La rapidità con cui evolvono le minacce informatiche sta costringendo le organizzazioni a ridisegnare le proprie architetture di difesa. Se fino a poco tempo fa l’impiego dell’intelligenza artificiale all’interno delle strutture di monitoraggio della sicurezza rappresentava un’opzione puramente integrativa, i mutamenti dello scenario tecnologico hanno trasformato questa tecnologia in una necessità strutturale.

In una approfondita intervista tecnica rilasciata allo specialista Ron Eddings, la Chief Security Evangelist di ExaForce, Aqsa Taylor, ha analizzato i fattori che rallentano l’adozione su larga scala dell’automazione nei centri operativi di sicurezza, tracciando una netta linea di demarcazione tra le vecchie logiche di gestione e i requisiti indispensabili per la difesa moderna.

La contrazione del tempo di reazione globale

L’urgenza di una trasformazione radicale emerge dagli incidenti che colpiscono le grandi infrastrutture aziendali. I dati recenti evidenziano un forte affinamento delle tecniche di ingegneria sociale. I criminali riescono ormai a superare con facilità i tradizionali perimetri di autenticazione.

Il caso Charter Communications

Un esempio emblematico è rappresentato dal massiccio attacco subito da Charter Communications. Il gruppo criminale ShinyHunters ha sottratto ben 40 milioni di record di clienti. L’azione è avvenuta dopo il rifiuto dell’azienda di pagare il riscatto richiesto. La dinamica mette in luce la fragilità dei controlli tradizionali.

L’intrusione è iniziata con una singola chiamata di vishing, ovvero phishing vocale, verso un dipendente. Attraverso la manipolazione psicologica, l’attaccante ha compromesso l’account Microsoft Entra della vittima. Ha ottenuto così un accesso diretto all’istanza Salesforce aziendale. Il gruppo ha prelevato dati sensibili come nomi, indirizzi, telefoni e ticket di supporto.

Vulnerabilità infrastrutturali e zero-day

Lo stesso gruppo criminale ha sfruttato una falla non patchata nel sistema Oracle PeopleSoft. Il problema era noto da tempo. Tuttavia, la correzione ufficiale è arrivata soltanto il 10 giugno. Oracle ha valutato questa vulnerabilità con un punteggio di gravità pari a 9.8 su 10. La falla non richiedeva credenziali di login. Bastava soltanto la visibilità a livello di rete. Questa caratteristica ha reso vulnerabili soprattutto le università. Le istituzioni accademiche hanno infatti infrastrutture enormi e accessibili senza autenticazione preliminare.

I dati del Microsoft June Patch Tuesday confermano il collasso dei tempi di gestione delle crisi. L’azienda ha rilasciato correzioni per ben 206 vulnerabilità. Tra queste figuravano tre zero-day attivamente sfruttati sul campo.

La finestra temporale tra la scoperta di una falla e il suo utilizzo malevolo si è ridotta a pochi secondi. Di fronte a uno stack tecnologico vulnerabile in tempo reale, i modelli difensivi tradizionali mostrano limiti evidenti.

I limiti dei sistemi legacy e il ruolo del SOC

Il dibattito sull’efficacia dell’automazione ha subito una profonda mutazione nell’ultimo anno. Nel corso del 2025, la quasi totalità degli esperti esprimeva un forte scetticismo. Oltre settanta professionisti consultati da Eddings limitavano l’uso dell’intelligenza artificiale a compiti descrittivi. La tecnologia serviva solo per la sintesi delle informazioni, escludendo l’operatività degli agenti.

Il passaggio al modello agentico nel 2026

Lo scenario attuale mostra un’inversione di tendenza radicale. Le organizzazioni stanno dando pieno controllo agli agenti autonomi. Questa scelta è spinta dalla capacità degli avversari di utilizzare l’intelligenza artificiale per offensive coordinate su scala industriale.

Durante il confronto, Eddings ha sollevato una questione centrale sul futuro delle architetture di sicurezza: «Cos’è un SOC basato sull’IA nel mondo di oggi? Possiamo fare di più con l’intelligenza artificiale; dovrebbe essere una strategia per l’intero ciclo di vita, non solo per il triage, ma anche per il rilevamento».

Il problema della manutenzione manuale

Il limite principale delle soluzioni tradizionali risiede nella gestione dei playbook statici all’interno dei sistemi SOAR. Questa attività richiede storicamente l’impiego di personale a tempo pieno. Molti strumenti si limitano a ri-prioritizzare gli alert sopra un SIEM preesistente. In questo modo l’efficacia decade per la mancanza di una comprensione profonda delle relazioni aziendali.

Taylor ha chiarito questo specifico aspetto tecnico. L’esperta ha affermato: «Se una piattaforma IA si concentra solo sulla ri-prioritizzazione, dipende dagli eventi che arrivano da SIEM o XDR e spesso le manca il contesto aziendale, le relazioni di identità o le configurazioni». Senza questi dati, l’analista deve inserire manualmente le informazioni mancanti, alimentando il fenomeno del burnout.

L’architettura del Knowledge Graph semantico

Per superare la frammentazione dei log grezzi, la difesa si orienta verso strutture informative evolute. ExaForce ha recentemente ottenuto un piano di investimenti da 125 milioni di dollari. Queste risorse potenzieranno i team MDR e lo sviluppo del prodotto. L’azienda propone l’adozione di un Knowledge Graph semantico in tempo reale.

Correlazione multilivello dei dati

L’obiettivo fondamentale è arricchire i segnali grezzi raccolti dall’infrastruttura. Il sistema lega gli eventi a tre livelli informativi distinti: l’identità, la configurazione e il codice.

La combinazione tra automazione algoritmica e supervisione umana rappresenta l’asse portante di questa visione. Taylor ha spiegato la necessità di una sinergia tra tecnologia e professionisti: «Crediamo che il modello vincente per il SOC sia una piattaforma SOC agentica supportata dal servizio MDR per la responsabilità umana».

Il fattore umano offre la garanzia finale. Consente all’infrastruttura di operare con un livello di accuratezza tale da azzerare i falsi allarmi.

L’operatività sul campo degli agenti autonomi

L’attività di un SOC moderno si esprime nella capacità di esaminare simultaneamente molteplici dimensioni di una minaccia.

Gli agenti software specializzati, chiamati Exobot, eseguono scansioni che superano il semplice riscontro di un indicatore di compromissione. Il sistema analizza l’utente, la gerarchia aziendale, l’accesso ai file e le condivisioni esterne.

L’action coordinata di quattro bot consente di ridurre i falsi positivi del 90%. Inoltre, permette di velocizzare le investigazioni del 95%.

Angoli ciechi e attacchi alla supply chain

Questa granularità si rivela indispensabile di fronte ad attacchi sofisticati. Un caso concreto è la campagna HackerBot Claw condotta sulla piattaforma GitHub. Questa offensiva non si manifesta attraverso i tradizionali log di AWS o CloudTrail.

L’attacco agisce direttamente tramite la manipolazione delle Pull Request nei flussi di sviluppo software. Un sistema tradizionale privo di visibilità semantica non rileva l’anomalia.

Il concetto di Vibe Hunting e Peer Baselining

Una delle innovazioni metodologiche più rilevanti presentate da Taylor prende il nome di Vibe Hunting. Questa tecnica sfrutta un feed di minacce integrato. Non appena esce un articolo su un nuovo attacco, i bot avviano una caccia proattiva automatica. Il sistema incrocia identità, configurazioni e codice per mostrare l’impatto in tempo reale.

Il monitoraggio degli ecosistemi SaaS come Slack o Google Workspace beneficia del meccanismo di peer baselining. Gli strumenti tradizionali verificano le anomalie basandosi solo sullo storico del singolo utente. L’analisi agentica confronta invece il comportamento del soggetto con quello del suo gruppo di pari.

Questa metodologia permette di identificare minacce interne sofisticate. Un esempio è il caso di un attore malevolo nordcoreano infiltrato come dipendente. Anche se le sue azioni sembrano coerenti con il suo storico individuale, il confronto con le abitudini dei colleghi fa emergere immediatamente le anomalie.

La roadmap strategica per l’adozione dell’IA

La transizione verso un modello autonomo richiede una pianificazione rigorosa. Bisogna escludere implementazioni affrettate e prive di garanzie. Taylor ha raccomandato un percorso progressivo: «Non puoi passare da zero a “rispondi a tutti i ticket per me”.

Devi costruire una strategia: prima verifichi il triage, poi la qualità dei rilevamenti, poi l’investigazione. Solo allora passi alla risposta automatizzata».

Le quattro fasi dello sviluppo

L’adozione della tecnologia all’interno del SOC deve seguire passaggi sequenziali ordinati. Si parte dalla validazione della precisione nella fase di triage iniziale. Successivamente, si valuta la qualità dei rilevamenti. La terza fase si concentra sull’accelerazione delle investigazioni. Solo dopo aver consolidato la fiducia si passa alla risposta automatizzata.

Per i team che vogliono iniziare, l’attività di threat hunting rappresenta il punto di partenza ottimale. Si possono utilizzare inizialmente strumenti aperti come Claude per comprendere il supporto dell’IA.

Tuttavia, per un ciclo proattivo continuo, serve una piattaforma live che agisca come agente in tempo reale.

Il potenziamento del fattore umano

L’evoluzione tecnologica non mira a eliminare il personale specializzato. Taylor ha ricordato una chiara analogia: «L’IA è come internet: non ha eliminato gli insegnanti, ci ha reso più efficienti».

L’obiettivo è liberare i difensori dai compiti manuali come la scrittura di regole di rilevamento. I professionisti possono così usare il linguaggio naturale per formulare ipotesi di caccia alle minacce e concentrarsi sulla gestione strategica.