Cisco ha annunciato il rilascio in open source di Project Quarry, uno strumento progettato per individuare gli attacchi condotti da agenti di IA. Il suo principio si basa meno sul rilevamento di azioni isolate che sull’analisi di come una serie di azioni, apparentemente innocue, possa rivelare un’intenzione malevola.
I sistemi di sicurezza tradizionali valutano generalmente ogni azione separatamente per determinare se sia pericolosa o benigna. Questo approccio raggiunge i suoi limiti con gli agenti di IA, cioè programmi capaci di concatenare autonomamente più azioni, quando l’intenzione malevola appare solo nel corso di una sequenza. Cisco fa l’esempio della frode bancaria: una banca analizza ogni acquisto isolatamente, mentre il rilevamento delle frodi deve individuare schemi distribuiti su più acquisti, a volte in luoghi diversi e in momenti improbabili. «La sicurezza degli agenti ha bisogno della stessa combinazione di rilevamento di pattern e prove, applicata ai passaggi compiuti da un agente piuttosto che agli acquisti», scrive l’azienda.
Regole che combinano apprendimento e logica
Cisco descrive Quarry come un linguaggio di regole « neurosimbólico », cioè che associa il giudizio di modelli di apprendimento automatico a verifiche fondate su regole. Copre le conversazioni con i grandi modelli linguistici (LLM), che siano a uno o più turni, così come gli agenti, l’uso di strumenti, gli scambi tramite il Model Context Protocol (MCP), uno standard che collega i modelli a strumenti esterni, e gli input multimodali.
Ogni regola si basa su due tipi di elementi. Da un lato, prove provenienti da classificatori di apprendimento automatico e da « giudici » LLM; dall’altro, regole simboliche che verificano condizioni precise, sequenze, corrispondenze di stringhe di caratteri o relazioni tra strumenti. Quarry è concepito come uno strato di politica comune, e non come una sostituzione di tutti i rilevatori o di tutti i meccanismi di controllo esistenti.
Lo strumento può servire a implementare protezioni in tempo reale sugli agenti, a condurre analisi di sicurezza a posteriori a partire da insiemi di regole, così come alla risposta agli incidenti. Si integra nel quadro esistente di Cisco, l’Integrated AI Security & Safety Framework, che estende dalla descrizione dei rischi legati all’IA verso il loro rilevamento nell’attività degli agenti.
Una minaccia già osservata
Cisco ricorda che nel 2025, Claude Code è stato utilizzato da attori malevoli in due campagne: una mirata a circa 30 organizzazioni, l’altra mirata a istituzioni governative messicane. Nel primo caso, l’attacco era stato suddiviso in compiti di routine, che facevano credere al sistema di difesa che si trattasse di test di sicurezza. Vista a pezzi, assomigliava a un test di intrusione autorizzato; il suo vero obiettivo, il furto di dati, è apparso solo quando le richieste sono state avvicinate nell’ordine corretto.
Cisco sottolinea che gli aggressori modificano costantemente i loro metodi. Ogni nuova tecnica identificata deve quindi dare luogo a una nuova regola Quarry, utilizzabile da tutte le organizzazioni. Per rispondere a questa esigenza, l’azienda ha previsto un plugin che permette a un agente di programmazione di redigere, compilare e affinare regole a partire da una descrizione in linguaggio comune del rischio di un’organizzazione, per poi testarle su conversazioni reali.
Il pacchetto di avvio include in particolare un linguaggio leggibile per le conversazioni, l’uso di strumenti e le relazioni tra eventi, uno scanner da riga di comando, un SDK Python, così come il plugin per Claude Code, Codex e altri agenti compatibili MCP. Cisco cita anche un esempio: «Hugging Face ha ricostruito a posteriori circa 17.600 azioni di agenti». L’obiettivo dichiarato è permettere ai difensori di «riconoscere queste sequenze mentre sono ancora in corso».
