Guida
Come monitorare i coding agent AI sulle macchine degli sviluppatori
Cosa monitorare quando Claude Code, Codex o Cursor girano sui portatili del team, cosa dicono (e non dicono) hook e telemetria integrati e come rispettare la privacy.
· 9 min di lettura · A cura del team vetkit
Perché le approvazioni non bastano
I coding agent AI chiedono conferma prima delle azioni rischiose, oppure lasciano decidere a un revisore automatico. Questo protegge il momento dell’approvazione. Non dice però a un team cosa è successo in centinaia di sessioni su decine di portatili: quale agent ha letto una credenziale cloud, quale ha inviato dati a un dominio che nessuno riconosce, o quale ha modificato in silenzio le proprie impostazioni perché l’esecuzione successiva chieda meno conferme.
Il monitoraggio colma questa lacuna. L’obiettivo non è sorvegliare gli sviluppatori, ma poter rispondere a una domanda semplice quando qualcosa non torna: cosa ha toccato l’agent? La guida a ciò a cui possono accedere gli agent spiega perché questa superficie è più ampia di quanto la maggior parte delle persone immagini.
Cosa monitorare
La maggior parte del rischio rientra in poche categorie. Un buon sistema di monitoraggio le copre tutte e riconduce ogni attività all’agent che l’ha causata.
| Categoria | Esempi | Perché conta |
|---|---|---|
| Accesso alle credenziali | Chiavi SSH e GPG, credenziali cloud, token, portachiavi, dati del browser | La cosa più preziosa sulla macchina di uno sviluppatore |
| Traffico in uscita | Upload, servizi di paste e di condivisione file, domini visti per la prima volta | È così che i dati escono; lettura di una credenziale seguita da traffico in uscita è la sequenza classica |
| Azioni distruttive | Cancellazioni estese, riscrittura della cronologia git, drop di tabelle, modifiche a risorse cloud | Qui gli errori costano cari anche senza un attaccante |
| Perimetro | Letture, ricerche e scritture fuori dal progetto | Un task di sviluppo raramente ha bisogno del resto del disco |
| Supply chain | Installazione di pacchetti, script remoti passati in pipe a una shell, avvio di server MCP | Arriva nuovo codice che gira con i tuoi permessi |
| Persistenza e postura | Elementi di login, profili della shell, impostazioni e file di istruzioni degli agent, modalità che aggirano le approvazioni | Modifiche che sopravvivono alla sessione e condizionano quella successiva |
Cosa offrono i tool di serie
Gli agent stessi espongono hook e telemetria utili. Sono un buon punto di partenza, con limiti precisi.
- Hook. Claude Code, Codex e Cursor possono eseguire uno script tuo prima o dopo una chiamata a un tool, per esempio prima di un comando di shell o di una chiamata MCP. Claude Code e Cursor documentano che di default gli hook sono fail-open in caso di timeout o errori, e Claude Code consiglia il sistema dei permessi, invece degli hook, per regole rigide di consenso o divieto.
- OpenTelemetry. Claude Code e Codex possono esportare decisioni e risultati dei tool tramite OpenTelemetry. È disattivato di default, i prompt non vengono registrati a meno che tu non lo abiliti esplicitamente, e nessuno dei due tool consente alla configurazione di un repository di attivare la telemetria o di sceglierne la destinazione.
- Cosa non riescono a vedere. I segnali integrati descrivono ciò che l’agent ha chiesto ai suoi tool di fare. Un comando di shell che avvia altri processi, uno script dentro l’installazione di una dipendenza o un container lanciato dall’agent restano fuori da questa visuale, e ogni tool riporta i dati nel proprio formato.
Tre modi per monitorare
| Approccio | Punti di forza | Limiti |
|---|---|---|
| Hook e telemetria degli agent | Chiamate ai tool esatte, avvio economico, supporto del vendor | Una configurazione per ogni tool, fail-open, ciechi ai processi figli, dipendono dalla configurazione di ciascuno sviluppatore |
| Sicurezza degli endpoint (EDR) | Vede ogni processo e ogni connessione sulla macchina | Non sa quale attività provenga da una sessione di un agent, e le regole sono scritte per il malware, non per un assistente di programmazione molto attivo |
| Un monitor dedicato agli agent | Collega l’attività del sistema operativo all’agent e alla sessione, un’unica vista su tutti i tool, regole scritte per il comportamento degli agent | Un’altra app da installare; serve un modello di privacy chiaro perché il team lo accetti |
Questi approcci si combinano bene. Gli hook danno l’intento preciso, un monitor dedicato dà copertura e attribuzione, e l’EDR resta l’ultima linea di difesa per tutto il resto sulla macchina.
Ragionare per sessioni, non per eventi
La lettura di un singolo file raramente è interessante. Una sessione che ha letto una credenziale cloud e poi ha caricato qualcosa su un dominio mai visto prima, sì. Due idee rendono il monitoraggio utile anziché rumoroso:
- Raggruppare per sessione e regola. Le ripetizioni dello stesso comportamento dovrebbero incrementare un contatore, non generare ogni volta un nuovo avviso.
- Affermare ciò che “non” è successo, con onestà. L’output più rassicurante di un monitor è un’affermazione come “nessuna lettura fuori dal progetto” o “traffico in uscita solo verso domini consentiti”. Un’affermazione del genere è solida solo quanto la copertura dei sensori che la sostiene, quindi dovrebbe dichiarare quando la copertura è stata parziale, per esempio dopo un riavvio del sensore o quando l’agent ha delegato lavoro a Docker o SSH.
Monitorare senza sorvegliare
Osservare cosa fa uno strumento sul portatile di qualcuno è molto vicino al monitoraggio dei dipendenti, e va progettato di conseguenza:
- L’associazione di un dispositivo deve essere un’azione esplicita della persona, sulla propria macchina.
- Caricare metadati (avvisi, riepiloghi delle sessioni), non contenuti dei file, prompt o sequenze di tasti.
- Oscurare i segreti sul dispositivo prima che qualsiasi cosa ne esca.
- Permettere alle organizzazioni di limitare ciò che vedono gli admin e registrare ogni volta che un admin apre i dettagli di qualcuno.
- Mantenere una conservazione dei dati breve e lasciare che ciascuno possa revocare il proprio dispositivo in qualsiasi momento.
- Verificare i requisiti di informativa, consenso e coinvolgimento delle rappresentanze dei lavoratori previsti dalla normativa locale prima del rollout.
Il ruolo di vetkit
Agent Watch è l’app desktop di vetkit pensata per questo. Osserva le sessioni di Claude Code, Codex, Cursor, Windsurf, Copilot, Gemini CLI, Cline e Aider su una macchina associata e segnala risultati su accesso alle credenziali, traffico in uscita, comandi distruttivi, perimetro, supply chain, persistenza e postura, raggruppati per regola e dispositivo. Ogni sessione riporta attestazioni contrassegnate come verificate, parziali o sconosciute in base alla copertura dei sensori. Osserva e riporta; non blocca.
Segue il modello di privacy descritto sopra: i dispositivi si associano tramite un codice che la persona approva, gli upload sono solo metadati, gli eventi grezzi vengono caricati solo se sia l’organizzazione sia l’utente lo abilitano esplicitamente, le consultazioni da parte degli admin dei dettagli di un altro membro vengono registrate e i membri possono revocare il proprio dispositivo in qualsiasi momento. La documentazione di Agent Watch riporta disponibilità e piani. Per il lato della configurazione, la guida ai permessi mostra cosa segnala l’audit del repository nelle impostazioni degli agent committate.
Fonti
Abbiamo ricavato le affermazioni su ciascun tool dalla sua documentazione ufficiale il :
I nomi dei prodotti sono marchi dei rispettivi proprietari. vetkit non è affiliato, approvato né sponsorizzato da loro. Hai notato qualcosa di non aggiornato? Scrivi a contact@vetkit.dev e lo correggeremo.