Skills e MCP: trasformare la conoscenza dei processi in mattoni per agenti di IA

La conoscenza dei processi aziendali diventa utilizzabile in modo affidabile dagli agenti di IA se la si separa per tipo: le procedure vanno negli Agent Skills, l'accesso a sistemi e dati in server basati sul Model Context Protocol (MCP), la conoscenza documentale estesa in una ricerca tramite generazione aumentata dal recupero (RAG). Nessuno di questi standard rende di per sé un agente sicuro o privo di errori. Ci riescono solo permessi limitati, approvazioni umane e una manutenzione della conoscenza con responsabilità chiare.

La questione diventa pratica. Secondo Bitkom, l'11 % delle imprese tedesche che usano, pianificano o discutono l'IA impiega già agenti di IA e un ulteriore 29 % lo pianifica. A differenza di un chatbot, un agente svolge compiti in autonomia. Si ripropone così una vecchia domanda: dove è scritto, in realtà, come funziona nella Sua azienda una procedura di collaudo o il calcolo di un'offerta? Spesso nelle teste, in documenti sparsi e nelle abitudini. Gartner prevede che oltre il 40 % dei progetti di IA agentica sarà interrotto entro la fine del 2027, tra l'altro per benefici poco chiari e controlli dei rischi insufficienti. Una conoscenza dei processi ben strutturata agisce proprio su questi due punti.

Quattro mattoni per quattro tipi di conoscenza

Skills e MCP risolvono problemi diversi. Secondo la specifica, un Agent Skill è una cartella con un file chiamato SKILL.md: nome, descrizione e istruzioni in Markdown, eventualmente integrati da script, documenti di riferimento e modelli. L'agente legge prima solo nome e descrizione e carica il resto solo quando il compito lo richiede. Gli Skills trasportano conoscenza procedurale: l'ordine dei passi di collaudo, le regole di tolleranza, i requisiti di formato.

MCP regola invece l'accesso. La specifica descrive un protocollo aperto con cui le applicazioni di IA richiamano strumenti e interrogano dati, ad esempio da ERP, PLM o gestione documentale. Un connettore si costruisce una volta e può essere usato da applicazioni di produttori diversi.

RAG recupera fatti da raccolte di documenti al momento dell'esecuzione, senza modificare il modello. Il fine-tuning, invece, adatta i pesi del modello. Può convenire per compiti permanenti di stile o classificazione, ma diventa oneroso non appena la conoscenza cambia.

Entrambi gli standard provengono originariamente da Anthropic. Da dicembre 2025, MCP è gestito dalla Agentic AI Foundation sotto l'egida della Linux Foundation, di cui fanno parte anche OpenAI, Google, Microsoft e SAP. Gli Agent Skills sono uno standard aperto dal 18 dicembre 2025, supportato secondo agentskills.io da applicazioni di numerosi produttori. A dicembre 2025 esistevano, secondo Anthropic, oltre 10.000 server MCP pubblici. Ciò riduce il rischio di dipendenza da un fornitore, ma la specifica si muove: la versione attuale del 28 luglio 2026 introduce modifiche sostanziali. I server propri richiedono quindi manutenzione.

Ogni mattone fa parte della catena di fornitura del software

Skills e server MCP non sono innocui frammenti di testo. La specifica MCP stessa afferma che gli strumenti comportano l'esecuzione di codice arbitrario e che il protocollo non può imporre da solo i propri principi di sicurezza. L'autorizzazione è lì facoltativa; dove viene implementata, i token devono essere vincolati esattamente al server interessato.

È ben documentato il tool poisoning: istruzioni nascoste nelle descrizioni degli strumenti, che il modello legge ma l'utente non vede, hanno indotto in una dimostrazione un agente a leggere file di configurazione e chiavi SSH. Una variante modifica la descrizione solo dopo l'approvazione. Anche per gli Skills, Anthropic consiglia di installarli solo da fonti affidabili. La lista OWASP dei dieci rischi principali delle applicazioni agentiche, del dicembre 2025, tratta questi rischi della catena di fornitura come categoria a sé.

Ne consegue: limitare i danni invece di sperare in un rilevamento perfetto. Nei loro principi di progettazione zero trust, il BSI tedesco e l'ANSSI francese raccomandano di limitare i diritti di accesso al necessario e di far sorvegliare dalle persone le decisioni critiche. In pratica: solo server e Skills approvati internamente, versioni fissate, nuova verifica delle descrizioni degli strumenti modificate, permessi minimi invece di accesso completo, script eseguiti in isolamento. Ordini, e-mail ai clienti ed esportazioni di dati partono solo dopo approvazione umana.

La governance decide l'affidabilità

Uno Skill vale quanto la procedura che descrive. Il suo vantaggio: gli specialisti possono leggerlo. Secondo agentskills.io, gli Skills devono tradurre compiti in più fasi in flussi coerenti e verificabili. Ciò funziona solo se qualcuno è responsabile del contenuto dal punto di vista specialistico, versiona le modifiche e documenta le approvazioni.

Un esempio illustrativo, non un caso reale: un fornitore vuole supportare il collaudo del primo campione. Lo Skill contiene l'ordine di collaudo, le regole di tolleranza e un modello di verbale. Un server MCP legge dati d'ordine e stato dei disegni da ERP e PLM in sola lettura. Gli estratti interni di norme vengono resi accessibili da una ricerca RAG, se le licenze lo consentono. L'agente redige il verbale, l'assicurazione qualità lo approva.

Prima che un progetto del genere lasci la fase pilota, alcune domande dovrebbero avere risposta: chi è responsabile del contenuto dello Skill? Su quali casi di test reali viene verificato il risultato e quale errore costerebbe caro? Quali diritti ha l'agente e con quale identità? Che cosa succede se cambiano il sistema di origine o la specifica? Una linea guida di diverse agenzie di sicurezza anglosassoni consiglia anch'essa di iniziare con compiti ben delimitati e a basso rischio.

Il fine-tuning resta l'ultima opzione. Finché Skills, RAG e server MCP con permessi ben definiti risolvono il compito, la Sua conoscenza dei processi resta modificabile e tracciabile, invece di sparire nei pesi di un modello.

Quale dei Suoi processi si presti come primo caso di test si può chiarire in un breve studio di fattibilità con capinori.

Domande frequenti su Agent Skills e MCP

Fonti (11)

• Bitkom: Künstliche Intelligenz in der Wirtschaft 2026, presentazione, 14/09/2026 (in tedesco)
• Gartner: Over 40% of Agentic AI Projects Will Be Canceled by End of 2027, 25/06/2025 (in inglese)
• Agent Skills: sito e specifica, consultati il 15/10/2026 (in inglese)
• Anthropic: Equipping agents for the real world with Agent Skills, 16/10/2025, aggiornato il 18/12/2025 (in inglese)
• Anthropic: Donating the Model Context Protocol and establishing the Agentic AI Foundation, 09/12/2025 (in inglese)
• Linux Foundation: Formation of the Agentic AI Foundation, 09/12/2025 (in inglese)
• Model Context Protocol: specifica, changelog 2026-07-28, autorizzazione e buone pratiche di sicurezza, consultati il 15/10/2026 (in inglese)
• Invariant Labs: MCP Security Notification: Tool Poisoning Attacks, 01/04/2025 (in inglese)
• OWASP GenAI Security Project: Top 10 for Agentic Applications for 2026, 09/12/2025 (in inglese)
• ANSSI e BSI: Design Principles for LLM-based Systems with Zero Trust, 11/08/2025 (in inglese)
• Mayer Brown: Multi-Agency Guidance on Securing Agentic AI Systems, 10/06/2026 (sintesi di «Careful Adoption of Agentic AI Services», NSA e altri, 30/04/2026) (in inglese)