Dare all'AI il permesso di scrivere nelle note: è sicuro?

Far leggere le note a un'AI è una decisione facile. Darle il permesso di scriverci è il punto in cui molti si fermano, e fanno bene. Un modello che può aggiungere una riga può anche cancellare una pagina intera.

Eppure il permesso di scrittura conviene. Una memoria che l'AI può solo leggere invecchia, perché a ricopiarci ogni decisione finisci per essere tu. La domanda utile allora è più stretta: cosa può andare storto, cosa fanno già le app di AI per evitarlo e cosa controllare prima di dire di sì. I fatti su Claude, ChatGPT e Claude Code sono verificati sulla documentazione ufficiale l'11 novembre 2026.

Cosa può andare storto se l'AI scrive nelle tue note

Quasi sempre si tratta di errori banali. L'AI vuole aggiungere un paragrafo e riscrive la nota intera lasciandoci solo quel paragrafo. Salva la decisione di un cliente sotto un altro cliente. Mette in ordine una cartella e cancella una nota che sembrava un doppione. Niente di tutto questo è fatto con cattiveria, ma fa male lo stesso se te ne accorgi una settimana dopo.

Il secondo rischio è la prompt injection, cioè le istruzioni nascoste nei contenuti. L'elenco dei rischi delle applicazioni LLM di OWASP la mette al primo posto e descrive così quella indiretta: avviene quando un modello «accetta input da fonti esterne, come siti web o file». Le tue note sono proprio questo tipo di input. Una pagina web che l'AI ha riassunto in una nota può contenere un testo scritto per sembrare un ordine, e lo stesso vale per un documento incollato da un collega. Il centro assistenza di Anthropic dà un avviso simile sui connettori: i server MCP malevoli possono contenere istruzioni nascoste che cercano di far compiere a Claude azioni non volute. Claude ha delle protezioni che, con le parole di Anthropic, «tentano di bloccare» questi attacchi. Il verbo è «tentano»: non è una garanzia.

Il terzo rischio è la portata. OWASP lo chiama excessive agency e gli dà tre cause: troppe funzioni, troppi permessi, troppa autonomia. In pratica: l'AI ha strumenti che non le servono, quegli strumenti arrivano più lontano di quanto chiede il compito, oppure agisce su cose importanti senza che nessuno controlli. Un'istruzione nascosta senza permesso di scrittura è un fastidio. Con un permesso di scrittura ampio e nessuna approvazione, fa danni veri.

Cosa fanno Claude, ChatGPT e Claude Code

ChatGPT e Claude Code chiedono prima di scrivere, per impostazione predefinita. L'app di Claude ha richieste di approvazione e controlli per gli amministratori.

In ChatGPT, la documentazione di OpenAI sui server MCP personalizzati dice che le azioni di scrittura chiedono conferma per impostazione predefinita, e avverte che una scrittura sbagliata può distruggere, alterare o condividere dati per errore. ChatGPT considera uno strumento di sola lettura solo se il server lo marca con l'annotazione readOnlyHint; tutti gli altri contano come scritture. Puoi far ricordare a ChatGPT la tua scelta per uno strumento, ma una conversazione nuova chiede di nuovo. Come si collega un server l'abbiamo spiegato in collegare un server MCP a ChatGPT.

Claude Code chiede prima di modificare i file. La sua pagina sui permessi mette la modifica dei file fra le azioni che vogliono un'approvazione, e il «Yes, and don't ask again» (sì, e non chiedere più) vale fino alla fine della sessione. Alcune modalità allentano la regola: acceptEdits accetta da sola le modifiche ai file, mentre in plan Claude legge ed esplora ma non tocca i file sorgente. Una frase di quella pagina conta più delle altre: le regole dei permessi le fa rispettare Claude Code, non il modello. Il controllo sta fuori dall'AI, e un prompt furbo non lo aggira.

Nell'app di Claude gli strumenti dei connettori possono arrivare con una richiesta di approvazione, e il centro assistenza consiglia di leggerle con attenzione e di scegliere «Allow always» (consenti sempre) solo per server e strumenti di cui ti fidi abbastanza da lasciarli lavorare senza controllo. Sui piani Team ed Enterprise gli amministratori possono impostare ogni permesso dei connettori su Always allow, Needs approval o Blocked (consenti sempre, richiede approvazione, bloccato). Un'eccezione da sapere: durante la Ricerca, Claude può usare gli strumenti dei connettori senza chiedere di nuovo.

Le approvazioni aiutano, ma hanno un punto debole noto: alla ventesima conferma si smette di leggere e si clicca sì. Per questo sono solo metà della risposta. L'altra metà è cosa succede dopo una scrittura sbagliata.

Cosa chiedere prima di dare il permesso di scrittura

Il consiglio di OWASP contro la troppa autonomia è quasi buon senso: dare all'AI il minor numero di strumenti che le servono, con i minori permessi possibili, e far approvare a una persona le azioni che contano. Applicato a un'app di note o a un server di memoria, diventa quattro domande.

Chi gestisce il server, e dove stanno le note? Un connettore è una porta sulle tue note, e il centro assistenza di Anthropic avverte che i connettori personalizzati portano a servizi che Anthropic non ha verificato.

Dove arriva l'AI? A tutto quello che hai, o solo alle cartelle su cui lavora? E può toccare l'account, cambiare chi ha accesso o mandare le note da qualche altra parte?

Si può annullare una scrittura? È la domanda che si salta più spesso. Se una nota viene sovrascritta, la versione di prima c'è ancora? Se sparisce una cartella, si recupera, e per quanto tempo?

Si vede chi ha cambiato cosa? Una nota che dice «modificata da un'AI martedì» si controlla in un attimo. Una nota cambiata in silenzio no.

Come Cobrain gestisce le scritture delle AI

Cobrain è una memoria condivisa fatta di note Markdown, che Claude, ChatGPT, Claude Code, Codex e Cursor raggiungono via MCP.

I permessi li applica il database, con la stessa regola per il sito e per ogni AI. Un'AI collegata lavora esattamente con i tuoi permessi: legge quello che leggi tu e scrive dove puoi scrivere tu. Un ramo che nessuno ti ha condiviso è fuori portata, per te e per la tua AI. I dettagli sono in permessi e privacy.

Gli strumenti di scrittura sono fatti per sbagliare senza danni. write_file rifiuta di sostituire una nota lunga con un testo molto più corto senza conferma, e così ferma il classico «aggiungo una riga e perdo la pagina». append_file aggiunge in fondo invece di riscrivere. patch_file sostituisce un pezzo di testo esatto, e se quel testo non c'è, o compare più volte, rifiuta invece di indovinare. L'AI non ha strumenti per cambiare email, piano, condivisioni o autorizzazioni, e il connettore non manda le tue note ad altri servizi.

Poi c'è il modo per tornare indietro. Quando una nota cambia, la versione precedente resta, con chi l'ha modificata e quando, anche se è stata la tua AI. Sul piano gratuito restano le ultime due versioni per tre giorni; sul Pro le ultime trenta, per sette giorni. Dei 24 strumenti, uno solo cancella, e manda nel cestino del brain. Il proprietario recupera da lì per 30 giorni, poi se ne va per sempre, e l'AI il cestino non lo vede e non lo ripristina. L'elenco completo è in gli strumenti della tua AI.

Quando condividi con le persone, scegli per ogni cartella la sola lettura o anche la scrittura. La divisione che suggeriamo è semplice: lascia scrivere la tua AI nel tuo brain, dove ogni modifica è firmata e la versione di prima resta, e dai ai colleghi la scrittura solo sulle cartelle su cui lavorano.

Domande rapide

È sicuro far modificare le note a un'AI? Ragionevolmente sì, se valgono tre cose: l'AI chiede prima di scrivere o lavora in un'area limitata, ogni modifica conserva la versione di prima e una cancellazione si può annullare. Se non c'è modo di tornare indietro, tienila in sola lettura.

Cos'è la prompt injection indiretta? Un testo dentro una pagina web, un file o una nota scritto per sembrare un'istruzione. Quando l'AI lo legge, può eseguirlo. OWASP mette la prompt injection al primo posto fra i rischi delle applicazioni LLM.

ChatGPT chiede conferma prima che un server MCP scriva qualcosa? Sì. Le azioni di scrittura chiedono conferma per impostazione predefinita, e ogni strumento che il server non marca con readOnlyHint conta come scrittura. La tua scelta per uno strumento si può ricordare fino alla fine della conversazione.

Claude Code modifica i file senza chiedere? Non nella modalità predefinita: le modifiche ai file vogliono la tua approvazione. Modalità come acceptEdits le accettano da sole, quindi usale dove le modifiche si annullano, per esempio in un repository git.

Un'AI collegata a Cobrain può cancellare le mie note per sempre? No. Cancellare manda le note nel cestino del brain, che vede e ripristina solo il proprietario, per 30 giorni. Dopo se ne vanno. L'AI non ha strumenti per vedere o ripristinare il cestino.