Quando l'AI riassume, i divieti spariscono per primi

C'è un difetto degli assistenti AI che lavorano a lungo su un compito, e non è quello che immaginate. Il problema non è che l'agente dimentica. È che si convince.

Facciamo un passo indietro e spieghiamo il meccanismo, perché quasi nessuno lo racconta ai corsi.

Cos'è la compaction

Ogni modello ha una finestra di contesto, cioè quanto testo riesce a tenere in testa insieme. Quando una sessione si allunga (avete chiesto venti cose, l'agente ha letto file, lanciato comandi, letto errori) quella finestra si riempie. A quel punto l'assistente fa una cosa sensata: riassume tutto quello che è successo finora e butta via l'originale. Si chiama compaction, ed è quello che Claude Code chiama auto-compact quando vi avvisa che sta comprimendo la cronologia.

Fin qui è buon senso. Il guaio arriva dopo.

Quel riassunto diventa il passato. Non c'è più modo di tornare indietro a controllare com'erano andate le cose davvero: da lì in avanti, per l'agente, la verità è quella scritta nel riassunto. E un riassunto, per definizione, butta via roba.

L'analogia delle consegne

Pensate al collega che parte per le ferie e vi lascia due righe di consegne sul post-it. Cosa ci scrive? Le cose da fare: "chiama il cliente Rossi", "manda il preventivo entro venerdì". Quello che quasi mai finisce sul post-it sono i divieti: "non toccare il server di produzione di mattina", "non rispondere via mail a quel fornitore".

Voi arrivate, leggete il post-it, fate tutto quello che c'è scritto. Con la coscienza a posto. E intanto toccate il server.

Ecco: l'AI fa esattamente la stessa cosa. E adesso ci sono i numeri.

I numeri, e sono brutti

Uno studio di aprile firmato Yeran Gamage ha misurato la cosa su scala seria: 4.416 test, 12 modelli, 8 provider diversi. Il risultato è netto. I vincoli di obbligo (fai questo: "inizia ogni risposta con STATUS:") reggono al 100% anche dopo venticinque turni. I vincoli di divieto (non fare questo: "mai usare gli elenchi puntati") crollano dal 73% di rispetto al turno 5 al 33% al turno 16.

Tradotto: più la conversazione va avanti, più l'agente si scorda cosa non deve fare, mentre continua religiosamente a fare quello che gli avete chiesto. Gamage la chiama Security-Recall Divergence, e il punto cattivo è che i controlli restano verdi: se il vostro audit verifica che l'agente scrive "STATUS:" in cima a ogni risposta, il semaforo è verde per sempre, mentre nel frattempo le regole di sicurezza sono evaporate.

Un secondo studio, di giugno, firmato Shiyang Chen, ha isolato proprio la compaction. Stesso agente, stessa policy aziendale: con la policy visibile nel contesto, zero violazioni su sette modelli. Dopo la compaction, il 30% di violazioni in media, con punte al 59%. E c'è il dato che chiude il cerchio: quando la policy sopravvive dentro al riassunto, le violazioni restano a zero; quando il riassunto la taglia, si sale al 38%. Non è il modello che diventa cattivo. È il riassunto che ha perso il pezzo.

Più stringete il riassunto, peggio va: passando da un budget di 300 parole a uno di 15, la sopravvivenza della policy scende dall'88% al 23%.

Il caso che fa più impressione

L'11 luglio è uscito un paper breve, firmato Hiroki Tamba, su un caso specifico in Claude Code. Uno di quei comandi lanciati dall'agente va in timeout e viene ammazzato dal sistema (exit code 143, per gli amici SIGTERM). Il comando non ha finito niente, ma qualcosa era già comparso a schermo. Nel riassunto, quell'output parziale finisce registrato come risultato confermato.

Risultato: la sessione dopo eredita un "test passato" che nessuno ha mai passato. E non lo riverifica, perché è scritto nel riassunto, e il riassunto è la verità. Tamba lo chiama confondere l'osservazione con la persistenza: è comparso sul terminale, quindi per l'agente è successo davvero.

Cosa facciamo noi

Un po' di pratica, che vale per Claude Code come per gli altri.

Prima cosa: /clear tra un lavoro e l'altro. Non trascinate una sessione infinita, iniziate pulito quando cambiate compito. È gratis ed è la mossa che risolve più problemi.

Seconda: le regole che contano vanno scritte dove non possono essere riassunte via, cioè nel file CLAUDE.md del progetto, non buttate lì in chat al terzo messaggio. Quello viene ricaricato ogni volta.

Terza: potete dire voi cosa salvare, con /compact seguito dalle istruzioni, per esempio /compact tieni l'output dei test e i vincoli di sicurezza. Gli studi lo confermano indirettamente: Chen propone di "pinnare" i vincoli, cioè tenerli fuori dal riassunto e reiniettarli ogni volta, e bastano una cinquantina di token perché le violazioni tornino a zero. Cinquanta token. Non è un problema di costo, è un problema che nessuno sapeva ci fosse.

Quarta, la più importante: se l'agente vi dice che una cosa è confermata dopo una sessione lunga, verificatela. Non perché l'AI vi menta. Perché in buona fede sta leggendo un post-it.

---

Fonti

• Yeran Gamage, Omission Constraints Decay While Commission Constraints Persist in Long-Context LLM Agents, arXiv:2604.20911 (22 aprile 2026): https://arxiv.org/html/2604.20911v1
• Shiyang Chen, Governance Decay: How Context Compaction Silently Erases Safety Constraints in Long-Horizon LLM Agents, arXiv:2606.22528 (27 giugno 2026): https://arxiv.org/html/2606.22528
• Hiroki Tamba, Compaction as Epistemic Failure: How Agentic LLM Tools Fabricate Confirmed Results from Killed Processes, arXiv:2607.13071 (11 luglio 2026): https://arxiv.org/abs/2607.13071
• Claude Code Docs, Manage costs effectively (auto-compaction, /compact, compact instructions): https://code.claude.com/docs/en/costs