AI nella cybersecurity: rilevare l'anomalia, non sostituire l'analista

La cybersecurity è uno dei pochi settori dove l'adozione di AI da parte della difesa non è opzionale nel lungo periodo, perché gli attaccanti la stanno già usando per automatizzare e personalizzare su scala tentativi che una volta richiedevano lavoro manuale mirato -- email di phishing generate e personalizzate automaticamente per ogni bersaglio, scansione automatica di vulnerabilità su migliaia di sistemi contemporaneamente. Un sistema di difesa che si basa solo su regole statiche scritte in anticipo (firme di malware note, pattern di attacco già visti) è strutturalmente in ritardo rispetto ad attacchi generati automaticamente per essere leggermente diversi da qualunque pattern già catalogato.

Il rilevamento basato su comportamento anomalo, invece che su firme note, è la risposta strutturale a questo problema: un sistema che impara il comportamento normale di una rete o di un utente specifico (quali sistemi accede di solito, a che ora, con quale volume di dati) può segnalare una deviazione anomala anche se l'attacco specifico non corrisponde a nessuna firma conosciuta -- un account che improvvisamente accede a dati che non ha mai toccato prima, a un orario insolito, è un segnale statisticamente anomalo indipendentemente dal fatto che il metodo di attacco sia nuovo o già catalogato.

Il caso d'uso con l'impatto operativo più immediato per i team di sicurezza reali: la prioritizzazione degli alert. Un team di sicurezza medio riceve un volume di segnalazioni che rende impossibile investigare manualmente ognuna con la stessa profondità -- un sistema che classifica gli alert per rischio reale stimato, combinando molteplici segnali deboli in un punteggio di rischio complessivo, permette agli analisti umani di concentrare il proprio tempo sui casi che meritano davvero attenzione immediata, invece di esaurirsi investigando falsi positivi mentre un attacco reale resta sepolto nel rumore.

Un terzo caso, meno discusso ma di crescente rilevanza: la simulazione automatica di attacchi (red teaming assistito) per testare le proprie difese prima che un attaccante reale lo faccia -- un sistema che genera e testa sistematicamente varianti di tecniche di attacco note contro la propria infrastruttura, trovando debolezze che un test manuale periodico, per quanto ben fatto, difficilmente può coprire con la stessa ampiezza sistematica.

Il principio che questo settore conosce meglio di molti altri, per la natura stessa della minaccia che affronta: nessun sistema di rilevamento automatico dovrebbe mai essere l'unica linea di difesa, e nessuna decisione di blocco con impatto operativo ampio (isolare un intero segmento di rete, bloccare l'accesso a un sistema critico) dovrebbe essere presa senza un percorso di escalation umana rapida -- perché un falso positivo qui non è solo un fastidio, può fermare un'intera operazione aziendale, e quel costo va bilanciato esplicitamente contro il rischio che il sistema sta cercando di prevenire.

I team di sicurezza che ottengono i migliori risultati trattano il sistema di rilevamento come un moltiplicatore dell'attenzione degli analisti, non come un sostituto -- il tempo risparmiato sui falsi positivi viene reinvestito in indagini piu approfondite sui casi realmente sospetti, non semplicemente eliminato dal budget del team.