The Pulse

Secondo Reco, Headless 360 di Salesforce può ampliare il raggio d’azione degli agenti

Un ricercatore di sicurezza di Reco afferma che il server MCP Headless 360 di Salesforce consente agli agenti di individuare operazioni agendo con le autorizzazioni dell’utente connesso. Il server è ancora in beta e Salesforce afferma che alle transazioni si applicano i controlli di accesso esistenti.

AI.info Team · · verificato · su 4 fonti ↓ · Pubblicato 12 nov 2026

Il server MCP Headless 360 di Salesforce consente agli agenti di IA di individuare operazioni e agire con le autorizzazioni della persona che li ha connessi, dando potenzialmente agli agenti un accesso che va oltre le attività abituali di quella persona. In un’analisi pubblicata il 12 novembre, Nitay Bachrach, ricercatore senior di sicurezza di Reco, afferma che la libreria di operazioni del server, in espansione, rende difficile valutare in anticipo la portata di tale accesso.

Il server è un servizio in beta. Salesforce afferma che a ogni transazione si applicano autorizzazioni sugli oggetti, sicurezza a livello di campo, regole di condivisione, profili e set di autorizzazioni, e che le azioni compaiono nel registro di audit sotto il nome dell’utente autenticato.

Quattro strumenti, molte operazioni

Headless 360 espone quattro strumenti per trovare, esaminare ed eseguire operazioni: discover, describe, dispatch e una versione di dispatch in sola lettura. Le operazioni possono includere l’interrogazione, la creazione e l’aggiornamento di record, così come la lettura, la scrittura e la distribuzione di trigger Apex.

Includono anche la gestione degli utenti, la creazione di credenziali denominate e la realizzazione di integrazioni basate sugli eventi. Gli amministratori devono attivare il server e per connettersi è necessaria una External Client App con gli ambiti di autorizzazione pertinenti.

Lo strumento discover cerca operazioni in base a una richiesta in linguaggio naturale e restituisce un elenco di possibili corrispondenze ordinate per rilevanza. I risultati possono includere singole operazioni API o Setup Operation Recipes composte da più passaggi, che contengono dipendenze e indicazioni per l’agente.

Una chiamata a discover

In una chiamata descritta nell’analisi, una ricerca di dati in un foglio di lavoro a griglia creato da Agentforce ha restituito dieci risultati ordinati per rilevanza. Il primo risultato era un flusso di lavoro di Agentforce Grid con 60 passaggi.

La relativa recipe conteneva 29 passaggi di lettura, 18 di scrittura, 8 di verifica, 4 di eliminazione e 1 di convalida. Tra i prerequisiti elencati figuravano un diritto di accesso attivo ad Agentforce Grid e autorizzazioni utente appropriate per gestire cartelle di lavoro e fogli di lavoro.

Secondo Bachrach, le operazioni disponibili per un agente vengono assemblate al momento della chiamata, anziché essere fissate quando il client si connette. Salesforce descrive la libreria di operazioni come in continua crescita, mentre l’insieme degli strumenti esposti rimane ridotto.

Autorizzazioni e scelte

Reco sostiene che questo renda più difficile esaminare l’integrazione come un insieme di funzionalità definito: discover restituisce una lista ristretta di risultati ordinati per rilevanza, anziché un elenco completo. Bachrach richiama inoltre l’attenzione su un’operazione di generazione di query i cui controlli di accesso dichiarati non descrivono i dati degli account che una query generata successivamente potrebbe leggere.

Il ricercatore descrive uno scenario in cui un agente, a cui viene chiesto di dare a qualcuno accesso a un record, potrebbe creare una condivisione o ampliare l’impostazione predefinita valida per l’intera organizzazione per tutto l’oggetto. Queste modifiche più ampie richiedono autorizzazioni specifiche, ma l’analisi sostiene che la sola autorizzazione non stabilisce quale delle opzioni consentite sia appropriata per una determinata richiesta.

Salesforce raccomanda di configurare i client MCP affinché chiedano l’approvazione prima di eseguire uno strumento che modifica la configurazione dell’organizzazione oppure altera o elimina dati. Reco osserva che le operazioni distruttive vengono eseguite tramite dispatch, quindi un controllo su quello strumento lato client si applica a dispatch nel suo complesso, anziché a ogni operazione separatamente.

L’azienda afferma di offrire un servizio di applicazione delle policy in fase di esecuzione che identifica ciò che una chiamata di un agente sta per fare e blocca le azioni non consentite dalle policy del cliente. La sua analisi afferma che i nomi degli strumenti, gli schemi e gli URL del server potrebbero cambiare al momento della disponibilità generale.