Superficie agentica minima — come CATALYST lavora in sicurezza nell'ambiente del cliente
Far lavorare agenti AI dentro i sistemi di una banca è un rischio operativo e di supply-chain (DORA terze parti ICT, NIS2). La risposta di CATALYST non è gestire una grande superficie agentica: è ridurla. Lavoro deterministico, tool nativi, un verifier configurato in sola lettura, distribuzione chiusa. Meno superficie significa meno da difendere — e meno da spiegare a un supervisore. Aggiornato a ottobre 2026, deep-linkable per CISO, Head of SecOps e auditor esterni.
Sette controlli che riducono la superficie
Non sono raccomandazioni per blindare server di terzi: sono il modo in cui il framework è costruito. Determinismo dove conta, permessi minimi, perimetro di scrittura in whitelist, distribuzione chiusa — codificati in hook e nella configurazione degli agenti, non lasciati alla buona volontà del modello.
Determinismo prima dell'LLM
I gate e i controlli sono script deterministici (grep, AST, JSON Schema, build), non tool-call di un agente: riproducibili e senza superficie di tool-use da difendere. L'LLM interviene solo dove serve interpretazione.
Verifier read-only
L'agente di verifica è configurato con i soli tool di lettura (Read · Glob · Grep): legge e segnala, non corregge il codice che giudica. Chi verifica non è chi scrive.
Write-perimeter in whitelist
Gli hook check-write-perimeter e check-legacy-readonly bloccano ogni scrittura dei tool Write/Edit fuori dai path autorizzati o sul codice legacy: il perimetro è imposto, non raccomandato.
Tool nativi, non una flotta MCP
La pipeline usa i tool nativi del runtime (Read/Glob/Grep/Bash). MCP è usato solo in lettura (Context7) per consultare documentazione tecnica aggiornata: nessun server MCP operativo sul critical path, quindi nessuna flotta da blindare.
Distribuzione chiusa e hardenizzata
CATALYST gira in immagine Docker chiusa: nessun file del framework sul filesystem del cliente, workspace montato via volume, marketplace privato. Superficie e proprietà intellettuale restano contenute.
Decisioni e bypass tracciati
Un gate si scavalca solo con motivazione e autore, che restano registrati; i contratti di fase, versionati, dicono quale skill o agent ha prodotto ogni artefatto e quando. È la base per il change management DORA (Art. 9); log centralizzati e retention si configurano nell'ambiente del cliente.
Prompt injection come classe
Trattata come rischio strutturale, non come singola CVE: la superficie ridotta è la prima difesa. Dove un tool deve raggiungere endpoint esterni servono sandbox, least privilege e allowlist di rete, da fissare nell'ambiente del cliente; threat intelligence continua (CERT-AgID, OX Security).
L'ecosistema agentico è giovane — perché riduciamo
Lo standard MCP è ormai centrale per l'AI agentica, ma l'ecosistema intorno è acerbo e accumula vulnerabilità. La nostra conclusione non è gestire quella superficie: è non averla.
Il pattern STDIO degli SDK MCP ha mostrato debolezze design-level (disclosure OX Security, apr. 2026); CERT-AgID (apr. 2026) documenta scenari SSRF e proxy abuse via server MCP mal configurati. Le CVE sull'agentic tooling si accumulano.
CATALYST non blinda una flotta di server MCP — non la usa. La prima difesa è non avere la superficie: tool nativi, controlli deterministici, MCP solo in lettura per la documentazione.
Far toccare codice, build e dati a un agente è rischio terze parti ICT (DORA) e di supply chain (NIS2). Una superficie minima, a least-privilege e auditata è la risposta difendibile davanti a CISO e supervisore.