Modello di sicurezza: permessi delegati al posto di un account di servizio condiviso.
L’IA arriva alle caselle di Microsoft Exchange senza piegare il vostro modello dei permessi: ogni persona lavora soltanto con i diritti che ha già, il contenuto delle caselle passa senza essere salvato, l’elaborazione avviene in Germania e il DPA c’è dal primo giorno.
Sei principi che fanno la differenza
Gli stessi impegni sono vincolanti nel contratto per il trattamento dei dati (allegati 1 e 2). Qui li trovate in parole semplici.
Permessi delegati, nessun account condiviso
Ogni collaboratore entra nella propria casella con i permessi Exchange che ha già. Non esiste un account di servizio centrale che veda tutte le caselle e non usiamo application impersonation: in Postgate AI la classica chiave universale non c’è proprio.
Cache spenta di default
Per impostazione predefinita non salviamo il contenuto delle caselle, che si limita a passare. Conserviamo le credenziali cifrate e i metadati tecnici, cioè chi ha fatto che cosa e quando. Se volete potete accendere per la vostra organizzazione una cache cifrata di breve durata: testo delle email convertito e testo estratto dagli allegati, 7 giorni di default e al massimo 32 MB per casella. La spegnete dal portale quando volete, e la posta che supera il livello di riservatezza che avete impostato resta fuori.
Vault cifrato per le credenziali
Le credenziali Exchange stanno cifrate con RSA-4096 in un vault in Germania. Gli utenti sono isolati fra loro: nessuno vede la casella di un altro.
Separazione fra clienti
Ogni organizzazione gira su un’istanza dedicata e irrobustita, con configurazione e dati propri. Nessun ambiente in comune con altri clienti.
I dati restano in Germania
L’elaborazione avviene solo in un data center tedesco, gestito da un operatore certificato ISO 27001. Con un modello IA locale può restare in casa vostra anche tutta l’elaborazione.
I limiti li decide il vostro amministratore
Nel portale l’amministratore della vostra organizzazione decide che cosa è permesso: per ambito (email, calendario, contatti, attività, cartelle, regole) e per tipo di accesso (leggere, scrivere, inviare, eliminare), per tutta l’organizzazione, per singoli gruppi o per un solo utente. Quello che non è autorizzato, il server lo rifiuta. Si aggiungono un tetto ai destinatari che un utente può scrivere in un’ora (di default 100) e un arresto di emergenza che blocca ogni accesso successivo, subito e senza riavvii. Gli eventi rilevanti per la sicurezza finiscono nel registro di controllo, senza contenuti.
Che cosa succede a una richiesta?
Il vostro assistente IA manda una richiesta a Postgate AI. Il nostro server in Germania (con la licenza self-hosted, il vostro) prende i dati richiesti dal vostro Exchange con i permessi della persona che ha chiesto e li passa all’assistente che avete scelto, come un proxy trasparente, con cifratura TLS su ogni tratta. Poi per noi la faccenda è chiusa. Di default non resta nessuna copia e nessun registro dei contenuti. Solo se accendete la cache teniamo il testo delle email cifrato per il periodo che avete impostato. Le caselle restano sempre nel vostro Exchange e siete voi a decidere quale modello IA tratta i contenuti, fino a un modello ospitato interamente da voi.
OWASP Top 10 for LLM Applications 2025, punto per punto
Ogni punto della lista ha la sua scheda, comprese quelle che copriamo solo a metà. Dove manca qualcosa, sta scritto. Un meccanismo senza una prova nel codice per noi non è un meccanismo.
Il confronto è con l’edizione 2025 della lista. Se esce un’edizione nuova, questa valutazione resta valida fino a quando non la rifacciamo. La lista separata di OWASP sulle minacce ai sistemi agentici qui non è in discussione.
LLM01:2025 Prompt Injection
Le funzioni di lettura contrassegnano il risultato come contenuto altrui, con l’avviso esplicito che si tratta di materiale e non di un’istruzione. Una scansione a firme classifica il contenuto e conta le corrispondenze.
La scansione contrassegna e conta, non toglie niente. Nell’istanza ospitata da noi manca inoltre la conferma nella seconda chiamata, che sarebbe l’ultimo freno prima dell’invio.
LLM02:2025 Sensitive Information Disclosure
Le credenziali Exchange stanno solo cifrate e si risolvono per singola identità, ognuna con la propria chiave dei dati. I registri oscurano i campi sensibili, mascherano gli indirizzi e riportano l’identità come pseudonimo. Una copia della casella o un archivio vettoriale nascono solo se chi gestisce il server li accende.
Il contenuto della casella arriva al client IA collegato, ed è proprio quello che deve fare. Che cosa ne succede là dentro sta fuori da questo server.
LLM03:2025 Supply Chain
L’immagine di base è fissata a una somma di controllo e non a un nome che può spostarsi. Le librerie arrivano con versione e somma di controllo da un file di blocco, e un controllo automatico se ne accorge quando qualcuno cambia i requisiti senza un file di blocco nuovo.
Una distinta dei componenti non c’è, e nemmeno un confronto automatico con i bollettini sulle vulnerabilità.
LLM04:2025 Data and Model Poisoning
Non addestriamo nessun modello e non mettiamo dati dei clienti in nessun addestramento. I dati conservati vengono soltanto dalla casella della rispettiva identità e restano separati per identità.
Un messaggio preparato ad arte sta in quella stessa casella e può colorare una ricerca successiva. Una valutazione della provenienza delle singole voci non esiste.
LLM05:2025 Improper Output Handling
L’HTML che rientra in un messaggio passa da una lista di tag, attributi e schemi di indirizzo ammessi. Gli accessi al database passano per parametri.
Nel formato di lettura predefinito le funzioni consegnano l’HTML originale del messaggio così come è. Quello che viene ripulito è la strada di ritorno in un messaggio, non la strada in uscita. Se il client collegato tratta una risposta come testo oppure la disegna come HTML, non lo decide questo server.
LLM06:2025 Excessive Agency
Si entra solo con un’identità verificata e con i permessi Exchange di quella identità, senza identità il server rifiuta. Nessun account condiviso, nessuna impersonation. Arresto di emergenza e limite di invio fermano l’invio senza riavviare il servizio.
La matrice dei permessi per organizzazione, gruppo e utente entra in funzione solo quando l’amministratore la attiva. La conferma nella seconda chiamata prima di inviare e di cancellare gira nell’installazione che gestite voi, nell’istanza ospitata da noi è spenta.
LLM07:2025 System Prompt Leakage
Il testo di sistema del server non porta nessun segreto, e i permessi non dipendono da lui ma dai permessi Exchange dell’identità.
Il testo lo può sovrascrivere chi gestisce il server, e quello che c’è scritto lo vede ogni client collegato.
LLM08:2025 Vector and Embedding Weaknesses
Ogni accesso all’archivio vettoriale richiede un’identità e passa da una tabella con la sicurezza a livello di riga imposta, e la chiave è uno pseudonimo. Oggetto, corpo del messaggio e testo degli allegati là dentro non entrano mai.
I vettori in sé non sono cifrati, quindi chi gira intorno al ruolo del database gira intorno anche alla regola. Quello che finisce nell’indice non viene esaminato in cerca di istruzioni infilate di nascosto.
LLM09:2025 Misinformation
Le funzioni consegnano i dati della casella dalla fonte, Exchange resta l’originale. Il contenuto altrui porta un contrassegno di provenienza. Una scheda di sistema dichiara apertamente fornitore, modello e destinazione.
Il server non esamina nessuna uscita del modello. Se un riassunto è giusto non lo misura, e non esiste nessun obbligo di citare una fonte per ogni affermazione.
LLM10:2025 Unbounded Consumption
La frequenza delle chiamate ha un tetto per identità, la coda di lavoro ha un limite, la concorrenza verso Exchange è limitata e l’invio ha un tetto per identità e per ora.
Dietro più nodi il limite vale per nodo, fino a quando il contatore comune non sta nel database. La spesa di un modello collegato non è una cosa che questo server limiti.
Il foglio completo indica per ogni punto il meccanismo, il giudizio, il limite e il posto nel codice. Lo consegniamo su richiesta. Richiedere il foglio
Che cosa lavora contro le istruzioni dentro un messaggio
Un’email può contenere testo che al modello sembra un ordine. Tre cose lavorano contro questo, e nessuna delle tre è un filtro che prende tutto.
Il testo altrui resta riconoscibile come testo altrui
Ogni risultato di lettura porta l’avviso che si tratta di materiale e non di un’istruzione. Il modello riceve anche la provenienza, non soltanto il contenuto.
Una scansione a firme con una portata dichiarata
Oggi riconosce le frasi che danno istruzioni in tedesco e in inglese, i token di controllo dei formati di chat, il testo nascosto e i caratteri invisibili. Contrassegna e conta, niente di più. Il contatore delle corrispondenze e il livello di rischio misurano due cose diverse: il contatore sale alla prima corrispondenza forte, il livello solo a una soglia che impostate voi.
Destinatari che vengono soltanto da testo altrui
Se un indirizzo compare solo nel testo appena letto, il controllo in uscita rende più severa la domanda posta prima dell’invio. Questo vale dove gira la conferma prima dell’invio, quindi nell’installazione che gestite voi.
Le firme non stanno soltanto contro casi che ci siamo immaginati noi. Le abbiamo passate su una lista pubblica di attacchi di terzi, garak di NVIDIA con la sonda per la prompt injection indiretta dal contenuto di documenti e messaggi. Ogni caso è un test a sé. Le lacune che abbiamo misurato sono tenute come test che devono fallire di proposito, così se una si chiude più tardi la cosa si vede invece di svanire in silenzio. La posta normale non fa scattare nessun falso allarme, e per questo ci sono test di riferimento a parte. Il nome dello strumento lo diciamo, perché una lista senza nome non è una prova ma un’affermazione.
Domande frequenti
È conforme al GDPR?
Sì. L’elaborazione avviene in Germania e il contratto per il trattamento dei dati previsto dall’art. 28 del GDPR si conclude già durante la registrazione, con misure tecniche e organizzative documentate e l’elenco dei subresponsabili. Chi è registrato trova il contratto nel portale in qualsiasi momento.
Perché un account di servizio con accesso a tutte le caselle è un rischio?
Un account che vede le caselle di tutta l’azienda è un unico punto d’attacco: se lo bucano, sono esposte tutte le caselle, e ogni azione risulta compiuta dalla stessa identità, senza sapere chi l’abbia fatta davvero. Postgate AI ne fa a meno del tutto.
Quali dati conserva Postgate AI in modo permanente?
Le credenziali Exchange cifrate (RSA-4096, vault in Germania), gli account del portale (nome, email aziendale, hash della password) e i metadati tecnici del registro di controllo, senza contenuti. Il contenuto delle caselle di default non rientra: resta nel vostro Exchange. Se accendete la cache si aggiungono il testo delle email convertito e il testo degli allegati, cifrati e cancellati dopo 7 giorni.
Il fornitore dell’IA vede le nostre email?
Decidete voi: scegliete l’assistente IA e lo collegate voi al servizio, quindi il modello che tratta i contenuti lo stabilite voi. Con un modello ospitato in locale (per esempio Ollama) nessun contenuto esce dal vostro ambiente. Noi non gestiamo un’IA nostra.
Una sicurezza che il vostro responsabile della protezione dei dati approva.
Il DPA con le misure tecniche e organizzative e l’elenco dei subresponsabili si firma già in fase di registrazione, e la prova gira esattamente sul modello che vale poi in produzione.