Connettori
Le origini di primo livello alimentano gli stessi motori attraverso un unico framework di connettori. Ogni connettore espone sia le risorse (file, siti, canali, repository, bucket) sia le identità (persone, gruppi e ospiti — nonché agenti non umani, bot, app e ruoli).
Gli scope sono orientati alla lettura e a privilegio minimo: il valore predefinito è la sola lettura, sufficiente a mappare le autorizzazioni e mai eccedente. Gli scope in scrittura esistono unicamente per Active Prevention e la auto-remediation, e sono opt-in per connettore. Ogni connettore si connette a dati in tempo reale e può essere esplorato anche in modalità demo (mock).
Google Workspace
Espone i file e le cartelle di Drive con i link di condivisione normalizzati come pubblici, esterni o a livello di organizzazione; e le persone, i gruppi e gli account di servizio di Workspace — inclusi gli assistenti AI Drive governati come agenti.
Gli scope OAuth orientati alla lettura mappano il grafo dei permessi; un client web OAuth di Google attiva la modalità reale (abilita anche “Accedi con Google”).
Microsoft 365
Espone i siti, le librerie e i file di SharePoint Online e OneDrive, con la condivisione normalizzata (anonima → pubblica, organizzazione → a livello di organizzazione, ospite → esterna); e i membri, gli ospiti e i gruppi di Entra ID e — il fiore all'occhiello — le registrazioni di app e i service principal, mappati a identità di servizio o AI-agent (ad esempio, un'app Copilot sovra-autorizzata).
Prima gli scope di lettura a privilegio minimo di Microsoft Graph (Sites.Read.All, Files.Read.All, Directory.Read.All, Application.Read.All); gli scope di scrittura sono riservati alla prevenzione e opt-in.
Slack
Espone gli workspace, i canali pubblici e privati, i canali condivisi esterni di Slack Connect, i file con link pubblici e gli ospiti multi-canale; oltre alle app installate, ai bot e alle integrazioni con i loro scope OAuth, governati come agenti e servizi — uno scope di bot AI troppo ampio emerge come critico.
Prima gli scope di lettura tramite OAuth; l'accesso in scrittura è subordinato all'opt-in di prevenzione per ogni connettore.
Notion
Espone lo workspace, i teamspace, le pagine e i database, con condivisione web, ospiti e condivisione esterna; oltre alle integrazioni e ai bot con le loro capacità, governati come agenti — una pagina sensibile condivisa pubblicamente emerge come critica.
Prima gli scope di lettura tramite OAuth; l'accesso in scrittura è subordinato all'opt-in di prevenzione per ogni connettore.
GitHub
Funziona per un account personale o un'organizzazione — rilevato automaticamente dal tipo di account. Organizzazioni: mostra l'organizzazione, i repository (pubblici, interni, privati), i collaboratori esterni e i team, oltre alle GitHub App, alle app OAuth, ai PAT granulari e alle chiavi di deploy, gestiti come agenti e servizi. Account personali: inventaria le Sue GitHub App installate e le relative concessioni di permessi, i Suoi repository di proprietà, le chiavi di deploy per repository (incluse le chiavi con capacità di scrittura) e i collaboratori — la superficie di accesso dimenticata dell'account di un singolo sviluppatore.
Prima gli scope di lettura tramite OAuth; l'accesso in scrittura è subordinato all'opt-in di prevenzione per ogni connettore.
AWS IAM
Espone l'account, gli utenti, i ruoli, i gruppi e le policy IAM, le chiavi di accesso e l'esposizione dei bucket S3 e della trust dei ruoli; oltre ai ruoli assumibili da servizi o automazione, governati come identità di servizio e AI-agent. Un ruolo admin con wildcard (*:*), un bucket S3 pubblico e una trust cross-account emergono come critici.
Si connette con credenziali IAM in sola lettura o un ruolo assunto in lettura (stile api-key) — sufficienti per enumerare, mai per modificare alcunché.
Un modello, ogni fonte
Il framework è generalizzato: ogni nuovo connettore riutilizza le regole di postura condivise, il blast radius, il punteggio, il diff tra scansioni, i motori verdict / Agent Guard, il generatore di conformità e la pipeline di remediation — invariati. Un singolo report di conformità può coprire ogni origine connessa e la governance degli agenti si estende agli agenti AI di ogni vendor.
Le identità di app e ruoli risiedono nel workspace o nell'organizzazione, quindi il loro rischio emerge tramite la famiglia di regole agenti-AI e servizi — mai conteggiato erroneamente come collaboratori esterni.