# Gli agenti AI su Gmail e Drive rischiano di seguire la stessa strada degli attacchi hacker URL: https://menteinformatica.it/sicurezza-privacy/google-workspace-token-oauth-agenti/ Autore: Giorgio Perillo Aggiornato: 2026-10-01 Categoria: Sicurezza e Privacy --- Nelle violazioni recenti che hanno coinvolto ambienti **Google Workspace** l’email non è stata il punto d’ingresso. Lo è stato un **token OAuth** rubato a un fornitore, usato per arrivare a Gmail e Drive e poi al resto dei sistemi collegati. La ricostruzione è firmata da **Rajan Kapoor, VP Security di Material Security**, che mette in fila due casi già raccontati separatamente: la violazione di **Vercel** e quella di **Composio**. Secondo la sua lettura non sono episodi isolati, ma lo stesso attacco eseguito due volte su bersagli diversi. ## Perché un token rubato vale più di una password Il modello mentale dominante nell’ultimo decennio era semplice: la casella di posta è il canale rischioso, il resto di Workspace è relativamente sicuro. Funzionava quando l’obiettivo dell’attaccante era rubare credenziali con il phishing. I mattoncini della catena sono gli stessi di prima. Cambia l’ordine, e il primo passo diventa il più difficile da vedere: - un **token OAuth sottratto** garantisce accesso persistente: sopravvive al cambio password, non scade e resta praticamente invisibile all’utente. - con quel token si leggono dati sensibili in **Gmail e Drive**. - l’accesso alla posta arriva dopo, e trasforma un singolo account compromesso in un incidente molto più ampio. - da lì si passa ai sistemi collegati usando credenziali trovate nei documenti, reimpostazioni di password e link di accesso via email. C’è un dettaglio che cambia la natura del problema: il [token viene rubato altrove](https://menteinformatica.it/intelligenza-artificiale/claude-code-copilot-codex-violati-credenziali/). È una compromissione della catena di fornitura, dove il fornitore cede e il cliente si ritrova un estraneo dentro il proprio ambiente senza aver sbagliato nulla in casa propria. ## Gli agenti AI camminano sullo stesso percorso Qui l’analisi diventa interessante. Un agente AI collegato a Workspace ha un’autorizzazione legittima, un token OAuth valido, e legge posta e documenti per conto di un utente reale. La sequenza tecnica di un attacco OAuth e quella di un agente AI autorizzato sono, dal punto di vista dei log, quasi indistinguibili. Quando un agente si comporta in modo inatteso, istruzioni ambigue, un ragionamento non previsto dagli sviluppatori, un’[istruzione nascosta nei contenuti che incontra](https://menteinformatica.it/intelligenza-artificiale/google-agenti-ai-prompt-injection-siti-web/), può raggiungere una cartella o una casella fuori dal suo compito, leggere credenziali finite in una conversazione e agire di conseguenza. Kapoor osserva che nella maggior parte delle organizzazioni questo sta già accadendo più rapidamente di quanto i team di sicurezza riescano a tracciare. ## Il limite di questa lettura, e cosa ne resta di utile Va detto con chiarezza: si tratta di un’analisi pubblicata da un’azienda che vende sicurezza per Google Workspace, quindi il problema descritto coincide con il prodotto venduto. Il paragone tra agenti AI e attaccanti è retoricamente efficace ma appiattisce una differenza sostanziale, ovvero l’intenzione. Il nucleo tecnico però tiene, e non dipende da chi lo scrive. Un token OAuth con ambito troppo largo è una chiave che nessuno ha in mano e nessuno guarda: il controllo che serve non è sulla posta in arrivo ma sull’elenco delle applicazioni autorizzate e su cosa fanno una volta dentro. **Perché conta:** anche in una PMI italiana che usa Google Workspace la lista delle app di terze parti autorizzate dai dipendenti, inclusi gli assistenti AI collegati negli ultimi mesi, è un inventario che quasi nessuno ha mai revisionato, e la revoca dei token è un’operazione che richiede cinque minuti nella console di amministrazione. Nei prossimi mesi è probabile che la gestione degli ambiti OAuth concessi agli agenti diventi una voce esplicita nelle console di amministrazione dei fornitori cloud, perché al momento è la parte più opaca dell’adozione aziendale dell’AI. Fonte: [bleepingcomputer.com](https://www.bleepingcomputer.com/news/security/the-modern-attack-chain-rethinking-google-workspace-security-in-the-age-of-ai/).