Trasformazione dei settori

L’IA nella cybersicurezza: rilevamento delle minacce e risposta automatizzata

Come l’IA sta trasformando la cybersicurezza attraverso il rilevamento avanzato delle minacce, l’analisi comportamentale, la risposta automatizzata agli incidenti e la gestione delle vulnerabilità.

AI.info Team · 2026-08-04

La superficie di attacco ha superato il vecchio modello di rilevamento

Le reti governative vengono sondate da avversari che non si prendono più nemmeno la briga di installare malware. Nell’avviso AA24-038A, la CISA ha descritto come Volt Typhoon, un gruppo sostenuto dallo Stato cinese, abbia mantenuto l’accesso alle reti delle infrastrutture critiche statunitensi per almeno cinque anni usando tecniche di «sfruttamento degli strumenti già presenti»: strumenti di amministrazione legittimi come PowerShell e WMI, anziché programmi binari personalizzati che un motore basato sulle firme avrebbe potuto segnalare. Salt Typhoon, attribuito al Ministero della Sicurezza dello Stato cinese, si è spinto oltre, infiltrandosi negli operatori di telecomunicazioni statunitensi. Jen Easterly, direttrice della CISA, ha poi confermato che gli analisti a caccia di minacce avevano individuato il gruppo nelle reti federali ancora prima che le compromissioni degli operatori di telecomunicazioni diventassero pubbliche.

Nessuna delle due campagne era «basata sull’IA» nel senso suggerito dalle presentazioni commerciali, ma entrambe mostrano perché la correlazione dei SIEM tradizionali basata su regole stia perdendo terreno: gli aggressori che usano contro un obiettivo i suoi stessi strumenti non fanno scattare le firme statiche. Quel divario — intrusioni invisibili per loro stessa natura a fronte di sistemi di rilevamento ancora tarati su indicatori di minacce note — è la vera ragione per adottare il machine learning nei centri operativi di sicurezza (SOC), e precede di anni l’attuale ondata di entusiasmo per l’IA.

Dalle regole di correlazione ai profili comportamentali di riferimento

Le piattaforme di Security Information and Event Management (SIEM) sono state progettate per correlare i log con le firme di attacchi noti. La User and Entity Behavior Analytics (UEBA) ha ribaltato il modello: invece di chiedere «corrisponde a uno schema di attacco noto?», chiede «è normale per questo specifico utente, dispositivo o account di servizio?». Darktrace ha costruito su questa premessa tutta la propria linea di prodotti, usando il machine learning non supervisionato per elaborare, fin dal primo giorno e senza firme di minacce precaricate, un modello probabilistico di ciò che è «normale» per una determinata rete.

L’approccio ha trovato concreta applicazione anche in ambito governativo: Darktrace Federal e Navitas Business Consulting hanno ottenuto un contratto del Dipartimento di Stato, il cui valore riportato arriva fino a 4,8 milioni di dollari, per installare sistemi di rilevamento e risposta alle minacce di rete basati sull’IA nell’ambiente globale del Bureau of Diplomatic Security, a copertura delle operazioni diplomatiche statunitensi in più di 170 paesi.

La stessa CISA documenta l’uso interno del machine learning non supervisionato per rilevare tendenze e anomalie nei dati di rete che riceve dalle agenzie civili federali, automatizzando il lavoro di correlazione che gli analisti svolgevano a mano. Documenta inoltre l’uso del deep learning per contribuire al reverse engineering dei campioni di malware e accelerare l’estrazione degli indicatori destinati alle sue analisi sulle minacce. Questa è la versione concreta, poco appariscente, del «rilevamento delle minacce con l’IA»: modelli di riconoscimento di schemi che effettuano il triage su una scala insostenibile per qualsiasi squadra di esseri umani, non agenti autonomi che prendono decisioni senza supervisione sulle infrastrutture nazionali.

I fornitori EDR/XDR e i tempi sempre più stretti delle intrusioni

L’urgenza del rilevamento assistito dall’IA è quantificabile. Il Global Threat Report 2026 di CrowdStrike ha rilevato che nel 2025 il tempo medio di «breakout» dell’eCrime — l’intervallo tra la compromissione iniziale e il movimento laterale — è sceso a 29 minuti, dai 48 minuti del 2024 (un aumento del 65% della velocità di breakout). Il breakout più rapido osservato è avvenuto in 27 secondi e, in un’intrusione, l’esfiltrazione dei dati è iniziata entro quattro minuti dall’accesso. Il rapporto ha inoltre misurato un aumento dell’89% su base annua dell’attività degli avversari che impiegano l’IA.

Il Threat Hunting Report di CrowdStrike dell’agosto 2026, che copre il periodo da luglio 2025 a giugno 2026, ha individuato una scadenza decisiva ancora più ravvicinata. Ha rilevato che l’88% degli sfruttamenti osservati di vulnerabilità per le quali era disponibile pubblicamente un codice proof-of-concept è avvenuto entro 48 ore dalla pubblicazione di quel codice. I gruppi legati alla Cina VAULT PANDA e GENESIS PANDA hanno colpito entro 24 ore dalla divulgazione di una vulnerabilità critica in un’applicazione web.

Di fronte a questi tempi, i principali fornitori di soluzioni per il rilevamento e la risposta sugli endpoint e in forma estesa (EDR/XDR) hanno puntato con particolare forza sull’automazione. CrowdStrike presenta ora la sua piattaforma Falcon come un «SOC agentico»: Charlotte AI AgentWorks consente agli analisti di creare agenti di automazione personalizzati usando il linguaggio naturale, accanto ad agenti predefiniti come l’Exposure Prioritization Agent, che classifica le vulnerabilità in base alla probabilità che vengano sfruttate nel mondo reale anziché al solo punteggio CVSS.

Purple AI di SentinelOne trasforma i prompt degli analisti in indagini condotte sui dati del suo Singularity Data Lake, ricostruendo la cronologia degli incidenti e proponendo interventi correttivi. Microsoft integra Security Copilot direttamente in Defender XDR, usandolo per riassumere gli incidenti e abbreviare il percorso dall’allerta all’indagine. Tutti e tre convergono sulla stessa idea: un livello basato su LLM posto sopra la telemetria esistente, che traduce i dati strutturati del rilevamento in sintesi delle indagini in linguaggio naturale e suggerimenti sulle azioni successive. Non sostituisce il motore di rilevamento sottostante, ma offre un’interfaccia più rapida per usarlo.

Come si svolge oggi, in concreto, il lavoro di un analista SOC

La giustificazione dichiarata di tutto questo è l’esaurimento degli analisti. Le indagini di settore sulle attività dei SOC rilevano sistematicamente che circa la metà degli analisti indica la stanchezza da alert come problema principale, che una quota elevata degli alert quotidiani si rivela alla fine innocua e che la capacità di rilevare le minacce peggiora in modo misurabile nel corso di un turno lungo. I fornitori che promuovono strumenti di triage basati sull’IA sostengono che il tempo necessario a esaminare ogni alert scenda da 15-20 minuti a pochi minuti, con riduzioni analoghe dei falsi positivi: sono i risultati migliori dichiarati dai fornitori, non medie verificate in modo indipendente.

I numeri più prudenti vengono da Gartner. Il suo Hype Cycle for Security Operations del 2026 ha spostato gli agenti IA per i SOC dall’Innovation Trigger al Peak of Inflated Expectations, lasciando la penetrazione di mercato esattamente dov’era, all’1-5%, e il livello di maturità ancora «embrionale»: un’ascesa che riflette l’attenzione, non le prove. Le previsioni di Gartner sono più sfumate: entro il 2028, il 70% dei grandi SOC sperimenterà agenti IA a supporto delle attività di livello 1 e 2, ma solo il 15% otterrà miglioramenti misurabili senza una valutazione strutturata. Un’indagine di Prophet Security pubblicata nel settembre 2026 ha rilevato che il 40% dei team di sicurezza usa già l’IA ogni giorno e il 56% la sta valutando o sperimentando: gli strumenti sono più diffusi di quanto suggerisca, da sola, la classificazione della categoria.

La distanza tra sperimentazione e benefici concreti descrive con onestà lo stato del settore: la tecnologia esiste e sta già cambiando il modo in cui le organizzazioni dotate di ampie risorse svolgono il triage di livello 1. Ma per la maggior parte dei team di sicurezza, compresi quelli governativi, «l’IA gestisce il vostro SOC» resta uno slogan di marketing: i cicli di approvvigionamento, i requisiti di accreditamento e gli strumenti preesistenti rallentano l’adozione, qualunque cosa promettano i piani dei fornitori.

Le linee guida governative cercano di tenere il passo

Le linee guida federali hanno seguito l’adozione, anziché precederla. L’AI Risk Management Framework del NIST organizza la governance dell’IA attorno a quattro funzioni — Govern, Map, Measure, Manage — e nel marzo 2025 il NIST ha pubblicato AI 100-2e2025, una tassonomia dell’apprendimento automatico avversario che comprende attacchi di elusione, avvelenamento e violazione della privacy contro i modelli predittivi, oltre agli attacchi di prompt injection e di avvelenamento delle basi di conoscenza specifici dei sistemi di IA generativa. È oggi il principale riferimento del governo federale statunitense per valutare i rischi di sicurezza dell’IA.

L’Artificial Intelligence Security Center della NSA ha pubblicato una serie di linee guida congiunte con CISA, FBI e partner internazionali: «Deploying AI Systems Securely» nell’aprile 2024, una Cybersecurity Information Sheet sulle migliori pratiche per la sicurezza dei dati dell’IA nel maggio 2025, rivolta agli operatori della base industriale della difesa e delle infrastrutture critiche, e linee guida sull’integrazione sicura dell’IA negli ambienti di tecnologia operativa, pubblicate nel dicembre 2025.

Il filo conduttore dei tre documenti è che l’integrità della filiera dei dati — la provenienza dei dati di addestramento, il rischio di avvelenamento e la «deriva dei dati» nel tempo — viene trattata come un problema di sicurezza al pari delle intrusioni nelle reti. È un’impostazione sostanzialmente diversa dalla precedente convinzione secondo cui i rischi dell’IA riguardavano soprattutto gli output dei modelli o le distorsioni.

Il fronte degli attaccanti: l’IA non è più un’ipotesi

Il quadro difensivo delineato sopra ha un rovescio della medaglia che è più difficile liquidare come allarmismo. WormGPT, un chatbot basato sul modello GPT-J e addestrato su dati relativi al malware, è stato progettato esplicitamente per scrivere messaggi destinati a frodi tramite email aziendali ed esche di phishing, senza le misure di sicurezza che applicherebbe un modello di uso comune; FraudGPT ha seguito uno schema simile. Entrambi sono stati venduti su forum clandestini con fasce di prezzo e canali di assistenza sul modello SaaS, e pubblicizzati come software legittimi.

Gli attori legati agli Stati si sono spinti oltre. Il rapporto di CrowdStrike del 2026 attribuisce al gruppo legato alla Russia FANCY BEAR l’uso di LAMEHUG, una famiglia di malware che impiega un LLM, per automatizzare la ricognizione e la raccolta di documenti; descrive l’attore eCrime PUNK SPIDER che usa script generati dall’IA per accelerare l’estrazione delle credenziali e cancellare le prove forensi; e documenta l’impiego su larga scala di identità fittizie generate dall’IA da parte del gruppo nordcoreano FAMOUS CHOLLIMA. Quest’ultimo caso è un’estensione del ben documentato schema della Corea del Nord che consiste nell’usare false identità americane per farsi assumere in posti di lavoro IT da remoto e convogliare gli stipendi a Pyongyang, ottenendo nel frattempo accesso alle reti dall’interno.

Il Threat Intelligence Group di Google ha segnalato quello che ritiene essere il primo caso identificato di un attore ostile che usa un exploit zero-day presumibilmente sviluppato con l’assistenza dell’IA: uno script Python che aggira l’autenticazione a due fattori di uno strumento di amministrazione dei sistemi. Separatamente, l’agente IA «Big Sleep» di Google, realizzato da DeepMind e Project Zero, ha individuato una vera vulnerabilità di SQLite (CVE-2025-6965) che, secondo informazioni di intelligence, era già nota agli attori ostili. Questo ha permesso di correggerla prima che venisse sfruttata: un raro caso in cui un sistema di IA ha vinto la corsa alla scoperta contro gli attaccanti, anziché il contrario.

L’esempio più netto viene dalla rivelazione di Anthropic: a metà settembre 2025 l’azienda ha rilevato e interrotto quella che descrive come la prima campagna di cyberspionaggio su larga scala orchestrata dall’IA a essere documentata. Un gruppo sponsorizzato dallo Stato cinese, che Anthropic identifica come GTG-1002, ha manipolato Claude Code dicendogli che si trattava di un legittimo test di penetrazione e lo ha usato per eseguire autonomamente, secondo le stime, l’80-90% delle operazioni tattiche di una campagna di intrusione contro circa 30 organizzazioni, tra cui grandi aziende tecnologiche, istituzioni finanziarie, produttori chimici ed enti governativi. Alcune intrusioni sono riuscite prima di essere rilevate.

Qualunque cosa si pensi degli incentivi di Anthropic nel rendere pubblico l’uso improprio del proprio prodotto, l’affermazione di fondo — che un agente LLM abbia gestito la grande maggioranza di un’operazione di spionaggio contro più bersagli con una direzione umana minima — è la prova più chiara finora che gli «attacchi assistiti dall’IA» hanno superato la fase delle email di phishing e raggiunto quella dell’autonomia operativa.

GTG-1002 appare ormai come la prima voce di un catalogo. Il rapporto di Anthropic sulle minacce, pubblicato nel settembre 2026, copre il periodo da dicembre 2025 ad agosto 2026 e documenta usi impropri in sette ambiti — operazioni informatiche, sorveglianza, operazioni di influenza, armi convenzionali, uso improprio in ambito biologico, truffe e frodi, e distillazione illecita di modelli — segnalando che «la maggioranza delle operazioni descritte in questo rapporto è stata resa possibile dall’IA attraverso l’esecuzione o l’orchestrazione diretta».

Le segnalazioni di Microsoft confermano la tendenza, non lo specifico episodio: nel solo luglio 2025 l’azienda ha identificato più di 200 casi in cui avversari stranieri — Russia, Cina, Iran e Corea del Nord — hanno usato l’IA per generare contenuti ingannevoli, più del doppio rispetto a luglio 2024 e oltre dieci volte il numero registrato nel 2023.

Deepfake: la superficie d’attacco che aggira del tutto la rete

Non tutti gli attacchi resi possibili dall’IA toccano un dispositivo. In un caso di frode denunciato alla polizia alla fine di gennaio 2024, un dipendente dell’ufficio finanziario della società di ingegneria Arup ha autorizzato 15 bonifici per un totale di circa 25,6 milioni di dollari dopo aver partecipato a una videochiamata in cui credeva di parlare con il direttore finanziario dell’azienda e diversi colleghi. Tutte le persone presenti alla chiamata erano deepfake generati dall’IA.

Il dipendente aveva partecipato alla chiamata proprio per verificare una richiesta sospetta, e il video e la voce contraffatti avevano dissipato i suoi sospetti. È esattamente per questo che il caso è considerato una pietra miliare nella storia delle frodi: è il primo episodio ben documentato in cui deepfake video preregistrati, combinati con una frode tramite email aziendali, hanno superato una verifica umana concepita per individuare proprio questo tipo di truffa.

Per gli enti governativi, la stessa tecnica si presta alle frodi basate su false direttive rivolte ai funzionari, all’uso di audio contraffatti nella disinformazione e alla sostituzione di persona nei sistemi di verifica dell’identità: attacchi che non toccano mai il perimetro della rete, perché prendono di mira direttamente la fiducia delle persone.

ML avversario: attaccare il modello di chi si difende, non solo la rete

La tassonomia del NIST citata sopra è importante perché dà un nome a una categoria di minacce che la maggior parte dei team di sicurezza non ha ancora tradotto in procedure operative: gli attacchi contro la stessa IA usata per rilevare le minacce. Gli attacchi di evasione creano input appositamente studiati per sfuggire a un classificatore addestrato: campioni di malware modificati finché uno scanner basato sul machine learning non li classifica erroneamente come innocui. Gli attacchi di poisoning prendono di mira il processo di addestramento, alterando il profilo di riferimento costruito da un sistema UEBA, così che un comportamento realmente malevolo appaia in seguito «normale» per un determinato account.

La prompt injection prende di mira la nuova generazione di copiloti SOC basati su LLM: inserisce istruzioni nei dati dei log, nei ticket o nei documenti recuperati, che il modello poi esegue anziché limitarsi a riassumere. Il 2026 Global Threat Report di CrowdStrike ha rilevato che, nel corso del 2025, gli avversari hanno inserito prompt dannosi in strumenti legittimi di IA generativa presso più di 90 organizzazioni, generando comandi per rubare credenziali e criptovalute. L’inclusione, nella tassonomia del NIST del 2025, del poisoning delle basi di conoscenza della retrieval-augmented generation e della propagazione di «prompt worm» tra più agenti risponde direttamente a un fatto: gli strumenti SOC agentici oggi leggono dati controllati dagli attaccanti nel loro normale flusso di lavoro. La stessa categoria di strumenti impiegata per contrastare il phishing generato da WormGPT e le intrusioni nello stile di Volt Typhoon è dunque un nuovo bersaglio.

Promesse e realtà delle soluzioni in uso

Per un responsabile della sicurezza in ambito governativo che valuti questo settore, il quadro è questo: il rilevamento delle anomalie comportamentali e il triage del malware assistito dall’IA sono tecnologie mature, già impiegate e finanziate. La CISA le usa, il Dipartimento di Stato ha stipulato contratti per utilizzarle ed esistevano già prima dell’ondata dell’IA generativa. I copiloti LLM che riassumono gli incidenti e redigono bozze dei rapporti d’indagine sono disponibili oggi in Defender, Falcon e Singularity e riducono concretamente i tempi del triage di primo livello.

Ciò che non è ancora realtà, secondo la stessa stima di Gartner di una diffusione dell’1-5%, è il «SOC autonomo» che opera con una supervisione umana minima e che il marketing dei fornitori lascia intendere sia già la norma. Le prove più chiare di operazioni condotte con un’IA sempre più autonoma provengono ancora dagli attaccanti, non da chi si difende: fra queste, il rapporto sulle minacce pubblicato da Anthropic nel settembre 2026, che descrive esseri umani intenti a stabilire gli obiettivi degli attacchi e a esaminare l’esfiltrazione.

Il tempo da battere non è più soltanto la finestra di 29 minuti prima che un attaccante si diffonda nella rete: nella prima metà del 2026, erano anche le 48 ore entro cui si verificava l’88% dei casi di sfruttamento tramite proof of concept. Il Cost of a Data Breach Report di IBM, pubblicato il 29 luglio 2026, stima in 4,99 milioni di dollari il costo medio globale di una violazione dei dati e rileva che una violazione dolosa su quattro è resa possibile dall’IA, con un costo medio di 6 milioni di dollari.

«A cambiare è l’economia degli attacchi informatici. L’IA rende gli attacchi più rapidi e meno costosi, mentre le violazioni continuano a diventare più costose.» — Suja Viswesan, vicepresidente, IBM Security Software

Qualsiasi decisione d’acquisto fondata sull’idea che l’IA abbia già colmato il divario tra la rapidità degli attaccanti e la capacità di risposta di chi si difende scommette su uno scenario che non si è ancora realizzato, anche se la traiettoria della tecnologia è reale.