La corsa verso gli agenti di intelligenza artificiale capaci di lavorare in autonomia sta entrando nella fase meno spettacolare ma più decisiva: quella dell’infrastruttura di sicurezza. Dopo mesi passati a celebrare modelli sempre più grandi, miliardi di parametri e benchmark da laboratorio, il problema reale per le aziende diventa molto più concreto: come permettere a un agente AI di scrivere codice, eseguirlo, navigare sul web e manipolare dati senza consegnargli le chiavi del proprio patrimonio digitale. Google sta cercando di rispondere a questa domanda con Cloud Run sandboxes, un’estensione attualmente in anteprima che introduce ambienti di esecuzione isolati, temporanei e creati quasi istantaneamente all’interno dell’infrastruttura serverless di Cloud Run.

La metafora più efficace è quella di una stanza blindata per programmatori e agenti artificiali. Il codice generato da un modello linguistico, invece di girare direttamente sul server aziendale, viene confinato in un ambiente effimero che nasce quando serve e viene distrutto quando il lavoro termina. È un cambio di paradigma importante perché fino a oggi molte applicazioni basate su Large Language Model hanno avuto un punto debole strutturale: la capacità dell’AI di produrre codice rappresenta contemporaneamente il suo più grande valore e il suo più grande rischio. Un agente che può creare uno script Python per analizzare margini commerciali può anche, se manipolato attraverso un prompt malevolo, tentare di leggere credenziali, inviare dati all’esterno o modificare risorse critiche.

Il concetto introdotto da Google è quello della sicurezza “zero trust by design”. La sandbox nasce già sospettosa nei confronti del codice che esegue, perché nell’era degli agenti autonomi il software non è più necessariamente scritto da esseri umani affidabili, ma spesso viene generato dinamicamente da sistemi probabilistici. La rete, per esempio, è bloccata per impostazione predefinita. Se un agente viene ingannato e produce uno script che tenta di collegarsi a un server remoto per trasferire informazioni riservate, la richiesta viene fermata a livello infrastrutturale prima ancora che possa creare danni.

Questo dettaglio apparentemente tecnico rappresenta una delle battaglie fondamentali dell’AI enterprise. Il problema non è più soltanto l’accuratezza del modello, ma il controllo del suo comportamento operativo. La Silicon Valley ha passato anni a vendere l’intelligenza artificiale come una sorta di collega digitale instancabile; ora scopre che un collega che può eseguire comandi senza supervisione necessita almeno di un badge limitato e di un ufficio con le porte chiuse. La rivoluzione degli agenti passa meno dai comunicati stampa e più dalle architetture di contenimento.

Cloud Run sandboxes sono progettate proprio per casi d’uso dove gli agenti devono agire nel mondo reale. Un esempio è il codice interpreter per applicazioni AI avanzate: un modello può generare codice Python, R o SQL per analizzare dataset, creare grafici o risolvere calcoli complessi, ma l’esecuzione avviene in un ambiente separato dal sistema principale. Un altro scenario riguarda i browser headless, fondamentali per agenti capaci di effettuare ricerche online, compilare moduli o automatizzare processi web. Anche in questo caso il browser non dovrebbe mai diventare una porta aperta verso l’infrastruttura aziendale.

La semplicità operativa è un elemento strategico. Google sostiene che migliaia di sandbox possono essere create rapidamente, con una latenza nell’ordine dei millisecondi, senza costi aggiuntivi rispetto all’utilizzo normale di Cloud Run. L’attivazione richiede una configurazione minima, attraverso un flag di deployment, mentre l’applicazione può generare nuove sandbox tramite chiamate standard dal proprio ambiente di esecuzione. Dietro questa apparente semplicità c’è una complessa macchina tecnologica fatta di isolamento dei processi, gestione della memoria temporanea, controllo degli accessi e separazione delle credenziali.

Uno degli aspetti più interessanti riguarda il filesystem. La sandbox può utilizzare strumenti, librerie e runtime presenti nel container principale, ma opera su una copia isolata in modalità temporanea. Ogni modifica viene scritta in un overlay di memoria che scompare alla chiusura dell’ambiente. In pratica il codice può lavorare, creare file e produrre risultati senza lasciare tracce permanenti. È una logica simile a quella utilizzata nei sistemi di sicurezza militari e nei laboratori di ricerca: consentire l’esperimento, ma impedire che l’esperimento comprometta il laboratorio.

L’integrazione con gli strumenti per sviluppatori Google rende questa tecnologia ancora più significativa. Il supporto previsto per Agent Development Kit permetterà agli sviluppatori di creare agenti Gemini capaci di eseguire codice in modo sicuro attraverso un componente dedicato, trasformando una complessa architettura di sicurezza in poche righe di configurazione. Anche ComputeSDK, pensato come SDK indipendente dal fornitore per la gestione delle sandbox, amplia il potenziale applicativo oltre l’ecosistema Google.

La tempistica del lancio non è casuale. Le nuove generazioni di strumenti come ChatGPT Work e altri ambienti agentici stanno portando il concetto di AI dal semplice assistente conversazionale al collaboratore digitale operativo. Quando un modello non si limita più a suggerire una risposta ma produce documenti, analizza dati, scrive software e utilizza applicazioni esterne, il tema della sicurezza diventa il vero collo di bottiglia. La domanda delle imprese non sarà più soltanto “quanto è intelligente il modello?”, ma “quanto possiamo fidarci del suo ambiente operativo?”.

Google Cloud Run sandboxes rappresentano quindi un tassello fondamentale nella costruzione della nuova infrastruttura dell’intelligenza artificiale. La prossima battaglia dell’AI enterprise non sarà combattuta solo nei data center pieni di GPU, dove Nvidia e i grandi hyperscaler stanno costruendo capacità computazionale senza precedenti, ma nelle architetture invisibili che decidono cosa un agente può fare e cosa invece deve essere impossibile. Perché un’intelligenza artificiale davvero utile non è quella che può fare tutto, ma quella a cui abbiamo insegnato esattamente cosa non può fare.