DeFAI nel 2026: quando gli agenti AI gestiscono la DeFi da soli

Per quasi vent’anni la finanza decentralizzata ha chiesto agli esseri umani di fare il lavoro pesante: leggere i grafici, confrontare i rendimenti, calcolare i rischi e firmare ogni singola transazione. Nel 2026 quella premessa sta saltando. Una nuova generazione di software, gli agenti AI on-chain, non si limita a suggerire una mossa: apre un wallet, valuta le alternative, firma la transazione e la manda in blocco senza chiedere il permesso a nessuno. Quando questi agenti entrano dentro i protocolli DeFi, e quindi prestano, scambiano, forniscono liquidità e ribilanciano portafogli, nasce quella che il settore ha ribattezzato DeFAI: la fusione fra finanza decentralizzata e agenti autonomi. È la promessa di un mercato che non dorme mai e non si distrae mai. Ed è anche il motivo per cui, il 4 maggio 2026, un aggressore è riuscito a svuotare un portafoglio collegato a un agente AI usando un messaggio scritto in codice Morse. Questa guida spiega come funziona la DeFAI, chi la costruisce, quanto vale oggi, dove si rompe e che cosa dicono il fisco italiano e le regole europee.

Che cosa significa DeFAI (e perché non è un semplice trading bot)

DeFAI è l’acronimo con cui si indica l’incontro fra DeFi e agenti di intelligenza artificiale autonomi. La parola chiave è autonomia. Un trading bot tradizionale esegue regole fisse scritte da un umano: se il prezzo scende sotto una certa soglia compra, se un rendimento supera un valore sposta i fondi. Non capisce nulla, applica una tabella. Un agente DeFAI parte da un livello diverso. Al centro c’è un modello linguistico che interpreta un obiettivo espresso in linguaggio naturale, per esempio «massimizza il rendimento sugli stablecoin mantenendo un rischio contenuto», lo scompone in passi, sceglie i protocolli, decide gli importi e firma da solo le operazioni.

La differenza pratica è enorme. Il bot fallisce quando il mercato esce dallo scenario previsto dalle sue regole. L’agente, almeno in teoria, ragiona sulla situazione nuova e adatta la strategia. Questa flessibilità è la ragione dell’entusiasmo, ma è anche la radice dei problemi: un software che interpreta il linguaggio può essere ingannato con il linguaggio, cosa impossibile con un bot a regole rigide.

Vale la pena fissare subito il confine. Non tutto ciò che viene venduto come agente AI lo è davvero. Molti prodotti restano copiloti: analizzano, propongono, ma lasciano l’ultima firma all’utente. Si parla di DeFAI in senso pieno solo quando l’agente controlla le chiavi e può muovere valore senza un intervento umano per ogni operazione. È quel salto, da consigliere ad attore, a cambiare tutto sul piano tecnico, della sicurezza e delle responsabilità.

L’anatomia di un agente DeFAI: cervello, portafoglio e mani

Un agente DeFAI si può scomporre in tre organi. Il cervello è il modello linguistico, che può girare su un servizio cloud (GPT, Claude) oppure in locale su una macchina controllata dall’operatore: è la parte che pianifica, interpreta i dati on-chain e decide. Il portafoglio è ciò che rende l’agente un attore economico: spesso è uno smart account (secondo lo standard di account abstraction ERC-4337) oppure un sistema di session key, che consente di concedere all’agente permessi limitati e revocabili, per esempio un tetto di spesa giornaliero o l’accesso a un solo protocollo. Le mani sono gli strumenti, i plugin che traducono una decisione in una chiamata concreta: depositare su Aave, scambiare su Uniswap, aprire una posizione, votare in una DAO.

A tenere insieme il tutto ci sono la memoria e il ciclo di autonomia. L’agente osserva lo stato della catena e del portafoglio, pianifica, agisce, poi torna a osservare il risultato, in un anello continuo. La memoria, spesso costruita con tecniche di retrieval, gli permette di ricordare posizioni aperte, preferenze e vincoli.

Il punto delicato è il confine di fiducia. Nel momento in cui l’agente detiene o può usare le chiavi, chi controlla quell’agente controlla il denaro. È la stessa logica del blind signing dei wallet tradizionali, quando si firma una transazione senza capirne davvero il contenuto, ma amplificata: qui a firmare è un software che a sua volta può essere manipolato. Per questo le session key con limiti di spesa non sono un dettaglio, sono la prima linea di difesa dell’intera architettura. Un agente ben progettato non ha mai più permessi di quanti gliene servano per il compito assegnato.

Che cosa fa davvero un agente dentro la DeFi

Sul piano operativo un agente DeFAI fa le stesse cose che farebbe un gestore attento, ma alla velocità del software e ventiquattro ore su ventiquattro. La tabella seguente riassume i compiti più diffusi nel 2026, i protocolli tipici su cui operano e il rischio che ciascuna attività porta con sé.

Alcune di queste attività sono già mature. Gli agenti di ottimizzazione del rendimento spostano capitale fra Aave, Morpho e Pendle inseguendo il tasso migliore e reinvestendo gli interessi in automatico. Altri presidiano l’health factor di una posizione a leva e intervengono prima che scatti la liquidazione. Un filone particolarmente attivo è quello dei mercati predittivi: reti di agenti aprono e chiudono posizioni su piattaforme come Polymarket e in alcune giornate rappresentano una quota rilevante delle transazioni firmate tramite Safe su Gnosis Chain, come abbiamo raccontato nella guida agli agenti sui mercati predittivi.

Il tratto comune è che l’agente non chiede conferma. Questo lo rende potentissimo sui compiti ripetitivi e sensibili al tempo, dove un umano sarebbe troppo lento, ma trasferisce tutto il peso sulla qualità del modello e sui limiti che gli sono stati imposti.

La mappa del settore: quanto vale e chi conta

Misurare la DeFAI è complicato, perché gran parte del valore non sta negli agenti ma nei token dei framework e delle infrastrutture che li abilitano. Al 29 agosto 2026 la categoria «AI Agents» monitorata da CoinGecko capitalizza circa 3,08 miliardi di dollari, poco meno di 2,66 miliardi di euro, con un volume giornaliero attorno ai 312 milioni. La tabella mostra i principali token del comparto.

Due avvertenze sono d’obbligo. La prima: quasi nessuno di questi token è l’agente che gestisce i vostri fondi, sono piuttosto reti di calcolo, launchpad e livelli di pagamento. La seconda, più importante, è che il prezzo del token non misura la qualità del software. Il caso più eloquente è ElizaOS, uno dei framework per agenti più usati su GitHub: il suo token è collassato fino a valere pochi milioni, mentre il codice open source continua a essere scaricato e forkato da team di primo piano. Chi valuta la DeFAI guardando solo alla capitalizzazione dei token rischia di confondere la febbre speculativa con la sostanza tecnologica. È un errore che nel 2025 e nel 2026 è costato caro a molti.

Intent e solver: come gli agenti eseguono senza sbagliare rotta

Un agente che deve scambiare un token non ha bisogno di calcolare da solo il percorso ottimale fra decine di pool. Nel 2026 lo standard emergente è l’esecuzione basata sugli intent. L’agente dichiara che cosa vuole ottenere, per esempio il miglior prezzo possibile per convertire un certo importo, e una rete di solver, operatori specializzati e in competizione fra loro, si occupa di trovare e costruire la transazione migliore. Protocolli come CoW Protocol, UniswapX, 1inch Fusion e Across hanno reso questo modello ordinario.

Per gli agenti è un accoppiamento naturale. Ragionare per obiettivi anziché per singoli passi è esattamente ciò che sanno fare i modelli linguistici, e delegare l’esecuzione ai solver li protegge da molti errori di routing e da parte del MEV, perché diverse di queste architetture usano aste in batch che riducono il valore estraibile a danno dell’utente. Il rovescio della medaglia è che i solver stessi sono spesso agenti, e la stessa dinamica competitiva che tutela l’utente crea un ecosistema di software che si dà battaglia a ogni blocco. La ricerca del MEV, un tempo territorio di bot iper-specializzati, diventa così un altro campo in cui gli agenti AI si affrontano.

I framework e l’infrastruttura: Olas, Virtuals ed ElizaOS

Dietro ogni agente c’è uno stack, e tre nomi dominano la conversazione. Olas (già Autonolas) è forse l’infrastruttura più orientata all’autonomia complessa: offre il Mech Marketplace, un mercato in cui gli agenti comprano e vendono servizi fra loro, l’app Pearl per far girare agenti dal proprio dispositivo e un’architettura che esegue i modelli pesanti fuori catena verificandone i risultati on-chain. Nel 2026 Olas ha attivato una commissione di protocollo del 15% sui pagamenti fra agenti sulle catene EVM supportate, come documenta il suo rendiconto trimestrale: un segnale che il traffico agente-ad-agente è ormai abbastanza reale da valere la pena tassarlo.

Virtuals Protocol ha scelto la strada opposta, quella dell’accessibilità: è un launchpad no-code su Base e Solana su cui migliaia di progetti hanno creato agenti senza scrivere codice. ElizaOS, scritto in TypeScript e distribuito con licenza MIT, è invece il framework di riferimento per gli sviluppatori, e la sua parabola, un token azzerato accanto a un codice che sopravvive, è la migliore illustrazione del principio del paragrafo precedente.

Sotto tutti c’è il livello del calcolo. Un agente ha bisogno di inferenza, e sempre più spesso la compra da reti decentralizzate anziché da un singolo fornitore. È qui che si intrecciano progetti come Ritual e l’intero filone dell’inferenza verificabile, che prova non solo che un calcolo è stato eseguito, ma che è stato eseguito correttamente. Per la DeFAI non è un dettaglio accademico: se un agente muove denaro sulla base di un’inferenza, poter dimostrare che quell’inferenza non è stata alterata è parte della sicurezza.

Come si pagano tra loro: x402, AP2 e i binari dei micro-pagamenti

Perché un’economia di agenti funzioni, gli agenti devono potersi pagare senza aprire un conto o inserire una carta. Nel 2026 lo standard che ha preso la testa è x402, ideato da Coinbase per riportare in vita il codice HTTP 402 «Payment Required», rimasto inutilizzato per decenni. Il meccanismo è semplice: un servizio risponde con un 402 e le istruzioni di pagamento, l’agente firma una transazione in stablecoin e riprova, ottenendo l’accesso. Il 14 luglio 2026 la Linux Foundation ha reso operativa la x402 Foundation con 40 organizzazioni fondatrici, tra cui Visa, Mastercard, American Express, Stripe, Google, AWS e Coinbase. In parallelo Google promuove AP2 (Agent Payments Protocol) per il livello di autorizzazione, cioè per stabilire che un agente sia davvero abilitato a spendere.

Il regolamento reale avviene soprattutto in USDC su Base. Ed è qui che serve onestà sui numeri: la standardizzazione corre molto più veloce dell’uso. Jesse Pollak, creatore di Base in Coinbase, ha quantificato in circa 48 milioni di dollari il valore realmente transitato su x402 fino alla primavera 2026, con circa il 95% su Base, e ha riassunto la logica del settore in una frase diventata celebre: «gli agenti sono definiti nel software e operano nel software, vogliono denaro sotto forma di software» (CoinDesk). Solana guida invece per numero di transazioni, gonfiato però da traffico minimo e speculativo. In sintesi: l’impianto istituzionale è pronto, il volume economico è ancora piccolo. Per la DeFAI questo livello di pagamento è il sistema nervoso che collega gli agenti fra loro, ma è un sistema nervoso ancora giovane.

Il tallone d’Achille: prompt injection e il caso Grok/Bankr

La vulnerabilità che definisce questa fase della DeFAI ha una data precisa. Il 4 maggio 2026 un aggressore ha svuotato un portafoglio su Base collegato all’agente Bankr, costruito attorno a Grok di xAI. L’attacco è stato in due tempi. Prima l’aggressore ha inviato al wallet dell’agente un NFT che, per come era configurato Bankr, sbloccava i permessi di trasferimento: un caso da manuale di eccessiva delega di poteri. Poi ha pubblicato su X un messaggio cifrato in codice Morse chiedendo all’agente di decodificarlo. Grok, facendo ciò che fanno i chatbot, ha ripetuto pubblicamente il testo nascosto, che era esattamente l’istruzione attesa dallo scanner di Bankr: inviare circa 3 miliardi di token DRB, per un valore vicino ai 175.000 dollari (poco più di 150.000 euro), all’indirizzo dell’attaccante. L’incidente è catalogato dall’OECD.AI, e la società di sicurezza SlowMist lo ha definito un «attacco alla catena dei permessi» (CryptoTimes). Gran parte dei fondi è stata poi restituita, ma il precedente resta.

Il difetto è strutturale e ha due nomi nella tassonomia OWASP: prompt injection (LLM01) ed excessive agency (LLM06). Il modello non sa distinguere un’istruzione da un semplice dato: se legge un testo che sembra un ordine, tende a eseguirlo. Esiste una variante ancora più insidiosa, l’iniezione nella memoria. Un gruppo di ricercatori di Princeton, con il benchmark CrAIBench, ha mostrato che avvelenando la memoria persistente di un agente costruito su ElizaOS le difese contro la prompt injection diventano quasi inutili, perché il contenuto malevolo entra dal contesto salvato e non da un messaggio in tempo reale (arXiv). La tabella riassume i vettori principali.

Il dilemma autonomia-sicurezza: i limiti secondo Vitalik

Qui sta il paradosso della DeFAI: ogni difesa efficace erode l’autonomia, che è la ragione stessa di usare un agente. Se impongo un’approvazione umana per ogni transazione, ho ricostruito il copilota. Se non impongo nulla, resto esposto al prossimo attacco in codice Morse. Vitalik Buterin ha affrontato il problema in un intervento dell’aprile 2026. La sua proposta pratica: limitare le transazioni autonome di un agente a circa 100 dollari al giorno e richiedere una conferma umana per gli importi superiori o per qualsiasi operazione che porti con sé calldata, cioè istruzioni complesse (Bitcoin.com News). Buterin descrive questo schema come un «2 su 2» in cui l’essere umano e il modello sono due fattori di conferma distinti, che intercettano errori diversi, e raccomanda di far girare i modelli in locale, ricordando che una quota vicina al 15% delle «skill» degli agenti può contenere istruzioni malevole (vitalik.eth.limo).

La risposta tecnologica più ambiziosa arriva dal calcolo verificabile: zk-ML, ambienti di esecuzione fidati (TEE), opML e standard di identità come ERC-8004 puntano a rendere dimostrabile ciò che un agente ha fatto. Attenzione però a una sfumatura decisiva: queste tecniche provano che un calcolo è stato eseguito integralmente e su un certo modello, non che l’istruzione ricevuta fosse legittima. Proteggono dalla manomissione, non dall’inganno. È una difesa necessaria ma non sufficiente, e chi promette che il calcolo verificabile risolva la prompt injection sta vendendo qualcosa che non esiste.

Il rischio sistemico: agenti correlati, MEV e cascate di liquidità

Un singolo agente che sbaglia perde i soldi del suo padrone. Mille agenti che sbagliano nello stesso momento muovono il mercato. È il rischio meno discusso e forse il più serio della DeFAI. Quando molti agenti usano modelli simili, leggono gli stessi dati e inseguono gli stessi rendimenti, tendono a comportarsi in modo correlato: entrano insieme, escono insieme e nelle fasi di stress possono innescare cascate di liquidazioni che si autoalimentano. La stessa riflessività che rende i mercati cripto nervosi diventa più rapida e più profonda quando a premere il grilletto è il software.

A questo si aggiunge la dipendenza dagli oracoli. Un agente che decide sulla base di un prezzo manipolato prende una decisione perfettamente logica ma sbagliata, e lo fa senza il dubbio che avrebbe un umano. E poiché gli agenti competono anche sul MEV, un episodio di stress può trasformarsi in una corsa di predatori che peggiora lo slippage per tutti. Il tema si intreccia con quello, più ampio, della correlazione fra azioni e cripto: più attori automatizzati condividono lo stesso segnale, più i mercati si muovono all’unisono. Nessuno di questi rischi è una ragione per fermare la DeFAI, ma sono la prova che la vera partita non è costruire l’agente più intelligente, bensì evitare che migliaia di agenti diventino, di fatto, un unico gigantesco trader.

Le regole europee: MiCA, Consob e quando scatta la MiFID II

Sul piano normativo il primo punto da chiarire è che MiCA regola i fornitori di servizi sulle cripto-attività (i CASP) e gli emittenti, non il software dell’agente in quanto tale. In Italia il periodo transitorio si è chiuso il 1° luglio 2026: la Consob, in coordinamento con la Banca d’Italia, ha comunicato che gli operatori abilitati sono nove, otto CASP (CheckSig, Conio, CryptoSmart, Hercle, Hodlie, Olliv Italia, Riv Digital, Young Platform) più Banca Sella, sulla base del D.lgs. 129/2024. MiCA però è stata scritta per le cripto-attività a pronti, non per un software che agisce da solo.

Il confine si sposta quando l’agente smette di eseguire ordini e comincia a consigliare o a gestire un portafoglio per conto di terzi. In quel caso si entra nel perimetro della MiFID II, vigilata in Italia dalla Consob. L’ESMA ha già chiarito, in una dichiarazione sull’uso dell’intelligenza artificiale nei servizi di investimento, che le imprese devono rispettare gli obblighi MiFID II anche quando la decisione passa per un modello: agire nel migliore interesse del cliente, essere trasparenti sul ruolo dell’AI e mantenere una supervisione umana e presidi organizzativi adeguati (ESMA). Resta poi il nodo che nessuna norma risolve ancora: un agente non ha personalità giuridica né codice fiscale. Se qualcosa va storto, la responsabilità ricade sul principale, la persona o la società che lo ha configurato e ne detiene le chiavi. Lo stesso vale per gli obblighi antiriciclaggio: quando a operare è un agente, chi è il cliente da identificare? È una domanda che si lega direttamente alle regole su KYC e AML e che, per ora, non ha una risposta pulita.

Il fisco italiano: ogni transazione dell’agente è un evento fiscale

Per un utente italiano il capitolo fiscale è forse il più concreto. Dal 1° gennaio 2026 le plusvalenze sulle cripto-attività sono tassate al 33% e la vecchia soglia di esenzione di 2.000 euro è stata abolita (Eutekne). C’è però un’eccezione importante e molto rilevante per gli agenti: gli e-money token denominati in euro e conformi a MiCAR, con riserve detenute nell’Unione, restano tassati al 26%, e la semplice conversione fra euro ed euro-stablecoin, così come il rimborso al valore nominale, non genera plusvalenza.

Perché questo conta per la DeFAI? Perché un agente che paga o incassa in USDC, cioè in una stablecoin agganciata al dollaro, realizza in teoria una cessione ogni volta che la variazione del cambio euro/dollaro produce un guadagno: migliaia di micro-operazioni diventano migliaia di potenziali eventi fiscali. Un agente che lavora in una stablecoin in euro conforme evita gran parte di questo attrito, e il ragionamento fiscale finisce per coincidere con l’argomento della sovranità monetaria europea. C’è di più: l’attività di trading automatico ad alta frequenza, ventiquattro ore su ventiquattro, rischia di essere riqualificata dall’amministrazione come reddito d’impresa, con la perdita del trattamento da capital gain. Chi affida denaro a un agente dovrebbe pretendere un registro completo di ogni transazione, esattamente come chi pianifica le minusvalenze di fine anno o segue il dibattito sulla manovra 2027 e l’aliquota al 33% deve tenere i conti in ordine.

Come valutare (e mettere in sicurezza) un agente DeFAI

Chi vuole usare un agente DeFAI, o costruirne uno, può ridurre il rischio seguendo pochi principi concreti. Non eliminano il pericolo, ma spostano le probabilità dalla parte giusta.

• Chiavi non-custodial e session key: l’agente dovrebbe operare con permessi limitati e revocabili, mai con l’accesso pieno al portafoglio principale.
• Tetto di spesa e conferma umana: il modello «umano più modello, 2 su 2» di Buterin è la difesa più semplice ed efficace, e un cap giornaliero taglia il danno massimo.
• Permessi isolati: un agente per ogni compito, non un super-agente onnipotente, così un exploit non contamina tutto il resto.
• Esecuzione verificabile dove possibile: TEE e prove crittografiche non fermano l’inganno, ma proteggono dalla manomissione del calcolo.
• Audit del codice e dei plugin: ricordando che una quota rilevante delle skill in circolazione può contenere istruzioni malevole.
• Kill switch e monitoraggio degli oracoli: la possibilità di spegnere l’agente in fretta vale più di qualsiasi rendimento.
• Registro fiscale: tracciare ogni operazione fin dal primo giorno, per non trovarsi impreparati con il fisco.
• Diffidare del token: la salute di un framework non si misura dal prezzo del suo token, come insegna la storia recente.

La DeFAI non è né la rivoluzione miracolosa raccontata dai launchpad né la truffa liquidata dagli scettici. È una tecnologia potente e immatura, in cui la parte difficile non è far ragionare l’agente ma impedirgli di fare danni. Nel 2026 il confine fra un assistente utile e un rischio incontrollato passa quasi tutto per i limiti che gli imponiamo.

Domande frequenti

Che cos’è la DeFAI?

DeFAI è la fusione fra finanza decentralizzata (DeFi) e agenti AI autonomi. Un agente DeFAI è un software basato su un modello linguistico dotato di un proprio wallet, che interpreta un obiettivo, decide la strategia e firma da solo le transazioni dentro i protocolli DeFi (prestito, scambio, liquidità), senza un intervento umano per ogni operazione.

Gli agenti AI che gestiscono la DeFi sono sicuri?

Non ancora del tutto. Il caso Grok/Bankr del maggio 2026 ha mostrato come un attacco di prompt injection possa svuotare un wallet collegato a un agente. Il rischio principale è che il modello non sa distinguere un’istruzione da un dato: chi controlla il testo che l’agente legge può controllarne le azioni. Limiti di spesa, approvazione umana sopra soglia e permessi isolati riducono il pericolo.

Come pagano gli agenti AI on-chain?

Attraverso stablecoin come USDC su reti veloci ed economiche (soprattutto Base) e standard di pagamento nati per le macchine, come x402 (che riusa il codice HTTP 402) e AP2 di Google. Nel 2026 la Linux Foundation ha istituzionalizzato x402 con una fondazione dedicata e 40 membri, tra cui Visa, Mastercard e Coinbase.

Come vengono tassati in Italia i guadagni di un agente AI?

Dal 1° gennaio 2026 le plusvalenze cripto sono tassate al 33% e la vecchia soglia di 2.000 euro è stata abolita. Fanno eccezione gli e-money token in euro conformi a MiCAR, tassati al 26%. Ogni transazione dell’agente che genera una plusvalenza è un evento fiscale, e l’attività ad alta frequenza può essere riqualificata come reddito d’impresa.

Chi è responsabile se un agente AI perde i miei fondi?

L’agente non ha personalità giuridica né codice fiscale, quindi la responsabilità ricade sulla persona o sulla società che lo ha configurato e ne detiene le chiavi (il principale). MiCA regola i fornitori di servizi, non il software dell’agente; se l’agente dà consigli o gestisce un portafoglio si applica la MiFID II, sotto la vigilanza di Consob.

Di Marcus Okafor, redazione HOGE Wire.