Il traffico MCP nelle aziende è aumentato del 375% nelle ultime dieci settimane, mentre le violazioni delle policy sui dati sono più che raddoppiate nell'ultimo anno. Lo rileva l'ultimo report annuale sull'AI di Netskope Threat Labs, che fotografa un cambio di passo nella sicurezza enterprise, legato all'AI: il problema non è più solo intercettare i dipendenti che usano ChatGPT di nascosto, ma governare un ecosistema di agenti autonomi che leggono, scrivono ed eseguono codice per conto delle organizzazioni.

Il dato sul Model Context Protocol racconta meglio di ogni altro la direzione presa dal mercato nella prima metà del 2026: in dieci settimane gli utenti che lo utilizzano sono cresciuti del 250% e le transazioni della percentuale indicata sopra. Da notare che questi numeri riguardano solo l'uso remoto del protocollo, ossia quello in cui l'agente si collega a un server MCP ospitato su Internet, non sull'infrastruttura interna dell'organizzazione, il che fa dedurre che il perimetro reale dell'esposizione è probabilmente più ampio di quanto si riesca a quantificare dai dati.

Per capire perché questa informazione pesi così tanto occorre partire dalla distinzione tra rischi upstream e rischi downstream. I primi riguardano ciò che utenti e agenti inviano ai sistemi AI, tipicamente dati riservati o codice sorgente trasferiti verso servizi non autorizzati, e restano la causa più frequente di violazione. I secondi riguardano invece ciò che i sistemi AI restituiscono, quando un'app collegata a un modello AI espone dati a cui l'utente o l'agente non dovrebbe avere accesso. È proprio questa seconda categoria a crescere più rapidamente, ed è la ragione per cui i ricercatori parlano ormai di rischio bidirezionale.

Secondo i ricercatori, il legame tra la crescita di MCP e l'aumento delle violazioni downstream non è casuale: più un'organizzazione collega i propri modelli a repository interni, database aziendali e strumenti di produttività, più aumentano le occasioni in cui un sistema AI può restituire informazioni che l'utente non era autorizzato a vedere. Tra le organizzazioni del quartile più esposto, le violazioni downstream sono salite da 72 a 206 episodi settimanali nell'arco di un anno e sono destinate ad accelerare ulteriormente nella seconda metà del 2026.

A spingere questa trasformazione è soprattutto il boom degli strumenti di sviluppo agentico. Il report evidenzia che il 75% delle organizzazioni monitorate utilizza oggi Claude Code, seguito dal 58% che utilizza Codex. In entrambi i casi si partiva da un'adozione pressoché nulla dodici mesi fa. Le app dedicate al codice AI, nel loro complesso, sono passate da un'adozione del 42% all'84% delle organizzazioni nel giro di un anno, mentre gli strumenti che un anno fa dominavano questo segmento (GitHub Copilot e Cursor) si sono stabilizzati, superati dagli agenti autonomi capaci di scrivere, testare ed eseguire codice senza intervento umano diretto sulle singole righe.

Un agente che genera codice più velocemente di quanto potrebbe fare un team umano, e che lo esegue autonomamente, amplifica in modo diretto il rischio di codice malevolo. Per questo Netskope la classifica come la categoria di rischio più severa. Un'app AI può restituire codice dannoso a seguito di un attacco di prompt injection indiretto, per la presenza di tooling o modelli compromessi, oppure come conseguenza di addestramento su dati vulnerabili, allucinazioni o fenomeni di disallineamento. In tutti questi casi, se l'output finisce in una pipeline di sviluppo automatizzata, la finestra tra generazione ed esecuzione si riduce drasticamente rispetto a quanto accadeva quando un umano rivedeva ogni riga prima di eseguirla.

Sul fronte dell’adozione complessiva, il report conferma una crescita ancora robusta ma in fase di consolidamento. La quota di utenti aziendali che utilizza applicazioni AI su base settimanale è salita dal 34% al 59% per l'organizzazione mediana. In parallelo, il volume di utilizzo è triplicato, passando da una media di 1.498 a 4.731 prompt settimanali, con punte di quasi 20.000 nel quartile superiore. Netskope prevede che questa curva si appiattisca nella seconda parte dell'anno, complice una fase in cui le organizzazioni iniziano a essere più selettive nei propri investimenti AI piuttosto che limitarsi ad ampliare l'adozione indiscriminata.

Interessante anche il capitolo dedicato alla shadow AI, perché smentisce un'aspettativa diffusa. Oggi il 56% degli utenti AI utilizza esclusivamente applicazioni gestite dall'organizzazione, il 14% ne combina l'uso con app personali e il 30% ricorre soltanto a strumenti personali. Netskope legge questo dato come un cambio di strategia da parte delle aziende, che invece di inseguire la migrazione totale verso piattaforme autorizzate hanno scelto di introdurre controlli anche sull'uso di app non approvate, spostando le priorità di scoperta della shadow AI verso agenti, server MCP e infrastrutture AI locali, gli ambiti in cui oggi si registra la crescita più rapida.

Anche la scelta delle piattaforme su cui costruire applicazioni AI racconta qualcosa di rilevante per chi lavora nel canale italiano. Anthropic ha superato OpenAI come piattaforma di sviluppo più utilizzata. Amazon Bedrock resta terzo ma cresce costantemente, complice un approccio alla sovranità dei dati che isola, cifra e mantiene il trattamento nelle regioni scelte dal cliente senza condivisione con terze parti né utilizzo per l'addestramento dei modelli foundation. Sul fronte dell'esecuzione locale dei modelli, il 41% delle organizzazioni utilizza Ollama per scaricare ed eseguire modelli open source sulla propria infrastruttura, con Gemma di Google in testa alla classifica di popolarità seguita dalle varie versioni di Qwen di Alibaba e Llama di Meta, mentre i modelli GLM di Z.ai si stanno affacciando nei benchmark e potrebbero ridisegnare questa classifica nella seconda parte dell'anno.

Accanto ai rischi nativi dell'AI, il report dedica spazio alle minacce che sfruttano l'AI come veicolo per tecniche già note. Le esche AI, ovvero campagne che usano il branding di strumenti popolari per indurre le vittime a scaricare malware o visitare siti compromessi, hanno vissuto una pausa di sei mesi prima di risalire bruscamente a marzo 2026 e mantenersi su livelli simili fino a luglio. Tra le campagne più recenti, Netskope segnala falsi installer di applicazioni AI e strumenti di sviluppo trojanizzati, oltre alla prosecuzione di attacchi in stile Shai-Hulud contro l'ecosistema NPM e la registrazione di pacchetti malevoli che sfruttano i nomi che i modelli tendono ad allucinare durante la generazione di codice. Parallelamente emergono i link AI malevoli, l'equivalente dei risultati avvelenati nei motori di ricerca tradizionali ma applicato alle risposte generate dai chatbot, un fenomeno che si intreccia con le prime forme di pubblicità comparse dentro le applicazioni AI e con le tecniche emergenti di ottimizzazione dei contenuti pensate per essere premiate dai modelli.

Per orientare la risposta organizzativa a questo scenario, Netskope invita a collegare le strategie di sicurezza a framework già consolidati come MITRE ATLAS e OWASP Top 10 per gli LLM, integrandoli con un monitoraggio in tempo reale capace di restituire una visione granulare della postura di rischio per categoria e per attività utente. Il filo conduttore che attraversa tutte le raccomandazioni del report è la necessità di trattare ogni interazione agentica come un potenziale vettore di esecuzione. È un principio che si traduce operativamente in tre pilastri: la visibilità completa su tutte le interazioni AI incluse shadow AI, infrastrutture locali e traffico MCP; una governance granulare basata su matrici di autorizzazione per app e casi d'uso; una protezione stratificata che combina data loss prevention in tempo reale, guardrail semantici non deterministici e analisi comportamentale continua per intercettare segnali di compromissione successivi come ricognizione e comunicazione con infrastrutture di comando e controllo.