MCP 2.0 spiegato: proteggere gli agenti di IA prima che si proteggano da soli

Nota: il termine «MCP 2.0» è qui utilizzato in senso colloquiale per indicare l’evoluzione di nuova generazione del Model Context Protocol. Lo stesso MCP utilizza un sistema di numerazione delle versioni basato sulla data (ad esempio, l’ultima versione disponibile al momento della pubblicazione del presente documento è la 2025-11-25) e non definisce ufficialmente una versione 2.0.

Gli agenti di intelligenza artificiale non si limitano più a rispondere alle domande: agiscono concretamente. Leggono i file. Modificano i sistemi. E, in alcuni casi, prendono decisioni che hanno ripercussioni su un’intera azienda. Ecco perché il Model Context Protocol (MCP) 2.0 è così importante.

In una recente puntata di STRIVE, la serie di Commvault dedicata alla leadership di pensiero in materia di preparazione informatica, ho incontrato Werner Nel, responsabile della sicurezza e dell’intelligenza artificiale presso Commvault, per approfondire quali siano i veri cambiamenti apportati dall’MCP 2.0 e perché i responsabili della sicurezza non possano permettersi di considerarlo un semplice aggiornamento tecnico.

Non si tratta di una discussione teorica. È un’analisi concreta di come le aziende possano promuovere l’innovazione nel campo dell’intelligenza artificiale senza ampliare il proprio raggio d’azione.

Punti chiave: cosa cambia davvero con MCP 2.0

• MCP 2.0 segna il passaggio dall’adozione dell’intelligenza artificiale alla responsabilità.
• OAuth può consentire un accesso con privilegi minimi agli agenti di intelligenza artificiale.
• Gli schemi strutturati possono contribuire a ridurre il rischio di iniezione di prompt e di abusi.
• I flussi di richiesta possono prevedere punti di pausa fondamentali per le azioni ad alto rischio.
• MCP 2.0 può contribuire a migliorare la sicurezza, ma non elimina il rischio.
• È fondamentale comprendere il concetto di autorità dell’agente e il suo ambito di azione.

Perché MCP 2.0 rappresenta una svolta

La versione 1.x di MCP era incentrata sull’adozione. Ha offerto alle aziende un modo per integrare i modelli di IA con strumenti e dati reali. Ma, come spiega Werner, quella prima ondata non era stata concepita per rispondere alla domanda più difficile: come possiamo consentire agli agenti di IA di svolgere un lavoro concreto all’interno dell’azienda senza che diventino un rischio per la sicurezza? MCP 2.0 rappresenta il primo vero tentativo del settore di rispondere a questa domanda.

Anziché concentrarsi esclusivamente sulla connettività, l’attenzione si sposta sull’autorizzazione, il controllo e la visibilità: tre aspetti particolarmente cari ai team di sicurezza, soprattutto ora che gli agenti stanno passando dall’essere semplici assistenti in sola lettura a diventare attori dotati di potere effettivo.

I tre cambiamenti fondamentali in materia di sicurezza

1. OAuth arriva su MCP. MCP 2.0 introduce il supporto per OAuth, offrendo alle aziende un metodo standardizzato per assegnare autorizzazioni e applicare il principio del privilegio minimo. Anziché basarsi su vaghe ipotesi di fiducia, è possibile limitare gli agenti esattamente a ciò che sono autorizzati a fare, e nient’altro.
2. Gli schemi strutturati contribuiscono a ridurre il rischio di iniezione di prompt. Gli schemi strutturati funzionano come un elenco di autorizzazioni per le azioni degli agenti. Se uno strumento non è esplicitamente definito nello schema, non verrà eseguito. Ciò può contribuire a ridurre il rischio di iniezione di prompt e altre tecniche di manipolazione che erano più facili da sfruttare nelle implementazioni precedenti.
3. I flussi di richiesta aggiungono un “pulsante di pausa”. I flussi di richiesta consentono di mettere in pausa i flussi di lavoro durante l’esecuzione, in modo che un’operazione ad alto rischio possa richiedere una conferma, una convalida o persino l’escalation delle credenziali. Ciò può aiutare i team a passare da un approccio basato sul “registrare e sperare” a un controllo più consapevole delle azioni sensibili.

Anteprima: MCP 2.0 in azione

Questa anteprima evidenzia perché l’autorità, l’ambito di applicazione e la reversibilità sono le tre questioni più importanti che le aziende dovrebbero porsi quando implementano agenti di IA.

Le lacune che MCP 2.0 non colma (e perché è importante)

MCP 2.0 rappresenta un grande passo avanti, ma non è certo il traguardo finale. Come sottolinea Werner in STRIVE, esistono ancora notevoli lacune di cui le aziende devono tenere conto nelle implementazioni concrete. Ad esempio, le aziende non sono ancora in grado di dimostrare in modo crittograficamente ineccepibile che un server MCP sia l’originale autentico (rispetto a un clone o a una copia modificata). Allo stesso modo, anche se il protocollo migliora l’autorizzazione e il controllo degli input, le organizzazioni devono comunque considerare gli strumenti di firma e i file binari, nonché l’ambiente in cui vengono eseguiti i server e i modelli MCP, poiché una compromissione può tradursi in un accesso esteso a seconda di come viene implementato. In sintesi: l’MCP 2.0 migliora il protocollo, ma le organizzazioni devono comunque adottare decisioni oculate in materia di fiducia, contenimento, monitoraggio e supervisione.

Un semplice quadro di riferimento per la valutazione del rischio degli agenti di intelligenza artificiale

Uno degli aspetti più pratici dell’episodio è il modello di valutazione dei rischi in tre domande proposto da Werner, che i CISO e gli architetti possono mettere in pratica immediatamente:

• Quali sono i poteri del mio agente?
• Qual è l’ampiezza del raggio d’azione dell’esplosione?
• In che misura le misure adottate sono reversibili?

Queste domande aiutano i team a passare da discussioni generiche sui «rischi dell’IA» a decisioni concrete in materia di autorizzazioni, contenimento e gestione delle azioni ad alto impatto che potrebbero non essere facili da annullare.

Guarda l’episodio completo di STRIVE

Questo blog ne offre solo un assaggio. Nel podcast completo di STRIVE, della durata di 20 minuti, potrete ascoltare:

• Perché MCP 2.0 si è evoluto così rapidamente.
• Quali dovrebbero essere le priorità dei CISO in questo momento.
• Quale potrebbe essere il futuro di MCP 3.0.
• Come i team di sicurezza possono stare al passo con la crescente autonomia degli agenti.

Guarda l’episodio completo di STRIVE su Readiverse. Approfondisci l’argomento e valuta il tuo livello di preparazione.

Domande frequenti

D: Che cos’è MCP 2.0? R: MCP 2.0 è un protocollo aggiornato che regola le modalità di interazione dei modelli di IA con gli strumenti e i dati aziendali, ponendo particolare attenzione alla sicurezza, all’autorizzazione e al controllo. D: In che cosa differisce MCP 2.0 da MCP 1.x?

R: MCP 1.x era incentrato sulla connettività e sull’onboarding. MCP 2.0 dà la priorità alla sicurezza di tali interazioni. D: MCP 2.0 elimina i rischi per la sicurezza legati all’intelligenza artificiale? R: No. Può contribuire a migliorare le pratiche di sicurezza, ma deve essere affiancato da un’architettura solida e da una governance efficace.

D: Che cos’è un flusso di richiesta di conferma? R: Un flusso di richiesta di conferma consente ai flussi di lavoro basati sull’intelligenza artificiale di sospendersi per richiedere una conferma prima di eseguire azioni ad alto rischio. Chris Mierzwa è direttore senior del marketing di portafoglio presso Commvault.

Blog correlati

• La frontiera causale: colmare il divario tra intelligenza e resilienza
• Le ultime novità di Arlie: il tuo assistente IA rinnovato e migliorato
• Il punto di vista di un CIO: rafforzare la resilienza aziendale nell’era dell’intelligenza artificiale
• Data Activate: Sfruttare il potenziale dei dati affidabili per l’innovazione nell’IA