Gli agenti fanno trapelare dati in tre modi: attraverso gli argomenti che inoltrano in una chiamata a uno strumento, attraverso ciò che scrivono nella memoria della conversazione, e attraverso ciò che ripetono in una risposta. Un promemoria di policy non ferma nessuno dei tre — tutti e tre sembrano l'agente che sta semplicemente facendo il suo lavoro. Ciò che li ferma è un livello di tokenizzazione a runtime che intercetta il testo in ciascuno di questi tre punti ed elimina i PII prima che attraversino il tuo confine. Ecco come funziona questo livello.
Oscurare ciò che entra nel prompt dell'LLM è il minimo indispensabile e non colma il divario. Il percorso dei dati di un agente ha tre punti in cui un valore grezzo può lasciare il perimetro, e nessuno di essi passa attraverso il prompt.
L'agente decide di chiamare uno strumento — un'API di calendario, un CRM, un processore di pagamenti — e inoltra i dati su cui sta ragionando come argomento della chiamata. MCP non trasporta metadati di sensibilità per campo, quindi il server dello strumento riceve per impostazione predefinita tutto ciò che l'agente invia, in chiaro.
La cronologia della conversazione persiste tra i turni affinché l'agente disponga di contesto. Qualsiasi testo aggiunto a quella cronologia — incluso il codice fiscale di un cliente o un dettaglio medico emerso a metà conversazione — vi resta in chiaro per l'intera durata della sessione, a meno che qualcosa non lo tokenizzi prima che avvenga l'aggiunta.
La risposta finale restituita al chiamante viene costruita a partire dal contesto che l'agente ha recuperato e su cui ha ragionato. Se la tokenizzazione viene eseguita solo in ingresso, un valore entrato come token può comunque riemergere non tokenizzato nella risposta in uscita.
L'argomentazione più approfondita sul perché la chiamata allo strumento — non il prompt — sia il punto in cui si verificano davvero la maggior parte delle fughe in produzione si trova in Il tuo agente IA sta facendo trapelare PII attraverso le chiamate agli strumenti. Ecco la prova.
VeriSwarm Guard chiude tutti e tre i vettori con la stessa chiamata sottostante — POST /v1/suite/guard/pii/tokenize — applicata nel punto in cui ciascun vettore altrimenti perderebbe dati. Il testo passa attraverso un motore di rilevamento NER basato su Presidio (Presidio + spaCy NER, più riconoscitori regex personalizzati per gli identificatori che Presidio non copre di serie) e torna con ogni porzione di PII sostituita da un token tipizzato — [VS:EMAIL:a1b2c3], [VS:SSN:f9e2d1], e così via. L'agente, il server dello strumento e tutto ciò che viene registrato nel mezzo vedono il token. Il valore originale viene ripristinato, quando è davvero necessario, tramite una chiamata separata a POST /v1/suite/guard/pii/rehydrate, delimitata alla sessione che ha creato i token.
Guard Proxy è un livello di intercettazione MCP trasparente. Punta il client MCP del tuo agente verso il proxy invece che direttamente verso il server dello strumento, e tokenizzerà i PII sia nella richiesta di chiamata allo strumento in uscita sia nella risposta in entrata — senza alcuna modifica al codice dell'agente. Tre modalità di distribuzione: in cloud, Docker on-prem, stdio locale.
Il runtime degli agenti di VeriSwarm chiama l'endpoint di tokenizzazione sulla risposta dell'agente prima che quella risposta venga aggiunta alla cronologia della conversazione e prima che venga restituita al chiamante. Il valore scritto in memoria e il valore ripetuto nella risposta sono lo stesso testo tokenizzato — non due controlli separati che possono disallinearsi.
Il pilastro sulla protezione dei PII copre il caso più ampio a favore della tokenizzazione rispetto alla redazione dell'input del prompt — perché il DLP non copre il traffico degli agenti, la clausola di pseudonimizzazione del GDPR, la traccia di audit di Vault, l'impostazione per il settore sanitario. Questa pagina è più ristretta e più operativa: è una mappa dei tre punti specifici nel percorso dei dati di un agente in cui si verifica effettivamente una fuga, e di quale meccanismo chiude ciascuno di essi. Leggi il pilastro per l'architettura completa e il ragionamento sulla conformità; leggi questa pagina per sapere, nello specifico, dove indirizzare la correzione.
La tokenizzazione riduce la superficie dei PII nei tre vettori sopra indicati e ti fornisce una traccia di audit di ogni intercettazione quando Vault è abilitato — non garantisce che i dati non trapelino mai. Una chiamata a uno strumento instradata attorno a Guard Proxy, o un'integrazione personalizzata che non chiama l'endpoint di tokenizzazione prima di inoltrare i dati, è un percorso di fuga che questo livello non vede mai. Guard chiude i vettori in cui è collegato; collegarne uno nuovo spetta a te la prima volta che costruisci un percorso di fuga non ancora coperto. L'injection è un rischio correlato ma distinto — un input creato ad arte che manipola quale strumento viene chiamato, anziché i PII negli argomenti di uno legittimo — trattato separatamente in Rilevamento delle Prompt Injection per gli Agenti IA.
Attraverso gli argomenti della chiamata a uno strumento — un agente inoltra PII grezzi in chiaro a un server di strumenti MCP (un'API di calendario, un CRM, un processore di pagamenti). Attraverso ciò che scrive in memoria — il codice fiscale di un cliente o un dettaglio medico viene aggiunto alla cronologia della conversazione e vi persiste per l'intera durata della sessione. Attraverso ciò che ripete nella risposta — una risposta costruita a partire da un contesto tokenizzato può comunque far riemergere il valore originale se il passaggio di tokenizzazione viene saltato in uscita. Tutte e tre condividono una proprietà: nessuna sembra una violazione della policy. Sembrano l'agente che sta semplicemente facendo il suo lavoro.
No — questo blocca il punto di fuga che fa meno danno. Il fatto che l'LLM non veda mai i PII è buona pratica, ma la chiamata allo strumento che l'LLM decide poi di effettuare è il punto in cui i dati escono davvero dal tuo perimetro. Un agente può essere scrupolosamente attento a ciò che inserisce in un prompt e inoltrare comunque il numero di telefono di un cliente parola per parola a un server di strumenti MCP di terze parti, perché la specifica MCP non trasporta intrinsecamente metadati di sensibilità dei dati per campo. La copertura deve estendersi fino alla chiamata allo strumento, non fermarsi al confine del modello.
Il testo viene passato a POST /v1/suite/guard/pii/tokenize, che lo fa passare attraverso un motore di rilevamento NER basato su Presidio (Presidio + spaCy NER, più riconoscitori regex personalizzati per gli identificatori che Presidio non copre) e restituisce il testo con ogni porzione di PII sostituita da un token tipizzato — [VS:EMAIL:a1b2c3], [VS:SSN:f9e2d1], e così via. La mappa token-valore è delimitata per tenant e non viaggia mai insieme al payload tokenizzato. I token sono reversibili solo tramite POST /v1/suite/guard/pii/rehydrate, delimitato alla sessione che li ha creati, per il caso specifico in cui un sistema a valle ha bisogno del valore reale per svolgere il proprio compito — ad esempio scrivere in un record CRM.
Per il vettore della chiamata allo strumento, no. Guard Proxy è un livello di intercettazione MCP trasparente — il client MCP del tuo agente punta all'URL del proxy invece che direttamente al server dello strumento, e tokenizza i PII sia nella chiamata allo strumento in uscita sia nella risposta in entrata prima che una delle due attraversi il confine. Tre modalità di distribuzione coprono in cloud, Docker on-prem e stdio locale. Per i vettori di memoria ed eco, il runtime degli agenti di VeriSwarm chiama già l'endpoint di tokenizzazione prima di aggiungere una risposta alla cronologia della conversazione o di restituirla al chiamante — questo cablaggio viene fornito come parte della piattaforma, non è qualcosa che devi costruire tu.
Guard — la tokenizzazione dei PII, Guard Proxy e la scansione delle injection che gira al suo fianco — è una funzionalità del piano Max. Gate, il trust scoring del piano gratuito di VeriSwarm, ti offre visibilità sul comportamento dell'agente e sul flusso degli eventi prima che tu abbia bisogno del livello di tokenizzazione; Guard è dove attivi l'enforcement.
No, e bisogna guardare con scetticismo qualsiasi fornitore che affermi il contrario. La tokenizzazione riduce la superficie dei PII in ciascuno dei tre vettori qui trattati e ti fornisce una traccia di audit di ogni intercettazione quando Vault è abilitato. Non copre i percorsi di fuga al di fuori di questi tre — un'integrazione mal configurata che aggira Guard Proxy, o un percorso di chiamata a strumenti personalizzato che non passa per il passaggio di tokenizzazione, deve comunque essere collegato deliberatamente.
La tokenizzazione dei PII di Guard è una funzionalità del piano Max; il piano gratuito di Gate ti offre il trust scoring e la visibilità sugli eventi per vedere dove vanno davvero i dati di un agente prima di attivare la correzione.