Le aziende che integrano assistenti di sviluppo guidati dall'intelligenza artificiale (coding agent) si trovano dinanzi a un problema di trasparenza. Le informative legali dei vari fornitori descrivono il trattamento formale dei dati, ma non offrono visibilità su cosa e quando venga effettivamente trasmesso in rete durante una sessione di programmazione.
Per dare risposta a questa esigenza di governance ed evidenze pratiche, MC Project Lab ha definito AgentScoope: un protocollo locale, ripetibile e controllato, per ispezionare il comportamento dei principali agenti di sviluppo in ambiente Windows.
Il metodo di monitoraggio
Il metodo AgentScoope si basa sul tracciamento del traffico di rete e dei processi locali, operando in tre fasi all'interno di una sandbox isolata:
- Iniezione di file esca (canary): Nel workspace di prova vengono inseriti file contenenti stringhe segrete fittizie (segreti esca) per rilevare se e quando l'agente legge o invia tali informazioni.
- Tracciamento dei processi: Rilevazione dell'albero dei sotto-processi avviati dall'agente per attribuire connessioni e attività ai processi inclusi nel test.
- Ispezione TLS (MITM): Quando il traffico passa attraverso il proxy di prova, decifratura temporanea delle connessioni per esaminare il contenuto delle chiamate.
Evidenze registrate su Windows
I test condotti su compiti di programmazione standardizzati hanno evidenziato comportamenti differenti a seconda dello strumento analizzato:
| Agente | Evidenza osservata | Classificazione |
|---|---|---|
| Claude | 23 flussi TLS, 14 payload analizzati. Trasmissione completa dei file canary verso l'endpoint ufficiale Anthropic (api.anthropic.com). | FLUSSO_ATTESO |
| Codex (OpenAI) | 24 flussi TLS, 10 payload. Codice e commenti trasmessi verso chatgpt.com e gli endpoint ufficiali OpenAI. | FLUSSO_ATTESO |
| Grok (0.2) | 63 flussi TLS, 58 payload. Nessun file canary individuato nel traffico in uscita. | NESSUN_MARKER |
| Antigravity | Nessun flusso ispezionabile a causa delle restrizioni di sicurezza locali. | NON_ISPEZIONABILE |
| Kimi Code | Proxy TLS attivo, ma nessun flusso o payload catturato. Nessun canary trovato fuori dalla sandbox e nessuna modifica ai file di prova. | NON_ISPEZIONABILE |
*Nota: la dicitura FLUSSO_ATTESO indica che i file del progetto sono stati inviati ai server del fornitore. Si tratta del comportamento ordinario e necessario per il funzionamento di un assistente cloud, non di un'esfiltrazione illecita. Il fattore di rischio reale è la trasmissione verso terze parti o la cattiva gestione dei dati in locale.
Test Kimi Code del 26 luglio 2026
Il primo controllo, eseguito senza decifrare il traffico HTTPS, ha osservato tre endpoint remoti collegati al processo Kimi. Uno era 103.XXX.XX.XXX:443, appartenente a un intervallo registrato in Cina secondo i dati RDAP di APNIC. RDAP è il protocollo ufficiale utilizzato per consultare i registri di assegnazione degli indirizzi IP. Gli altri indirizzi risultavano registrati a una rete italiana di distribuzione dei contenuti e a Cloudflare. Questo dimostra una connessione di rete verso un indirizzo registrato in Cina, ma non permette di stabilire quali dati siano stati trasmessi. Nessun canary è comparso fuori dalla sandbox e nessun file del workspace è stato modificato.
Il test è stato quindi ripetuto con proxy TLS e certificato temporaneo. Kimi non ha prodotto flussi ispezionabili attraverso il proxy: sono stati registrati zero flussi e zero payload. L'esito corretto è NON_ISPEZIONABILE. La CA temporanea è stata rimossa al termine, nessun canary è stato trovato nelle cache o nei log controllati e la sandbox non ha subito modifiche.
Conclusione del test Kimi
Non sono emerse prove di trasmissione dei canary, ma il risultato non consente di dichiarare che nessun dato sia stato inviato. Quando il traffico non passa attraverso il proxy, AgentScoope segnala il limite invece di presentare il test come pulito.
Implicazioni per GDPR e AI Act
GDPR: la connessione verso un indirizzo registrato in Cina non dimostra da sola che siano stati trasferiti dati personali e non costituisce automaticamente una violazione. Se codice, registri o altri contenuti con dati personali vengono messi a disposizione di un soggetto fuori dallo Spazio economico europeo, si applicano le regole sui trasferimenti internazionali. La Cina non compare tra i Paesi riconosciuti dalla Commissione europea come adeguati.
Prima di usare il servizio con dati personali, l'organizzazione deve verificare quali dati partono, dove vengono trattati, chi sono i subfornitori, per quanto tempo vengono conservati e se esistono garanzie valide. In assenza di una decisione di adeguatezza possono servire clausole contrattuali standard, una valutazione del trasferimento e misure supplementari. Quando il fornitore tratta dati per conto dell'organizzazione, deve essere verificato anche il contratto previsto dall'articolo 28 del GDPR.
AI Act: una connessione verso la Cina non è vietata automaticamente. Gli obblighi dipendono dall'uso concreto del sistema. Un assistente di programmazione interno non diventa automaticamente un sistema ad alto rischio; restano però gli obblighi applicabili, tra cui la preparazione del personale all'uso consapevole dell'AI e, nei casi previsti, le regole di trasparenza.
Regola prudenziale
Finché il percorso dei dati e le garanzie contrattuali non sono chiariti, Kimi non dovrebbe essere usato su progetti che contengono dati personali, segreti dei clienti o informazioni riservate. Il test non prova una fuga di dati, ma evidenzia un rischio che l'organizzazione deve risolvere prima dell'uso su contenuti sensibili.
Fonti ufficiali: GDPR, articoli 28 e 44-49; decisioni di adeguatezza della Commissione europea; raccomandazioni EDPB sui trasferimenti; guida della Commissione europea all'AI Act.
La persistenza dei segreti sul disco locale
Un audit di sicurezza non deve limitarsi al traffico di rete in tempo reale. Le indagini di AgentScoope hanno rivelato un fenomeno differente: in alcuni casi, le informazioni riservate lette dagli agenti durante la sessione di lavoro vengono memorizzate in chiaro nei file di log locali all'interno delle cartelle di configurazione dell'utente.
Questo significa che dati sensibili possono permanere a riposo (data-at-rest) sul disco rigido anche dopo la chiusura del software, creando rischi in termini di backup non cifrati, dispositivi condivisi o requisiti di conformità legati alla cancellazione sicura dei dati.
Lezioni pratiche di governance
I risultati dei test indicano che la governance dell'AI non può basarsi sulla sola fiducia. Le imprese devono stabilire policy rigorose su quali dati inserire nei progetti in cui operano gli agenti e definire procedure periodiche di pulizia dei log di sessione per minimizzare la persistenza locale delle informazioni critiche.