler, la certificazione delle competenze permette al canale di operare direttamente sulla piattaforma e di seguire i clienti anche nelle fasi più complesse della trasformazione.
“Abbiamo sviluppato molto il nostro canale, lavorando con partner fortemente focalizzati sulla piattaforma e capaci di offrire un supporto importante dalla prevendita alla delivery. Avere competenze certificate e vicine ai clienti rende la nostra presenza sul mercato ancora più solida”, conclude.
