Un chatbot risponde; un agente agisce. La differenza tecnica: l'agente è un LLM in un ciclo – osserva, decide, usa uno strumento (function calling), legge il risultato, decide ancora – finché l'obiettivo non è raggiunto. Scrive file, esegue comandi, naviga, interroga API.
Con l'autonomia arrivano i rischi: un agente che esegue comandi è un utente privilegiato che si può ingannare (prompt injection). Le difese sono architetturali: permessi minimi, sandbox, approvazione umana per le azioni irreversibili (human-in-the-loop – così fa il gate Telegram di proxxx prima di toccare un cluster), e strumenti esposti in modo tipizzato e limitato via MCP invece di "eccoti la shell".