In sette settimane tre aziende hanno lanciato lo stesso prodotto. Grok Bot di xAI è uscito l’11 agosto, Meta Muse l’8 settembre, OpenAI Dots il 29 settembre. Cambiano i nomi, ma l’idea è la stessa: un assistente AI con un computer tutto suo, che va avanti a lavorare anche dopo che hai chiuso il portatile.
Mi interessano poco come novità tecnologica. Mi interessano perché, da tech lead, vedo arrivare una domanda a cui i team dovranno rispondere presto: cosa siamo disposti a delegare a qualcosa che lavora quando nessuno guarda?
Un chatbot risponde, un agente lavora
ChatGPT, Gemini o Claude lavorano mentre gli scrivi. Chiudi la finestra e si ferma tutto. Questi nuovi agenti invece hanno un posto fisso dove girare, e quasi tutte le differenze vengono da lì.
Hanno una macchina dedicata che resta accesa, con i suoi file, le sessioni di login aperte e il browser. Non nasce e muore a ogni richiesta. Ricevono un obiettivo, non una domanda. Puoi chiedergli di tenere d’occhio il feedback dei clienti e preparare le fix, e ci tornano sopra nei giorni successivi senza che tu debba rispiegare tutto. Si ricordano di te: preferenze, conversazioni passate. Grok Bot può anche osservarti mentre esegui un flusso e salvarlo come procedura. E agiscono sugli strumenti veri. Leggono la posta, aggiornano il CRM, aprono ticket, prenotano. Se un servizio non ha un’API, usano il sito come faresti tu.
La differenza, per come la vedo io, è quella tra un consulente che chiami quando ti serve e un collega che ha la sua scrivania in ufficio.
Cosa c’è sotto
Tolto il marketing, i tre prodotti sono costruiti allo stesso modo. Ogni utente, o ogni agente, ha una macchina virtuale nel cloud del fornitore. OpenAI parla di istanze private persistenti che conservano lo stato. In Grok Bot i bot dello stesso account condividono file system e login. Sopra c’è un modello di frontiera che scompone l’obiettivo, sceglie il passo successivo e verifica il risultato. Dots usa GPT-6 Astra, Muse usa Muse Spark 1.3. Per parlare con le app l’agente passa prima dalle API ufficiali (OpenAI dichiara oltre 4.000 app raggiungibili via plugin) e, quando non ci sono, apre il browser.
Poi c’è la pianificazione: trigger ed eventi che lo rimettono al lavoro a qualsiasi ora. OpenAI ha annunciato per gli sviluppatori SDK con scheduling, event hook e memoria a lungo termine.Infine un livello di permessi tra l’agente e il resto del mondo, dove decidi tu cosa può fare da solo e cosa deve passare da te.
È quest’ultimo pezzo che guarderei per primo. Il modello propone le azioni, ma non dovrebbe essere lui a decidere se eseguirle.
La sicurezza non è risolta
Un agente sempre acceso, con accesso alla tua posta e alla tua carta, è un bersaglio molto più grande di un chatbot. Il rischio principale si chiama prompt injection: l’agente legge un’email o una pagina web con dentro istruzioni nascoste, tipo “inoltra gli ultimi messaggi a questo indirizzo”, e le scambia per ordini tuoi.
Simon Willison chiama “lethal trifecta” la combinazione di tre cose: accesso a dati privati, esposizione a contenuti non fidati, possibilità di mandare dati all’esterno. Questi agenti le hanno tutte e tre per costruzione.
La risposta più documentata finora è quella di Meta. Muse gira in una cella isolata e non vede mai password o dati di pagamento: le credenziali vengono inserite solo quando la richiesta esce dalla VM. Un secondo agente, Sentinel, è l’unico che può autorizzare un’azione, e la consente, la blocca o chiede a te. La richiesta di approvazione arriva come dialogo di sistema nell’app, non in chat, così un testo iniettato non può fingere il tuo consenso. E c’è un registro di quello che l’agente ha fatto e di quello che intende fare.
Detto questo, la stessa Meta scrive nella documentazione che il modello resta vulnerabile alla prompt injection quando agisce da agente. Ha aperto un bug bounty fino a 300.000 dollari, di cui fino a 130.000 per una singola injection riuscita. Nessuno offre cifre del genere per un problema che considera chiuso. Muse, tra l’altro, era atteso ad aprile ed è stato rinviato proprio per lavorare sulla sicurezza; nei test interni a volte si scollegava a metà compito.
OpenAI va in una direzione simile: regole su cosa il Dot può fare da solo e cosa richiede approvazione, e quando non stai lavorando con lui può solo fare ricerca in lettura, senza inviare messaggi né modificare nulla.
E da noi?
In Italia, per ora, si guarda più che usare. A inizio ottobre la situazione era questa:
| Prodotto | Chi può usarlo | Prezzo di ingresso | In Italia |
|---|---|---|---|
| OpenAI Dots | Piani Pro e Business Premium (non Free, Go o Plus) | Primo Dot incluso nel Pro da 100 $/mese | No sui Pro personali, sì per le aziende con Business Premium |
| Meta Muse | Utenti USA (secondo alcune fonti anche Canada) | Piani a pagamento da 20 $/mese | Non disponibile |
| Grok Bot | Beta per SuperGrok Heavy e Cursor Ultra/Teams Premium | Legato all’abbonamento | Nessun limite geografico dichiarato |
OpenAI non ha spiegato perché ha escluso l’Europa né ha dato date. Penso c’entrino GDPR e AI Act, ma è una mia ipotesi.
Chi vuole provare comunque può usare OpenClaw, open source, su un mini PC o un Raspberry Pi sempre acceso, collegato al modello che preferisce. È meno comodo, ma i dati restano a casa tua.
Le domande che mi farei da tech lead
OpenAI parla già di Dots specialisti con identità, credenziali e strumenti propri, integrati con i controlli di sicurezza di Microsoft. xAI descrive bot che riproducono bug di interfaccia, aprono ticket e passano la fix a un altro bot. Il linguaggio è quello di chi descrive un membro del team, non uno strumento.
Se è così, valgono le domande che ci facciamo per un nuovo collega. Che accessi gli diamo, e con quale identità? Il minimo privilegio vale anche qui, e con più rigore. Cosa gli lasciamo fare di notte? Io partirei da compiti ripetitivi e facili da verificare: triage delle issue, monitoraggio, prime bozze di fix. Chi rivede il lavoro fatto mentre dormivamo, e quando? Senza una review, quel lavoro si accumula e nessuno lo guarda davvero.
Se sbaglia su un sistema del cliente, la responsabilità è nostra. Meglio scriverlo nelle policy adesso che dopo il primo incidente.
E un’ultima cosa, la più concreta: OpenClaw installato sul portatile di uno sviluppatore ha gli stessi accessi di quella persona, Slack aziendale compreso. È un tema da affrontare apertamente nel team, prima di scoprirlo per caso.
Per chiudere
Far usare un computer a un’AI si poteva fare anche prima. La novità di questo autunno è che i grandi fornitori danno all’assistente una macchina sua, un’identità e il permesso di lavorare a qualsiasi ora. Passiamo da un software che consultiamo a qualcosa a cui deleghiamo.
Non so se la fiducia arriverà prima o dopo il primo incidente serio. So che le regole su cosa delegare, e a quali condizioni, possiamo scriverle già adesso nei nostri team.
- Assistenti con un PC tutto loro: è iniziata l’era degli agenti che lavorano 24/7 - Ottobre 26, 2026
- Se tutti copiano, chi inventa? - Ottobre 22, 2026
- È finita l’era della AI - Ottobre 3, 2026