La proposta di Microsoft Research per insegnare ai guardrail a orientarsi tra norme possibili, superando i limiti delle regole statiche
La stessa azione di un agente AI può essere perfettamente legale per un utente e una violazione grave per un altro: dipende dai permessi, dall’organizzazione, dalla giurisdizione. Eppure la maggior parte dei guardrail — i sistemi di controllo che dovrebbero bloccare le azioni pericolose — usa ancora policy fisse, cioè regole scritte una volta per tutte. Cinque giorni fa, Microsoft Research ha depositato il paper RePolicy su arXiv il 25 agosto; l’ultima revisione risale al 27 agosto. La proposta: un meccanismo che impara a decidere quale policy di sicurezza applicare in tempo reale, invece di averle tutte scritte e immutabili.
Il paradosso delle policy fisse
Il problema non è teorico. Nel paper completo, gli autori spiegano che nessun insieme fisso di policy può coprire adeguatamente le implementazioni reali. Compiti complessi attraversano strumenti e contesti operativi diversi; la stessa azione può essere soggetta a vincoli diversi a seconda dei permessi dell’utente, dei requisiti organizzativi e delle giurisdizioni normative; e le stesse policy di sicurezza possono evolvere nel tempo. Una regola scritta una volta per tutte si incrina nel momento in cui un’azienda cambia procedura interna o un’azione passa da un mercato all’altro.
È esattamente il punto da cui parte RePolicy: i set di policy di sicurezza fissi falliscono perché la stessa azione di un agente può essere governata da vincoli diversi e le policy evolvono. La domanda che resta aperta è semplice da formulare e difficile da risolvere: come fa un sistema a sapere quale policy applicare se non l’ha mai vista prima?
Un guardiano che impara a decidere al volo
La risposta di Microsoft Research è cambiare prospettiva. RePolicy non è un guardrail che riceve un elenco completo di regole: è una salvaguardia per agenti che impara l’invocazione delle policy di sicurezza tramite apprendimento per rinforzo, cioè provando a decidere e ricevendo un segnale di ricompensa quando la scelta è corretta. Il dettaglio tecnico più utile si trova nella documentazione del progetto: RePolicy non vede mai tutto il testo delle policy in anticipo. Nel suo prompt compaiono solo i titoli delle policy, quindi deve decidere quale policy governa la traiettoria prima di poterne leggere i requisiti. È come un centralino che vede i nomi delle procedure ma non il contenuto, e deve capire quale scheda aprire per non sbagliare chiamata.
Per arrivarci, gli autori hanno costruito PolicyTraj-20K, un dataset che serve ad addestrare il modello in modo supervisionato all’inizio, prima di passare a GRPO, una tecnica di apprendimento per rinforzo con ricompense verificabili e perturbazione del contesto delle policy. Nei test su sei benchmark di sicurezza per agenti, RePolicy ottiene una forte performance complessiva di rilevamento della sicurezza e una robusta invocazione delle policy in contesti variabili. Il punto non è il singolo risultato numerico, ma il tipo di problema che il sistema è addestrato a risolvere: scegliere la policy giusta quando il contesto cambia.
La differenza rispetto ai guard basati su prompting o rifinitura supervisionata è sostanziale: un guard tradizionale riceve il testo della policy e deve solo verificarne il rispetto; RePolicy deve prima capire quale policy sia rilevante. Questo sposta il carico dalla conoscenza delle regole alla capacità di orientarsi tra regole possibili. Resta da chiedersi, però, cosa significhi per chi oggi progetta agenti in produzione.
Per chi costruisce agenti, il confine diventa dinamico
Il precedente di GuardAgent mostra che Microsoft Research sta costruendo una traiettoria coerente. Già nel giugno 2024, Microsoft Research aveva presentato GuardAgent, il primo agente guardrail che protegge gli agenti target controllando dinamicamente se le loro azioni soddisfano le richieste di sicurezza. Presentato a ICML 2025, con primo autore Zhen Xiang, GuardAgent era il primo tassello: un controllore che verifica le azioni una per una. RePolicy sposta il controllo più a monte, sulla scelta di quale norma invocare.
Sul fronte delle policy contestuali, il framework Conseca, proposto a HotOS 2025 da Lillian Tsai e Eugene Bagdasarian di Microsoft Research, generava policy di sicurezza contestuali, just-in-time e verificabili dall’uomo. RePolicy si inserisce in questa direzione, aggiungendo l’apprendimento dell’invocazione: non solo generare la policy giusta al momento giusto, ma anche decidere da solo quale policy leggere. Nel frattempo, un altro lavoro del 2025 ha proposto il primo framework unificato di allineamento della sicurezza per agenti che usano strumenti, basato su ragionamento strutturato e apprendimento per rinforzo in sandbox. Il campo si sta muovendo, ma i risultati restano quelli di un paper di ricerca: solidi su benchmark, non ancora una certificazione di sicurezza in produzione.
Chi pubblica online o gestisce agenti AI deve smettere di pensare alla sicurezza come a un elenco statico di regole. La prossima generazione richiede sistemi che imparano a decidere caso per caso, e questo cambia sia l’architettura tecnica sia la responsabilità editoriale. La domanda non è se le policy fisse spariranno, ma con quale velocità le aziende dovranno adeguare i propri sistemi di governance.
