#POWERCON2026 - Domenico Caldarelli - MCP poisoning, Entra Agent ID e blast radius fino ad AD

Gli agenti AI stanno diventando veri workload aziendali: hanno identità proprie, ottengono token e utilizzano strumenti capaci di leggere dati, chiamare servizi esterni e modificare infrastrutture. Ma cosa succede quando l’identità è corretta, il token è valido e l’agente utilizza esattamente i permessi che gli abbiamo assegnato, mentre il suo intento è stato manipolato? In questa sessione vedremo un agente locale integrato con Microsoft Entra Agent ID e Model Context Protocol, collegato a risorse aziendali e a un server MCP esterno. Attraverso una serie di demo scopriremo come il tool description poisoning possa trasformare metadati non attendibili in azioni reali: prima provocando l’accesso e l’esfiltrazione di informazioni riservate, poi inducendo lo stesso agente a effettuare una modifica non richiesta in Active Directory. Ripeteremo gli attacchi applicando il principio del least privilege. Il poisoning continuerà a funzionare e l’agente continuerà a tentare le stesse operazioni, ma la sua identità non disporrà più dell’autorità necessaria per completarle. Perché l’autenticazione ci dice chi è l’agente e l’autorizzazione stabilisce cosa può fare. Ma nessuna delle due ci dice perché abbia deciso di farlo. Potete scaricare la presentazione dal link https://www.ictpower.it/download/POWE...