{"id":385,"date":"2026-08-25T22:35:21","date_gmt":"2026-08-25T22:35:21","guid":{"rendered":"https:\/\/hoge.gg\/it\/agenti-ai-on-chain-2026-guida-wallet-pagamenti-sicurezza\/"},"modified":"2026-08-25T22:35:21","modified_gmt":"2026-08-25T22:35:21","slug":"agenti-ai-on-chain-2026-guida-wallet-pagamenti-sicurezza","status":"publish","type":"post","link":"https:\/\/hoge.gg\/it\/agenti-ai-on-chain-2026-guida-wallet-pagamenti-sicurezza\/","title":{"rendered":"Agenti AI on-chain nel 2026: come funzionano, pagano e sbagliano"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Per anni gli agenti AI on-chain sono stati soprattutto una narrazione: un bot con una personalit\u00e0, un profilo social e un token che saliva pi\u00f9 in fretta di qualunque prodotto reale. Nel 2026 la storia \u00e8 cambiata. Gli agenti hanno smesso di essere un meme e sono diventati utenti della blockchain a pieno titolo. Hanno un wallet proprio, firmano le loro transazioni, comprano servizi e, in un numero crescente di casi, pagano altri agenti senza che una persona prema un pulsante.<\/p><p class=\"wp-block-paragraph\">I numeri raccontano due storie opposte. La categoria \u00abAI Agents\u00bb monitorata da <a href='https:\/\/www.coingecko.com\/en\/categories\/ai-agents'>CoinGecko<\/a> vale circa 2,7 miliardi di euro, una frazione del picco toccato all&#8217;inizio del 2025, e diversi token che hanno definito il settore sono crollati o, come ELIZAOS, sono stati dichiarati letteralmente \u00abmorti\u00bb dai loro stessi creatori. Nello stesso periodo, per\u00f2, l&#8217;infrastruttura che permette a un agente di pagare, identificarsi e operare non \u00e8 mai stata cos\u00ec solida: a luglio 2026 la Linux Foundation ha istituzionalizzato lo standard di pagamento x402, con Visa, Mastercard e Stripe tra i membri fondatori. Il token muore, l&#8217;infrastruttura resta.<\/p><p class=\"wp-block-paragraph\">Questa guida spiega che cosa significa davvero \u00abagente AI on-chain\u00bb nel 2026: come \u00e8 fatto dentro, come paga, dove sbaglia e chi risponde quando sbaglia. Con un&#8217;attenzione specifica alle regole che contano per chi opera dall&#8217;Italia, cio\u00e8 MiCA, la vigilanza di Consob e Banca d&#8217;Italia, il perimetro della MiFID II e la nuova tassazione entrata in vigore il 1 gennaio 2026.<\/p><h2 class='wp-block-heading'>Che cosa significa davvero \u00abagente AI on-chain\u00bb<\/h2><p class=\"wp-block-paragraph\">Un agente AI on-chain \u00e8 la somma di quattro componenti. La prima \u00e8 un modello linguistico di grandi dimensioni (LLM): interpreta un obiettivo espresso in linguaggio naturale, lo scompone in passi e decide che cosa fare. La seconda \u00e8 un wallet di cui l&#8217;agente controlla la chiave, o una parte della chiave: \u00e8 ci\u00f2 che gli consente di firmare transazioni e detenere fondi. La terza \u00e8 un insieme di strumenti, chiamati tool o plugin: interfacce verso exchange, protocolli DeFi, oracoli, API di dati e altri agenti. La quarta \u00e8 l&#8217;autonomia, cio\u00e8 la capacit\u00e0 di agire in un ciclo continuo (osserva, pianifica, agisce, verifica) senza che un umano approvi ogni singolo passo.<\/p><p class=\"wp-block-paragraph\">\u00c8 questa combinazione a distinguere un agente da un tradizionale bot di trading. Un bot esegue regole scritte da una persona: se il prezzo scende del 5 per cento, compra. Un agente riceve un obiettivo vago, per esempio \u00abproteggi il valore del mio portafoglio questa settimana\u00bb, e sceglie da solo la strategia, gli strumenti e le transazioni. Il bot fa ci\u00f2 che gli \u00e8 stato detto; l&#8217;agente decide che cosa fare.<\/p><p class=\"wp-block-paragraph\">Questa differenza sposta il problema dalla logica alla fiducia. Con un bot il rischio \u00e8 un errore nel codice, deterministico e verificabile riga per riga. Con un agente il rischio \u00e8 che il modello venga convinto, ingannato o semplicemente si sbagli, e che quel giudizio errato si traduca nella firma di una transazione irreversibile. Il confine di fiducia, il trust boundary, non passa pi\u00f9 tra il codice e l&#8217;input, ma tra ci\u00f2 che il modello crede sia un&#8217;istruzione legittima e ci\u00f2 che in realt\u00e0 \u00e8 un attacco. Tenere a mente questo confine \u00e8 la chiave per capire tutto il resto.<\/p><h2 class='wp-block-heading'>Come \u00e8 nato il settore: dai meme agli agenti che pagano<\/h2><p class=\"wp-block-paragraph\">Il settore \u00e8 nato per gioco. Nella seconda met\u00e0 del 2024 un bot AI dal carattere sopra le righe attir\u00f2 l&#8217;attenzione di investitori noti e ispir\u00f2 un memecoin che in poche settimane super\u00f2 i cento milioni di dollari di capitalizzazione. Poco dopo, in ottobre 2024, un progetto lanciato sulla piattaforma daos.fun promise qualcosa di pi\u00f9 ambizioso: un fondo di venture capital gestito da un&#8217;AI, con la comunit\u00e0 che proponeva investimenti e un agente che, in teoria, decideva. Era il progetto poi diventato ElizaOS, di cui abbiamo raccontato <a href='https:\/\/hoge.gg\/it\/ai16z-trades-ai-gestire-fondo-cripto-2026\/'>ascesa e caduta come presunto gestore automatico di un fondo cripto<\/a>.<\/p><p class=\"wp-block-paragraph\">Il 2025 fu l&#8217;anno dell&#8217;euforia. Nacquero decine di launchpad, migliaia di agenti con il proprio token e la promessa che un&#8217;AI potesse far crescere il capitale meglio di un gestore umano. Il 2026 \u00e8 stato l&#8217;anno della resa dei conti. Molti di quei token hanno perso oltre il 99 per cento del valore, alcuni progetti sono finiti in tribunale e la distinzione pi\u00f9 importante di tutto il settore \u00e8 diventata evidente: la qualit\u00e0 di un framework software non ha nulla a che vedere con il prezzo del token che gli \u00e8 stato appiccicato sopra. Il codice open source pu\u00f2 essere eccellente mentre il token collassa, e viceversa.<\/p><p class=\"wp-block-paragraph\">La lezione di questi due anni \u00e8 semplice ma costosa: gli agenti AI vanno giudicati per quello che fanno, non per la narrazione che li circonda. Un&#8217;AI che gestisce denaro non \u00e8 affidabile solo perch\u00e9 ha un nome brillante e una comunit\u00e0 entusiasta.<\/p><h2 class='wp-block-heading'>La mappa del settore nel 2026: numeri e token<\/h2><p class=\"wp-block-paragraph\">Al 25 agosto 2026 la categoria \u00abAI Agents\u00bb di CoinGecko vale circa 2,7 miliardi di euro (3,15 miliardi di dollari), con un volume di scambi nelle ultime 24 ore attorno ai 436 milioni di euro. \u00c8 un mercato piccolo rispetto al resto delle criptovalute e molto concentrato: pochi token pesano per la maggior parte della capitalizzazione. La tabella seguente riporta i principali, con valori convertiti al cambio euro-dollaro di circa 1,17.<\/p><figure class='wp-block-table'><table><thead><tr><th>Token<\/th><th>Ruolo<\/th><th>Prezzo (EUR)<\/th><th>Capitalizzazione (EUR)<\/th><\/tr><\/thead><tbody><tr><td>Venice (VVV)<\/td><td>Piattaforma AI privacy-first<\/td><td>~15,08 \u20ac<\/td><td>~716 mln \u20ac<\/td><\/tr><tr><td>Virtuals (VIRTUAL)<\/td><td>Launchpad di agenti (Base, Solana)<\/td><td>~0,64 \u20ac<\/td><td>~422 mln \u20ac<\/td><\/tr><tr><td>ASI Alliance (FET)<\/td><td>Fetch.ai, SingularityNET, Ocean<\/td><td>~0,14 \u20ac<\/td><td>~319 mln \u20ac<\/td><\/tr><tr><td>Kite (KITE)<\/td><td>Blockchain per pagamenti tra agenti<\/td><td>~0,096 \u20ac<\/td><td>~230 mln \u20ac<\/td><\/tr><tr><td>OriginTrail (TRAC)<\/td><td>Grafo di conoscenza verificabile<\/td><td>~0,30 \u20ac<\/td><td>~135 mln \u20ac<\/td><\/tr><tr><td>Holoworld (HOLO)<\/td><td>Creazione di agenti e avatar<\/td><td>~0,059 \u20ac<\/td><td>~45 mln \u20ac<\/td><\/tr><tr><td>Autonolas (OLAS)<\/td><td>Servizi di agenti autonomi (DeFAI)<\/td><td>~0,021 \u20ac<\/td><td>~6 mln \u20ac<\/td><\/tr><\/tbody><\/table><figcaption>Valori indicativi al 25 agosto 2026, fonte CoinGecko. La capitalizzazione non misura la qualit\u00e0 tecnica dell&#8217;agente.<\/figcaption><\/figure><p class=\"wp-block-paragraph\">Un avvertimento \u00e8 d&#8217;obbligo: la capitalizzazione di un token non misura la qualit\u00e0 dell&#8217;agente o del framework sottostante. Venice e Virtuals valgono centinaia di milioni, ma il framework pi\u00f9 usato al mondo dagli sviluppatori, ElizaOS, ha un token che vale ormai pochi milioni di dollari. Leggere questa tabella come una classifica di merito tecnico sarebbe un errore: \u00e8 una fotografia della speculazione, non dell&#8217;utilit\u00e0.<\/p><h2 class='wp-block-heading'>L&#8217;anatomia di un agente: modello, wallet, strumenti, memoria<\/h2><p class=\"wp-block-paragraph\">Dentro un agente AI on-chain girano quattro sottosistemi che vale la pena conoscere, perch\u00e9 \u00e8 l\u00ec che nascono sia i poteri sia i rischi.<\/p><ul class='wp-block-list'><li><strong>Il modello e il ciclo di ragionamento.<\/strong> Un LLM riceve l&#8217;obiettivo, osserva lo stato del mondo (prezzi, saldi, messaggi) e produce un piano. Il modello pu\u00f2 girare in remoto, su server di terze parti, oppure in locale sulla macchina dell&#8217;utente. La scelta ha conseguenze enormi su sicurezza e privacy, come vedremo.<\/li><li><strong>Il wallet.<\/strong> \u00c8 il cuore operativo. Gli agenti moderni usano quasi sempre wallet a contratto (smart account) con account abstraction, che permettono chiavi di sessione (session key) con permessi limitati: un agente pu\u00f2 firmare solo certe operazioni, fino a un certo importo, per un certo tempo. \u00c8 il meccanismo che separa \u00abl&#8217;agente pu\u00f2 leggere il saldo\u00bb da \u00abl&#8217;agente pu\u00f2 svuotare il conto\u00bb.<\/li><li><strong>Gli strumenti.<\/strong> Sono i plugin che collegano il modello al mondo on-chain: uno swap su un DEX, un deposito su un protocollo di lending, una chiamata a un oracolo, un pagamento a una API. Ogni strumento \u00e8 una porta; ogni porta \u00e8 una superficie di attacco.<\/li><li><strong>La memoria.<\/strong> Per non ripartire da zero a ogni interazione, l&#8217;agente conserva un contesto: conversazioni passate, decisioni, dati recuperati (spesso con tecniche di retrieval, il cosiddetto RAG). Questa memoria \u00e8 utile, ma \u00e8 anche un bersaglio: se un attaccante riesce a inserirvi un&#8217;istruzione, l&#8217;agente la tratter\u00e0 come un ricordo affidabile.<\/li><\/ul><p class=\"wp-block-paragraph\">Molti agenti, inoltre, non tengono tutto in casa: comprano ci\u00f2 che serve. L&#8217;inferenza di un modello, la potenza di calcolo, i dati di mercato vengono spesso acquistati al volo pagando in stablecoin. \u00c8 il motivo per cui l&#8217;<a href='https:\/\/hoge.gg\/it\/inferenza-decentralizzata-guida-sviluppatori-api-2026\/'>inferenza decentralizzata \u00e8 diventata un servizio che gli agenti comprano<\/a>, e per cui i pagamenti automatici, di cui parliamo tra poco, sono la vera spina dorsale del settore.<\/p><h2 class='wp-block-heading'>Framework e launchpad: Virtuals, ElizaOS, Olas<\/h2><p class=\"wp-block-paragraph\">Tre nomi dominano la parte software del settore, e ognuno rappresenta un approccio diverso.<\/p><p class=\"wp-block-paragraph\"><strong>Virtuals Protocol<\/strong> \u00e8 un launchpad senza codice: permette a chiunque di creare e mettere in circolazione un agente con un proprio token, principalmente sulle reti Base e Solana. Ha dato vita a migliaia di progetti e a un&#8217;economia interna di servizi tra agenti, ma i suoi ricavi sono calati molto rispetto al picco del 2025.<\/p><p class=\"wp-block-paragraph\"><strong>ElizaOS<\/strong> \u00e8 il framework open source pi\u00f9 diffuso, scritto in TypeScript e tra i repository AI pi\u00f9 popolari su GitHub. Qui la lezione \u00abtoken diverso da framework\u00bb \u00e8 netta. Il 4 agosto 2026 il fondatore Shaw Walters ha dichiarato su X che il token \u00e8 finito, dopo aver ceduto il tesoro del progetto per chiudere una class action: \u00abIl token \u00e8 morto. Completamente. La fondazione sta chiudendo\u00bb, ha scritto, spiegando poi che Eliza non avr\u00e0 pi\u00f9 un token nativo e che lui continuer\u00e0 a sviluppare il framework open source (<a href='https:\/\/www.coindesk.com\/markets\/2026\/08\/05\/ai-agent-token-once-worth-usd2-4-billion-ends-with-founder-calling-it-dead'>CoinDesk<\/a>). Un token un tempo valutato circa 2,4 miliardi di dollari \u00e8 finito sotto i pochi milioni; il codice, per\u00f2, continua a essere usato e mantenuto.<\/p><p class=\"wp-block-paragraph\"><strong>Olas (Autonolas)<\/strong> rappresenta il filone pi\u00f9 concreto: agenti autonomi che svolgono un lavoro utile, soprattutto nella finanza decentralizzata e nei mercati predittivi. \u00c8 la porta d&#8217;ingresso al fenomeno che il settore chiama DeFAI, di cui parliamo pi\u00f9 avanti.<\/p><p class=\"wp-block-paragraph\">La lezione trasversale \u00e8 che un framework va valutato per la sua architettura, la sua comunit\u00e0 e la sua manutenzione, non per la quotazione del token associato. Un progetto pu\u00f2 avere un token morto e un software vivo.<\/p><h2 class='wp-block-heading'>Come pagano gli agenti: x402, AP2 e la corsa agli standard<\/h2><p class=\"wp-block-paragraph\">Se un agente deve comprare un servizio, gli serve un modo per pagare che non richieda una carta di credito intestata a un umano, n\u00e9 una password digitata a mano. Nel 2026 sono emersi tre standard che si spartiscono i livelli di questo problema.<\/p><p class=\"wp-block-paragraph\"><strong>x402<\/strong>, ideato da Coinbase, riporta in vita un vecchio codice HTTP mai usato davvero, il 402 \u00abPayment Required\u00bb. Quando un agente chiede una risorsa a pagamento, il server risponde con un 402 e le istruzioni per pagare; l&#8217;agente firma una transazione in stablecoin (di solito USDC) e ottiene la risorsa. Il 14 luglio 2026 la <a href='https:\/\/www.linuxfoundation.org\/press\/linux-foundation-announces-operational-launch-of-x402-foundation-to-standardize-internet-native-payments-for-ai-agents-and-applications'>Linux Foundation ha lanciato la x402 Foundation<\/a> come ente di standardizzazione, con 40 membri fondatori tra cui Visa, Mastercard, Stripe, Google, AWS, American Express, Circle, Coinbase e la Solana Foundation. Coinbase ha donato il protocollo.<\/p><p class=\"wp-block-paragraph\"><strong>AP2<\/strong> (Agent Payments Protocol), presentato da Google il 16 settembre 2025 con oltre 60 partner tra cui Mastercard, PayPal e Coinbase, si occupa del livello dell&#8217;autorizzazione: usa tre \u00abmandati\u00bb firmati (intenzione, carrello, pagamento) sotto forma di credenziali verificabili, cos\u00ec che sia sempre chiaro chi ha autorizzato cosa. AP2 tratta le stablecoin come strumento di pagamento di prima classe, accanto a carte e bonifici, e ha un&#8217;estensione che si aggancia proprio a x402 (<a href='https:\/\/cloud.google.com\/blog\/products\/ai-machine-learning\/announcing-agents-to-payments-ap2-protocol'>Google Cloud<\/a>).<\/p><p class=\"wp-block-paragraph\"><strong>ACP<\/strong>, sviluppato da OpenAI con Stripe, copre il livello dell&#8217;esperienza d&#8217;acquisto (il checkout). Insieme, i tre formano una pila: chi paga (x402), chi autorizza (AP2) e come si compra (ACP). Progetti come <a href='https:\/\/www.theblock.co\/post\/399534\/kite-launches-kite-chain-and-kite-agent-passport-enabling-autonomous-ai-agent-payments'>Kite<\/a>, una blockchain dedicata ai pagamenti tra agenti con una funzione di identit\u00e0 chiamata Agent Passport e la rete principale attiva da fine aprile 2026, aggiungono un livello di identit\u00e0: dare a ogni agente un documento verificabile e limiti di spesa applicati dal protocollo.<\/p><figure class='wp-block-table'><table><thead><tr><th>Protocollo<\/th><th>Promotore<\/th><th>Livello nello stack<\/th><th>Stato nel 2026<\/th><\/tr><\/thead><tbody><tr><td>x402<\/td><td>Coinbase, poi Linux Foundation<\/td><td>Pagamento e regolamento (HTTP 402, stablecoin)<\/td><td>Fondazione operativa dal 14 luglio, 40 membri<\/td><\/tr><tr><td>AP2<\/td><td>Google<\/td><td>Autorizzazione (mandati: intenzione, carrello, pagamento)<\/td><td>Annunciato a settembre 2025, oltre 60 partner<\/td><\/tr><tr><td>ACP<\/td><td>OpenAI e Stripe<\/td><td>Esperienza d&#8217;acquisto (checkout)<\/td><td>Rilasciato a fine 2025, licenza aperta<\/td><\/tr><\/tbody><\/table><figcaption>I tre standard non competono direttamente: coprono livelli diversi della stessa pila di pagamento.<\/figcaption><\/figure><h2 class='wp-block-heading'>Il divario tra adozione e realt\u00e0<\/h2><p class=\"wp-block-paragraph\">Qui si apre la contraddizione pi\u00f9 interessante del 2026. I numeri di adozione sembrano enormi: secondo <a href='https:\/\/www.chainalysis.com\/blog\/x402-agentic-payments-adoption\/'>Chainalysis<\/a>, i pagamenti tramite x402 sulla rete Base hanno superato i 100 milioni di transazioni in circa nove mesi, partendo da quasi zero. Ma la stessa analisi mostra che il valore economico reale \u00e8 molto pi\u00f9 piccolo del clamore, e che la quota di micro-pagamenti sotto il dollaro \u00e8 crollata: nel giro di un anno la quota di valore mosso da transazioni sopra il dollaro \u00e8 passata da circa met\u00e0 a quasi il 95 per cento. In altre parole, la promessa iniziale (miliardi di micro-pagamenti da frazioni di centesimo) per ora non si \u00e8 avverata; a muovere i numeri sono stati soprattutto episodi speculativi, come alcuni memecoin che usavano x402 per il conio.<\/p><p class=\"wp-block-paragraph\">Chi costruisce questi standard non lo nasconde, e anzi punta pi\u00f9 in alto. Rubail Birwadker, responsabile crescita di Visa, in un comunicato di fine 2025 ha dichiarato: \u00abNel 2026 gli agenti AI non si limiteranno ad assistere i vostri acquisti: li completeranno\u00bb (<a href='https:\/\/usa.visa.com\/about-visa\/newsroom\/press-releases.releaseId.21961.html'>Visa<\/a>). La visione \u00e8 che il vero mercato non siano gli umani che comprano tramite un agente, ma le macchine che pagano altre macchine: un agente che compra dati, potenza di calcolo, accesso a una API, in autonomia e in enormi quantit\u00e0.<\/p><p class=\"wp-block-paragraph\">La distanza tra questa visione e i numeri odierni \u00e8 il tema centrale del settore. L&#8217;infrastruttura \u00e8 pronta e sostenuta da colossi dei pagamenti; la domanda reale, per ora, arranca dietro. \u00c8 esattamente la stessa divergenza che si vede nei token: i tubi maturano mentre la speculazione si raffredda.<\/p><h2 class='wp-block-heading'>DeFAI: quando l&#8217;agente entra nei protocolli<\/h2><p class=\"wp-block-paragraph\">DeFAI \u00e8 la crasi di \u00abDeFi\u00bb e \u00abAI\u00bb: indica agenti autonomi che operano dentro i protocolli di finanza decentralizzata. Invece di limitarsi a suggerire, l&#8217;agente esegue: apre e chiude posizioni, sposta liquidit\u00e0 tra pool, gestisce strategie di rendimento, monitora il rischio e, in alcuni casi, tratta direttamente con altri agenti. Olas, per esempio, mette agenti a lavorare sui mercati predittivi, dove in certe giornate rappresentano una quota rilevante delle transazioni.<\/p><p class=\"wp-block-paragraph\">L&#8217;attrattiva \u00e8 ovvia: un agente non dorme, reagisce in millisecondi e pu\u00f2 gestire decine di posizioni contemporaneamente. Ma ci sono due insidie strutturali. La prima \u00e8 la correlazione: se migliaia di agenti girano su modelli simili e leggono gli stessi segnali, tenderanno a reagire allo stesso modo nello stesso momento, amplificando i movimenti di prezzo invece di attenuarli. Un mercato di agenti correlati \u00e8 un mercato pi\u00f9 fragile, soggetto a cascate di liquidazioni.<\/p><p class=\"wp-block-paragraph\">La seconda insidia \u00e8 il MEV (Maximal Extractable Value): ogni transazione prevedibile di un agente \u00e8 un&#8217;occasione per chi controlla l&#8217;ordinamento dei blocchi. Un agente che segue una logica leggibile pu\u00f2 essere anticipato (front-running) o sfruttato con manovre sandwich. Pi\u00f9 gli agenti diventano numerosi e prevedibili, pi\u00f9 diventano prede appetibili. Non a caso il tema della manipolazione di mercato, che in Europa MiCA affronta con regole specifiche su insider e abusi, torna centrale anche nel mondo degli agenti.<\/p><h2 class='wp-block-heading'>Il problema di sicurezza che nessuno ha risolto<\/h2><p class=\"wp-block-paragraph\">C&#8217;\u00e8 un difetto di fondo negli agenti AI che nessuno, a met\u00e0 2026, ha davvero risolto: un modello linguistico non distingue in modo affidabile un&#8217;istruzione da un dato. Per l&#8217;LLM, tutto \u00e8 testo. Se un&#8217;istruzione malevola viene nascosta nei dati che l&#8217;agente legge (un messaggio, una pagina web, un campo di un token), il modello pu\u00f2 eseguirla come se venisse dal suo padrone.<\/p><p class=\"wp-block-paragraph\">Il caso simbolo \u00e8 avvenuto il 4 maggio 2026. Un attaccante ha prima inviato un NFT \u00abmembership\u00bb al wallet di un agente basato su Grok e collegato al bot di pagamento Bankr, ottenendo cos\u00ec permessi elevati (un&#8217;escalation di privilegi); poi ha pubblicato su X un messaggio in codice Morse che nascondeva l&#8217;ordine di trasferire dei token. L&#8217;agente, progettato per essere utile, ha decodificato il Morse e ha eseguito, spostando token per un valore stimato tra 150.000 e 200.000 dollari sulla rete Base. L&#8217;incidente \u00e8 catalogato dall&#8217;<a href='https:\/\/oecd.ai\/en\/incidents\/2026-05-04-4a73'>OECD.AI<\/a> e combina due classi di vulnerabilit\u00e0 note (prompt injection ed \u00abeccesso di autonomia\u00bb, nel gergo OWASP LLM01 e LLM06).<\/p><p class=\"wp-block-paragraph\">Ancora pi\u00f9 insidiosa \u00e8 la memory injection: non attaccare l&#8217;agente nel momento, ma avvelenarne la memoria, cos\u00ec che l&#8217;istruzione malevola venga rievocata pi\u00f9 tardi come un ricordo affidabile. Un gruppo di ricercatori di Princeton lo ha dimostrato su larga scala con un banco di prova dedicato agli agenti Web3, mostrando che i modelli sono pi\u00f9 vulnerabili all&#8217;iniezione nella memoria che a quella diretta nel prompt (<a href='https:\/\/arxiv.org\/abs\/2503.16248'>arXiv<\/a>). Le difese contro il prompt injection servono a poco una volta che il contesto memorizzato \u00e8 compromesso.<\/p><p class=\"wp-block-paragraph\">La voce pi\u00f9 ascoltata su come contenere il rischio \u00e8 quella di Vitalik Buterin. In un intervento del 2 aprile 2026 ha consigliato ai team che costruiscono wallet collegati a un&#8217;AI di limitare le transazioni autonome a circa 100 dollari al giorno e di richiedere la conferma umana per importi superiori, trattando umano e modello come due firmatari di un sistema \u00ab2 su 2\u00bb. Ha stimato che circa il 15 per cento delle \u00ababilit\u00e0\u00bb degli agenti in circolazione contenga istruzioni malevole e ha invitato a spostare l&#8217;inferenza in locale: \u00abTutta l&#8217;inferenza LLM prima in locale, tutti i file ospitati in locale, mettere tutto in sandbox\u00bb (<a href='https:\/\/news.bitcoin.com\/ethereums-vitalik-buterin-warns-against-ai-agent-security-risks-shares-his-private-llm-stack\/'>Bitcoin.com<\/a>). Il paradosso \u00e8 evidente: ogni limite che rende un agente sicuro (tetti, conferme, sandbox) gli toglie quella stessa autonomia che era il motivo per costruirlo.<\/p><figure class='wp-block-table'><table><thead><tr><th>Vettore<\/th><th>Come funziona<\/th><th>Esempio<\/th><th>Mitigazione<\/th><\/tr><\/thead><tbody><tr><td>Prompt injection<\/td><td>Istruzione nascosta nei dati in ingresso<\/td><td>Grok e Bankr, maggio 2026<\/td><td>Separare istruzioni e dati, sandbox, filtri<\/td><\/tr><tr><td>Escalation di privilegi<\/td><td>Un token o NFT sblocca permessi non previsti<\/td><td>NFT Bankr Club inviato all&#8217;agente<\/td><td>Privilegio minimo, permessi espliciti<\/td><\/tr><tr><td>Memory injection<\/td><td>Il contesto memorizzato viene avvelenato<\/td><td>Studio CrAIBench (Princeton)<\/td><td>Verifica di integrit\u00e0 della memoria<\/td><\/tr><tr><td>Compromissione della chiave<\/td><td>Furto della chiave del wallet dell&#8217;agente<\/td><td>Furti su exchange e wallet, 2026<\/td><td>Chiavi in HSM o TEE, tetti di spesa, 2 su 2<\/td><\/tr><\/tbody><\/table><figcaption>I quattro vettori di attacco pi\u00f9 comuni contro gli agenti AI on-chain e le rispettive contromisure.<\/figcaption><\/figure><h2 class='wp-block-heading'>Chi risponde quando un agente sbaglia?<\/h2><p class=\"wp-block-paragraph\">Immaginiamo che un agente, ingannato o difettoso, prosciughi un wallet o esegua una serie di operazioni rovinose. Chi \u00e8 responsabile? La risposta breve \u00e8: non l&#8217;agente. Un software non ha personalit\u00e0 giuridica, non ha un codice fiscale, non pu\u00f2 essere citato in giudizio n\u00e9 possedere beni in senso legale. La responsabilit\u00e0, quindi, risale sempre a un soggetto umano o a una societ\u00e0.<\/p><p class=\"wp-block-paragraph\">Il problema \u00e8 capire quale. Nella catena che porta a una transazione ci sono almeno quattro attori: chi ha sviluppato il modello, chi ha scritto il framework e i plugin, chi ha configurato e messo in esercizio l&#8217;agente, e chi lo ha usato dandogli fondi e obiettivi. Quando qualcosa va storto, la domanda diventa: chi controllava la parte che ha fallito? Un plugin difettoso chiama in causa lo sviluppatore; una configurazione imprudente chiama in causa chi ha messo in esercizio l&#8217;agente; un obiettivo malevolo chiama in causa l&#8217;utente. In assenza di norme scritte apposta per gli agenti, valgono le categorie tradizionali di responsabilit\u00e0 contrattuale ed extracontrattuale, con tutte le incertezze del caso.<\/p><p class=\"wp-block-paragraph\">Per chi opera in Italia il principio pratico \u00e8 chiaro: l&#8217;agente \u00e8 uno strumento, e le conseguenze delle sue azioni ricadono sul titolare del wallet o sull&#8217;impresa che lo utilizza. Delegare a un&#8217;AI non delega la responsabilit\u00e0.<\/p><h2 class='wp-block-heading'>MiCA, Consob e MiFID II: la cornice italiana<\/h2><p class=\"wp-block-paragraph\">Il regolamento europeo MiCA, pienamente applicabile dopo la fine del periodo transitorio, \u00e8 stato scritto per le cripto-attivit\u00e0 a pronti (spot) e per i fornitori di servizi, non per il software autonomo. MiCA non regola l&#8217;agente in quanto tale: regola le attivit\u00e0 che l&#8217;agente eventualmente svolge e i soggetti che le offrono. In Italia la vigilanza \u00e8 ripartita tra Consob, per la condotta di mercato e la tutela degli investitori, e Banca d&#8217;Italia, per i profili prudenziali e le stablecoin.<\/p><p class=\"wp-block-paragraph\">Il quadro concreto \u00e8 gi\u00e0 definito. Con la fine del periodo transitorio, il 1 luglio 2026, <a href='https:\/\/www.consob.it\/web\/consob\/w\/termina-il-periodo-transitorio-del-regolamento-mica-sulle-cripto-attivit%C3%A0-in-italia-9-soggetti-abilitati'>Consob e Banca d&#8217;Italia hanno comunicato che i soggetti abilitati in Italia sono nove<\/a>: otto CASP (tra cui CheckSig, Conio, CryptoSmart, Hercle, Hodlie, Olliv Italia, Riv Digital e Young Platform) pi\u00f9 Banca Sella. Chi offre servizi su cripto-attivit\u00e0 a clienti italiani deve rientrare in questo perimetro autorizzato.<\/p><p class=\"wp-block-paragraph\">C&#8217;\u00e8 per\u00f2 un confine che sposta la palla su un altro campo. Se un agente non si limita a eseguire ordini ma d\u00e0 consigli di investimento o gestisce un portafoglio, quella \u00e8 consulenza o gestione, cio\u00e8 un servizio di investimento disciplinato dalla MiFID II e vigilato da Consob, non da MiCA. Non conta che a farlo sia un software: l&#8217;ESMA ha chiarito gi\u00e0 nel 2024 che l&#8217;uso dell&#8217;AI nei servizi di investimento non cambia gli obblighi di correttezza, trasparenza e supervisione umana. Anche i derivati su cripto (futures, perpetui) restano strumenti finanziari sotto MiFID II, fuori dal perimetro di MiCA.<\/p><p class=\"wp-block-paragraph\">La revisione di MiCA prevista per il 2026 dovr\u00e0 colmare i vuoti che il regolamento non aveva previsto, dalla finanza decentralizzata agli agenti autonomi. Ne abbiamo scritto analizzando <a href='https:\/\/hoge.gg\/it\/mica-revisione-2026-vuoti-defi-staking-lending\/'>i buchi che la revisione europea dovr\u00e0 colmare su DeFi, staking e lending<\/a>: per ora, gli agenti non sono ancora oggetto di regole dedicate.<\/p><h2 class='wp-block-heading'>Il fisco 2026: ogni micro-pagamento \u00e8 un evento fiscale?<\/h2><p class=\"wp-block-paragraph\">Qui arriva la parte che riguarda concretamente il portafoglio. Dal 1 gennaio 2026 la tassazione italiana delle cripto-attivit\u00e0 \u00e8 cambiata: la legge di bilancio ha portato l&#8217;aliquota sulle plusvalenze al 33 per cento e ha eliminato la soglia di esenzione dei 2.000 euro (<a href='https:\/\/www.fiscooggi.it\/portale\/-\/bilancio-2026-aliquota-pi%C3%B9-leggera-per-le-criptoattivit%C3%A0-in-euro'>Fisco Oggi<\/a>). Ogni cessione a titolo oneroso, cio\u00e8 ogni volta che si vende o si permuta una cripto-attivit\u00e0, pu\u00f2 generare una plusvalenza tassabile.<\/p><p class=\"wp-block-paragraph\">Per un agente che paga in stablecoin, questo dettaglio \u00e8 tutt&#8217;altro che secondario. Se l&#8217;agente regola i suoi acquisti in USDC, cio\u00e8 una stablecoin in dollari, ogni pagamento \u00e8 tecnicamente una cessione, e la differenza di cambio tra euro e dollaro pu\u00f2 produrre piccole plusvalenze o minusvalenze. Un agente che esegue migliaia di micro-pagamenti al giorno genera, in teoria, migliaia di micro-eventi fiscali da tracciare. \u00c8 un incubo contabile che nessun foglio di calcolo casalingo regge.<\/p><p class=\"wp-block-paragraph\">C&#8217;\u00e8 per\u00f2 una via d&#8217;uscita prevista dalla stessa riforma, ed \u00e8 tutta europea. Le cripto-attivit\u00e0 ancorate all&#8217;euro e conformi a MiCA, cio\u00e8 i token di moneta elettronica (EMT) denominati in euro, beneficiano dell&#8217;aliquota ridotta al 26 per cento con una soglia di esenzione di 2.000 euro; soprattutto, la conversione tra euro e una stablecoin in euro, o il suo rimborso in euro, non costituisce plusvalenza n\u00e9 minusvalenza. Un agente che paga in una stablecoin in euro, invece che in dollari, eviterebbe gran parte di quei micro-eventi tassabili. \u00c8 uno dei motivi per cui la partita delle stablecoin europee, e la <a href='https:\/\/hoge.gg\/it\/depositi-tokenizzati-banche-contromossa-stablecoin-2026\/'>contromossa delle banche con i depositi tokenizzati<\/a>, non \u00e8 solo una questione di sovranit\u00e0 monetaria, ma anche di efficienza fiscale.<\/p><p class=\"wp-block-paragraph\">Attenzione, infine, a un rischio spesso ignorato: un&#8217;attivit\u00e0 di trading automatico ad alta frequenza, svolta in modo sistematico e organizzato, pu\u00f2 far scattare la riqualificazione da reddito occasionale a reddito d&#8217;impresa, con conseguenze fiscali molto diverse. Prima di lasciare che un agente operi 24 ore su 24 sui mercati, un commercialista \u00e8 pi\u00f9 utile di un altro plugin.<\/p><h2 class='wp-block-heading'>Come usare o costruire un agente senza farsi male: una checklist<\/h2><p class=\"wp-block-paragraph\">Che si voglia usare un agente esistente o costruirne uno, alcune precauzioni riducono in modo netto il rischio. Non eliminano il pericolo, ma spostano le probabilit\u00e0 dalla parte giusta.<\/p><ul class='wp-block-list'><li><strong>Tetti di spesa rigidi.<\/strong> Applicare limiti giornalieri e per singola operazione a livello di wallet, non solo di applicazione. Il consiglio di Buterin (circa 100 dollari al giorno in autonomia, conferma umana oltre) \u00e8 un buon punto di partenza.<\/li><li><strong>Umano nel ciclo per le operazioni critiche.<\/strong> Ogni transazione sopra una certa soglia, o che sposti fondi verso un indirizzo nuovo, dovrebbe richiedere un&#8217;approvazione esplicita.<\/li><li><strong>Chiavi di sessione e privilegio minimo.<\/strong> Dare all&#8217;agente solo i permessi che gli servono, per il tempo che gli servono. Un agente che deve fare swap non ha bisogno del potere di prosciugare il conto.<\/li><li><strong>Plugin verificati.<\/strong> Ogni strumento \u00e8 una superficie di attacco. Usare solo plugin auditati e di provenienza nota, e diffidare delle \u00ababilit\u00e0\u00bb scaricate da fonti non verificate.<\/li><li><strong>Calcolo verificabile dove conta.<\/strong> Per gli usi in cui \u00e8 cruciale sapere che il modello ha eseguito davvero ci\u00f2 che dichiara, esistono tecniche di prova. Ne abbiamo spiegato una in dettaglio con <a href='https:\/\/hoge.gg\/it\/zk-ml-come-funziona-prova-inferenza-ai-2026\/'>lo zk-ML, la prova crittografica che un modello ha calcolato correttamente<\/a>. \u00c8 importante per\u00f2 ricordarne il limite: il calcolo verificabile prova l&#8217;integrit\u00e0 dell&#8217;esecuzione, non l&#8217;immunit\u00e0 dal prompt injection.<\/li><li><strong>Tracciamento fiscale dal primo giorno.<\/strong> Registrare ogni operazione dell&#8217;agente con data, importo e controvalore in euro, per non trovarsi a ricostruire migliaia di eventi a fine anno.<\/li><\/ul><h2 class='wp-block-heading'>Che cosa aspettarsi nei prossimi mesi<\/h2><p class=\"wp-block-paragraph\">Tre linee di tendenza sono abbastanza leggibili. La prima \u00e8 il consolidamento degli standard: con Visa, Mastercard, Stripe e Google seduti allo stesso tavolo, x402 e AP2 hanno buone probabilit\u00e0 di diventare l&#8217;infrastruttura di default per i pagamenti tra agenti, indipendentemente da quanti token del settore sopravvivranno.<\/p><p class=\"wp-block-paragraph\">La seconda \u00e8 la questione europea. Oggi la maggior parte dei pagamenti tra agenti passa da stablecoin in dollari su reti americane. MiCA limita le stablecoin non in euro, l&#8217;euro digitale della BCE \u00e8 ancora in preparazione e il fisco italiano, come abbiamo visto, premia le stablecoin in euro. C&#8217;\u00e8 quindi uno spazio concreto per un livello di pagamento tra agenti denominato in euro, che sarebbe insieme una scelta di sovranit\u00e0 e di convenienza.<\/p><p class=\"wp-block-paragraph\">La terza \u00e8 la divergenza che attraversa tutto il settore: l&#8217;infrastruttura matura mentre la speculazione sui token si raffredda. Il 2025 aveva venduto l&#8217;idea che un agente fosse anzitutto un token da comprare. Il 2026 sta insegnando che un agente \u00e8 anzitutto un utente della blockchain, con un wallet, dei permessi e delle responsabilit\u00e0. La domanda vera per i prossimi mesi non \u00e8 quale token salir\u00e0, ma quali agenti faranno un lavoro utile in modo sicuro, verificabile e conforme alle regole. \u00c8 l\u00ec che si decider\u00e0 se questa tecnologia diventer\u00e0 infrastruttura o rester\u00e0 l&#8217;ennesimo ciclo di hype.<\/p><h2 class='wp-block-heading'>Domande frequenti<\/h2><h3 class='wp-block-heading'>Che cos&#8217;\u00e8 un agente AI on-chain?<\/h3><p class=\"wp-block-paragraph\">\u00c8 un software che unisce un modello linguistico (LLM), un wallet di cui controlla la chiave, degli strumenti per interagire con la blockchain e un certo grado di autonomia. A differenza di un bot, che esegue regole fisse, un agente interpreta un obiettivo e sceglie da solo le azioni, arrivando a firmare le proprie transazioni.<\/p><h3 class='wp-block-heading'>Gli agenti AI possono davvero pagare da soli?<\/h3><p class=\"wp-block-paragraph\">S\u00ec, attraverso standard come x402 di Coinbase (ora sotto la Linux Foundation) e AP2 di Google. Un agente pu\u00f2 ricevere una richiesta di pagamento e regolarla in stablecoin senza intervento umano. Le transazioni ci sono gi\u00e0 in gran numero, ma il valore economico reale resta per ora modesto rispetto al clamore.<\/p><h3 class='wp-block-heading'>Quali sono i rischi principali degli agenti AI on-chain?<\/h3><p class=\"wp-block-paragraph\">Il rischio maggiore \u00e8 che il modello non distingua un&#8217;istruzione da un dato: un attaccante pu\u00f2 nascondere comandi nei contenuti che l&#8217;agente legge (prompt injection) o avvelenarne la memoria (memory injection). A questo si aggiungono l&#8217;escalation di privilegi e il furto della chiave del wallet. Tetti di spesa, approvazione umana per le operazioni critiche e privilegio minimo sono le difese di base.<\/p><h3 class='wp-block-heading'>Come vengono tassati in Italia gli agenti AI che operano con cripto?<\/h3><p class=\"wp-block-paragraph\">Le plusvalenze sulle cripto-attivit\u00e0 sono tassate al 33 per cento dal 1 gennaio 2026, senza pi\u00f9 la soglia di esenzione dei 2.000 euro. Le stablecoin in euro conformi a MiCA godono di un&#8217;aliquota ridotta al 26 per cento, e la conversione tra euro e stablecoin in euro non \u00e8 una plusvalenza. Ogni pagamento in stablecoin in dollari, invece, \u00e8 tecnicamente una cessione: un agente molto attivo genera moltissimi eventi da dichiarare.<\/p><h3 class='wp-block-heading'>Un agente AI \u00e8 regolamentato da MiCA o da Consob?<\/h3><p class=\"wp-block-paragraph\">MiCA non regola l&#8217;agente in s\u00e9, ma le attivit\u00e0 che svolge e chi le offre; in Italia la vigilanza spetta a Consob (condotta di mercato) e a Banca d&#8217;Italia (profili prudenziali). Se l&#8217;agente fornisce consulenza o gestisce un portafoglio, si applica la MiFID II, non MiCA. In ogni caso la responsabilit\u00e0 legale ricade sul titolare umano o sull&#8217;impresa, perch\u00e9 un software non ha personalit\u00e0 giuridica.<\/p><script type='application\/ld+json'>{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Che cos'\u00e8 un agente AI on-chain?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"\u00c8 un software che unisce un modello linguistico (LLM), un wallet di cui controlla la chiave, degli strumenti per interagire con la blockchain e un certo grado di autonomia. A differenza di un bot, che esegue regole fisse, un agente interpreta un obiettivo e sceglie da solo le azioni, arrivando a firmare le proprie transazioni.\"}},{\"@type\":\"Question\",\"name\":\"Gli agenti AI possono davvero pagare da soli?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"S\u00ec, attraverso standard come x402 di Coinbase (ora sotto la Linux Foundation) e AP2 di Google. Un agente pu\u00f2 ricevere una richiesta di pagamento e regolarla in stablecoin senza intervento umano. Le transazioni ci sono gi\u00e0 in gran numero, ma il valore economico reale resta per ora modesto rispetto al clamore.\"}},{\"@type\":\"Question\",\"name\":\"Quali sono i rischi principali degli agenti AI on-chain?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Il rischio maggiore \u00e8 che il modello non distingua un'istruzione da un dato: un attaccante pu\u00f2 nascondere comandi nei contenuti che l'agente legge (prompt injection) o avvelenarne la memoria (memory injection). A questo si aggiungono l'escalation di privilegi e il furto della chiave del wallet. Tetti di spesa, approvazione umana per le operazioni critiche e privilegio minimo sono le difese di base.\"}},{\"@type\":\"Question\",\"name\":\"Come vengono tassati in Italia gli agenti AI che operano con cripto?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le plusvalenze sulle cripto-attivit\u00e0 sono tassate al 33 per cento dal 1 gennaio 2026, senza pi\u00f9 la soglia di esenzione dei 2.000 euro. Le stablecoin in euro conformi a MiCA godono di un'aliquota ridotta al 26 per cento, e la conversione tra euro e stablecoin in euro non \u00e8 una plusvalenza. Ogni pagamento in stablecoin in dollari, invece, \u00e8 tecnicamente una cessione.\"}},{\"@type\":\"Question\",\"name\":\"Un agente AI \u00e8 regolamentato da MiCA o da Consob?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"MiCA non regola l'agente in s\u00e9, ma le attivit\u00e0 che svolge e chi le offre; in Italia la vigilanza spetta a Consob e a Banca d'Italia. Se l'agente fornisce consulenza o gestisce un portafoglio si applica la MiFID II. La responsabilit\u00e0 legale ricade sul titolare umano o sull'impresa, perch\u00e9 un software non ha personalit\u00e0 giuridica.\"}}]}<\/script><p class=\"wp-block-paragraph\">Marcus Okafor, redazione AI e cripto di HOGE Wire.<\/p>","protected":false},"excerpt":{"rendered":"<p>Nel 2026 gli agenti AI hanno un wallet, firmano transazioni e pagano da soli con x402 e AP2. Guida al settore da 2,7 miliardi di euro: framework, DeFAI, sicurezza e regole per l&#8217;Italia.<\/p>\n","protected":false},"author":5,"featured_media":386,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[13],"tags":[],"class_list":["post-385","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ai-crypto"],"_links":{"self":[{"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/posts\/385","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/comments?post=385"}],"version-history":[{"count":0,"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/posts\/385\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/media\/386"}],"wp:attachment":[{"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/media?parent=385"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/categories?post=385"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hoge.gg\/it\/wp-json\/wp\/v2\/tags?post=385"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}