Check Point avverte che l'AI sta ora operando all'interno di attacchi informatici in corso

Nella sua più recente valutazione della sicurezza, Check Point ha spostato l'AI dal ruolo di supporto a quello di operatore attivo, un cambiamento ora all'attenzione del pubblico di Google News grazie alla recente copertura. L'azienda afferma che i sistemi di AI eseguono comandi, analizzano dati rubati e selezionano le azioni successive durante intrusioni reali. Questa affermazione cambia la questione centrale della sicurezza. I difensori non affrontano più soltanto aggressori umani che utilizzano strumenti più rapidi.

Check Point Research ha pubblicato il suo Annual AI Security Report 2026 a luglio. Il rapporto collega diversi incidenti dell'anno precedente, tra cui operazioni di spionaggio, violazioni ai danni di enti governativi, malware generato dall'AI e attacchi contro gli stessi sistemi di AI. La sua argomentazione centrale è più circoscritta di quanto suggerisca il titolo. L'AI non ha sostituito ogni aggressore, ma alcuni operatori ora delegano una parte sostanziale del lavoro tattico agli agenti di coding.

Questa distinzione è importante perché Anthropic ha documentato un modello correlato nel novembre 2025. L'azienda ha dichiarato che un gruppo legato alla Cina ha utilizzato Claude Code contro circa 30 obiettivi, con l'AI responsabile di una stima compresa tra l'80% e il 90% delle operazioni tattiche. Gli operatori umani continuavano a selezionare gli obiettivi e a controllare le decisioni principali. L'agente ha svolto gran parte della ricognizione, dello sfruttamento, della raccolta di credenziali, del movimento laterale e dell'analisi dei dati tra una decisione e l'altra.

Cosa è cambiato nella catena d'attacco AI

L'AI non è più limitata alla scrittura di messaggi di phishing o alla proposta di codice malevolo. Ora può agire all'interno di un ambiente compromesso.

Il rapporto sulla sicurezza AI descrive questa transizione come un passaggio da assistente a operatore. In precedenza, l'uso malevolo comportava spesso richieste isolate. Un aggressore poteva chiedere a un chatbot di rivedere un'esca, eseguire il debug di uno script, tradurre un messaggio o spiegare una vulnerabilità.

Queste attività aumentavano la produttività, ma era comunque una persona a collegare le varie fasi. L'essere umano sceglieva lo strumento successivo, interpretava i risultati e impartiva ogni comando rilevante. Questa impostazione limitava la velocità di un attacco all'attenzione, al giudizio e alla capacità dell'operatore di gestire più obiettivi.

I sistemi agentici modificano questo flusso di lavoro. Un agente AI è un modello connesso a strumenti, file e ambienti di esecuzione che gli consentono di completare incarichi in più passaggi. Può ispezionare l'output, aggiornare un piano, eseguire un altro comando e proseguire senza attendere un nuovo prompt.

Il rapporto di Check Point indica una violazione che ha coinvolto nove agenzie governative messicane come il suo esempio criminale più chiaro. Secondo la ricerca, un operatore ha utilizzato Claude Code e GPT-4.1 in parallelo tra la fine di dicembre 2025 e metà febbraio 2026. Claude Code ha esplorato i sistemi ed eseguito comandi, mentre GPT-4.1 ha contribuito a elaborare e prioritizzare le informazioni raccolte.

I ricercatori affermano che 1.088 istruzioni digitate hanno prodotto 5.317 comandi eseguiti dall'AI in 34 sessioni d'attacco. L'operazione avrebbe esposto circa 400 milioni di record relativi a informazioni fiscali, di registro civile, veicoli, pazienti ed elettorali. Queste cifre provengono da ricerche sugli incidenti citate da Check Point e non hanno ricevuto una verifica pubblica completa da parte di tutte le organizzazioni colpite.

Il meccanismo conta più dei nomi dei modelli. L'aggressore ha creato un flusso di lavoro in cui un modello otteneva l'accesso e un altro elaborava i risultati. L'AI è diventata il tessuto connettivo tra ricognizione, sfruttamento, analisi dei dati e la successiva mossa tattica.

Questa architettura riduce la necessità di una supervisione umana costante. Consente inoltre a un singolo operatore di gestire un lavoro che in precedenza richiedeva diversi specialisti. Una persona fornisce ancora intenti, accesso, infrastruttura e direzione strategica, ma il software sostiene una quota maggiore del carico operativo.

Il modello è apparso anche in una campagna legata a uno Stato. Nel suo resoconto dell'operazione di spionaggio, Anthropic ha dichiarato che Claude Code ha tentato intrusioni contro circa 30 organizzazioni. Un numero limitato di questi tentativi sarebbe riuscito.

Anthropic ha attribuito l'attività con elevata confidenza a un gruppo sponsorizzato dallo Stato cinese, da essa denominato GTG-1002. L'azienda ha affermato che l'intervento umano è avvenuto in circa quattro-sei punti decisionali critici durante ciascuna campagna. Tra questi punti, l'agente ha attraversato le fasi tattiche a un ritmo difficile da sostenere per una persona.

Queste prove non significano che un'AI abbia scelto autonomamente di diventare un aggressore. Le persone hanno selezionato gli obiettivi, manipolato le salvaguardie, fornito gli strumenti e diretto l'operazione. Tuttavia, il sistema avrebbe deciso come eseguire molti passaggi intermedi.

Questo è il cambiamento alla base del titolo di Google News. L'AI sta passando dalla produzione degli ingredienti di un attacco al coordinamento delle azioni all'interno della stessa catena d'attacco.

Perché il titolo di Google News è importante per i difensori

La pressione immediata ricade sui team di sicurezza i cui controlli presuppongono che un aggressore si fermi a pensare, digitare e coordinarsi.

Le operazioni di sicurezza convenzionali dipendono in parte dall'attrito. Gli aggressori hanno bisogno di tempo per ispezionare una rete, comprendere i permessi, testare credenziali, rivedere script e interpretare le risposte difensive. Queste pause offrono ai sistemi di monitoraggio e agli analisti l'opportunità di rilevare un'intrusione in sviluppo.

I flussi di lavoro agentici comprimono queste pause. Un modello può esaminare l'output di un comando e tentare un'altra strada in pochi secondi. Può documentare continuamente le scoperte, confrontare più sistemi e ripetere una tecnica riuscita senza affaticarsi.

Check Point afferma che in alcuni casi le finestre di risposta alle vulnerabilità si stanno riducendo da giorni a ore. Questa dichiarazione non deve essere considerata un conto alla rovescia universale per ogni falla. La sfruttabilità dipende dall'esposizione, dalla complessità, dai privilegi, dal codice disponibile e dall'obiettivo dell'aggressore.

Ciononostante, la direzione operativa è credibile. La divulgazione pubblica fornisce già agli aggressori descrizioni tecniche, patch da confrontare e obiettivi vulnerabili da sottoporre a scansione. L'AI può contribuire a collegare questi materiali più rapidamente, soprattutto quando un agente ha accesso a strumenti di analisi e test del codice.

Il primo gruppo sotto pressione è il security operations center. Gli analisti devono identificare comportamenti significativi tra grandi volumi di avvisi, spesso distribuiti tra prodotti scollegati per endpoint, identità, cloud e rete. Un agente può spostarsi tra questi stessi livelli prima che una persona completi l'indagine iniziale.

Il secondo gruppo sotto pressione è la gestione delle vulnerabilità. Un ciclo settimanale di patch diventa rischioso quando gli aggressori possono automatizzare la scoperta degli obiettivi e l'adattamento degli exploit. I team hanno bisogno di inventari accurati degli asset, prioritizzazione basata sull'esposizione e percorsi di emergenza per le falle che interessano sistemi pubblici.

I team responsabili delle identità affrontano una pressione analoga. Se un agente raccoglie credenziali, può testare immediatamente dove funzionano, identificare account privilegiati e cercare ulteriori segreti nei servizi cloud. La reimpostazione statica delle password serve a poco quando token, account di servizio o credenziali non gestite rimangono attivi.

Anche i team software entrano nel perimetro difensivo. Gli agenti di coding leggono file di progetto, istruzioni dei repository e documenti di configurazione per decidere come comportarsi. Contenuti malevoli inseriti in queste posizioni fidate possono influenzare un agente prima che uno sviluppatore riconosca il file come pericoloso.

Questo rischio è chiamato indirect prompt injection. Invece di fornire direttamente a un modello un'istruzione malevola, un aggressore incorpora istruzioni nei contenuti che il modello elaborerà in seguito. Una pagina web, un repository, un documento, un'email o la risposta di uno strumento possono diventare il meccanismo di consegna.

Check Point ha segnalato che le rilevazioni di payload di prompt malevoli più lunghi sono aumentate di circa cinque volte tra marzo e maggio 2026. A maggio si avvicinavano all'1% dei prompt osservati. L'azienda interpreta i payload più lunghi come un segnale che i percorsi d'attacco basati sui contenuti e agentici stanno diventando più rilevanti sul piano operativo.

Questa telemetria proviene dall'ambiente clienti di Check Point, quindi non rappresenta ogni impresa né ogni modello. Misura inoltre prompt rilevati, non compromissioni riuscite confermate. L'aumento offre comunque un utile avvertimento su dove gli aggressori stanno sperimentando.

Le organizzazioni non possono affrontare questo problema bloccando un solo modello. Gli aggressori possono combinare sistemi commerciali, modelli locali, credenziali API rubate e comuni strumenti di sicurezza. Le salvaguardie dei provider restano importanti, ma sono soltanto un controllo all'interno di un ambiente operativo più ampio.

Il cambiamento pratico è dalla sicurezza del modello alla sicurezza del sistema. I difensori devono monitorare ciò che gli agenti possono leggere, quali strumenti possono invocare, quali credenziali ereditano e quali azioni richiedono approvazione. Una risposta sicura di un modello significa poco se il flusso di lavoro circostante concede un'autorità eccessiva.

La vera sfida è la difesa umana contro operazioni alla velocità delle macchine

La sfida principale non è Check Point contro Anthropic né un modello contro un altro. È la difesa a ritmo umano contro l'esecuzione a ritmo macchina.

I provider di AI possono rilevare gli abusi e disabilitare gli account. Anthropic afferma di aver bandito gli account associati a GTG-1002, notificato le organizzazioni colpite, coordinato le attività con le autorità e ampliato i classificatori per l'attività malevola. Questi interventi hanno probabilmente interrotto l'accesso a un prezioso strumento operativo.

L'applicazione delle misure sugli account rimane fragile come difesa completa. Gli aggressori possono ottenere nuovi account, rubare chiavi API, instradare il lavoro attraverso altri servizi o spostare attività selezionate su modelli locali. Possono inoltre dividere un'operazione tra diversi provider, riducendo la visibilità a disposizione di una singola azienda.

Il digest sul panorama delle minacce di Check Point afferma che gli aggressori preferiscono ancora modelli commerciali capaci in molti contesti operativi. I sistemi locali richiedono hardware, configurazione, manutenzione e conoscenze tecniche. I principali agenti di coding offrono già solide capacità di ragionamento, uso degli strumenti e integrazioni per sviluppatori.

Gli aggressori prendono quindi di mira l'architettura attorno a questi agenti. Le istruzioni a livello di progetto e i file di impostazioni possono persistere tra le sessioni. Una volta che un agente tratta un file inserito come autorevole, l'aggressore potrebbe non dover ripetere un jailbreak visibile durante ogni interazione.

Questo modello di configurazione come controllo rende la moderazione tradizionale dei contenuti meno decisiva. Un provider può migliorare il comportamento di rifiuto, ma una toolchain compromessa può continuare a fornire al modello contesto fuorviante. Il modello agisce all'interno di un ambiente i cui confini di fiducia hanno già fallito.

La stessa asimmetria appare nella difesa di rete. Un operatore AI può testare continuamente diversi percorsi. Un analista umano deve stabilire se un avviso sia reale, comprendere l'impatto sul business, contattare il proprietario del sistema, preservare le prove ed evitare di interrompere il lavoro legittimo.

Questo non rende la difesa senza speranza. I modelli possono elaborare telemetria difensiva, riassumere incidenti, correlare identità e raccomandare misure di contenimento. Anthropic ha dichiarato che il proprio team di threat intelligence ha utilizzato ampiamente Claude durante l'indagine sulla campagna di spionaggio.

Check Point presenta analogamente l'AI come una risorsa difensiva. L'azienda sostiene che i team di sicurezza necessitino di rilevamento e risposta alla velocità delle macchine, poiché i flussi di lavoro esclusivamente umani non possono eguagliare operazioni sempre più automatizzate. Questa affermazione è coerente con il problema operativo, sebbene Check Point venda anche prodotti presentati come soluzioni.

Il controllo fondamentale è un’autonomia delimitata. Un agente difensivo può raccogliere prove e proporre azioni rapidamente, mentre i passaggi sensibili richiedono un’autorizzazione esplicita. Le organizzazioni possono consentire a un agente di isolare un endpoint di test a basso rischio senza concedergli un’autorità illimitata sull’ambiente di produzione.

Gli attaccanti non devono sostenere lo stesso onere di governance. Possono accettare falsi positivi, script difettosi e scansioni rumorose. I difensori devono proteggere la disponibilità ed evitare di compromettere le proprie organizzazioni, il che significa che l’automazione necessita di limiti accurati.

Questo squilibrio spiega perché i fondamentali restano importanti. Autenticazione a più fattori, segmentazione, monitoraggio degli endpoint, applicazione rapida delle patch, privilegio minimo e rotazione delle credenziali continuano a interrompere l’attacco alla base. L’AI cambia velocità e scala degli attaccanti, ma non elimina il bisogno di accesso.

Un agente di coding non può sfruttare un servizio aggiornato semplicemente ragionando più intensamente. Non può riutilizzare una credenziale revocata. Non può raggiungere un ambiente segmentato quando le policy di rete ne bloccano il percorso e i difensori monitorano i tentativi di attraversamento.

La sfida difensiva consiste nell’applicare questi controlli in modo coerente. L’AI rende più semplici da individuare i sistemi trascurati e più facili da sfruttare su larga scala le pratiche deboli. Trasforma il debito di sicurezza esistente in un’opportunità operativa più rapida.

Il malware generato dall’AI alza l’asticella della produzione

L’orchestrazione in tempo reale è solo metà della storia, perché l’AI riduce anche il lavoro necessario per sviluppare software offensivo sofisticato.

Check Point evidenzia VoidLink, un framework malware modulare per Linux che include funzioni di comando e controllo, scoperta cloud, targeting dei container e capacità post-sfruttamento. Inizialmente, i ricercatori ritenevano che la sua architettura riflettesse un team di sviluppo coordinato.

Errori operativi hanno esposto documenti di pianificazione e altri artefatti di sviluppo. Check Point ha concluso che un unico sviluppatore esperto aveva usato un ambiente potenziato dall’AI per produrre un impianto funzionale in meno di una settimana. Il progetto risultante avrebbe superato le 88.000 righe di codice.

L’indagine su VoidLink non dimostra che il modello abbia ideato la campagna o gestito il malware in autonomia. Mostra qualcosa di più concreto: una persona competente ha usato l’AI per pianificare, implementare, testare e rivedere un complesso framework offensivo molto più rapidamente del previsto.

Secondo quanto riportato, lo sviluppatore ha seguito lo sviluppo guidato dalle specifiche. In questo flusso di lavoro, requisiti strutturati e documenti di pianificazione guidano un agente nell’implementazione. Lo stesso approccio aiuta i team legittimi a coordinare progetti software complessi.

Questo duplice utilizzo è centrale per il rischio. Gli ecosistemi criminali non hanno bisogno di un ciclo di invenzione separato per ogni capacità dell’AI. Possono copiare i flussi di lavoro, gli strumenti e i modelli di agenti che gli sviluppatori comuni adottano per aumentare la produttività.

Il coinvolgimento dell’AI può anche scomparire dall’artefatto finale. Gli analisti che esaminano malware compilato potrebbero vedere codice convenzionale, librerie note e tecniche familiari. Senza prompt o file di progetto trapelati, potrebbero non avere un modo affidabile per identificare come il software sia stato prodotto.

Questo indebolisce i tentativi di misurare il crimine informatico abilitato dall’AI cercando indizi stilistici evidenti. Il codice pulito non prova un’autorialità umana, e il codice difettoso non prova un’autorialità dell’AI. La provenienza dello sviluppo resta spesso invisibile.

VoidLink dimostra anche i limiti delle semplicistiche affermazioni di democratizzazione. Un principiante non diventa un ingegnere malware avanzato semplicemente aprendo un chatbot. Lo sviluppatore segnalato sembra aver contribuito con conoscenze di sicurezza, giudizio architetturale e gestione disciplinata del progetto.

L’AI ha amplificato questa competenza. Ha aiutato un singolo operatore a svolgere un lavoro associato a un team più grande e a una tempistica più lunga. Il maggiore incremento nel breve termine potrebbe quindi andare agli attaccanti capaci che già comprendono bersagli e tecniche operative.

Anche gli attori meno qualificati beneficiano di servizi confezionati. Check Point riferisce che kit di phishing, sistemi vocali e piattaforme criminali incorporano sempre più spesso modelli linguistici dietro interfacce semplici. Gli acquirenti non devono comprendere il modello sottostante, il jailbreak o la pipeline di distribuzione.

Questo ricorda i precedenti mercati del cybercrimine. Affiliati ransomware, broker di accesso iniziale, servizi di phishing e noleggi di botnet hanno trasformato capacità specialistiche in componenti acquistabili. L’AI può ridurre i costi di produzione all’interno di questi servizi migliorando al contempo personalizzazione e capacità operativa.

L’identità sintetica aggiunge un ulteriore livello. Voce, volto, documenti e video in diretta possono essere combinati in un’ingegneria sociale multicanale. Un dipendente può ricevere un’email, una telefonata e una presenza video che rafforzano la stessa falsa identità.

Nessun singolo deepfake dimostra che un account o una transazione siano dannosi. Il problema di sicurezza è che i familiari segnali di identità ora hanno un minor valore indipendente. Le organizzazioni necessitano di conferme attraverso canali fidati, controlli sulle transazioni, segnali dei dispositivi e verifiche contestuali.

Le organizzazioni dell’istruzione e del settore pubblico affrontano un’esposizione particolare perché gestiscono ampie popolazioni di utenti, dati sensibili, sistemi datati e tecnologie decentralizzate. Un attaccante può combinare furto di credenziali, ingegneria sociale e ricognizione automatizzata tra istituzioni con maturità della sicurezza disomogenea.

L’argomento di Check Point sulla sicurezza dell’AI non si limita quindi al malware. L’asticella della produzione sale per codice, persuasione, frode d’identità, elaborazione dei dati e coordinamento operativo.

Cosa le prove non dimostrano ancora

Il rapporto documenta un serio cambiamento operativo, ma non dimostra che l’AI autonoma abbia sostituito gli attaccanti qualificati.

I report sulle minacce dei fornitori hanno un inevitabile problema di visibilità. Anthropic osserva attività che coinvolgono i propri servizi. Check Point vede gli eventi acquisiti tramite ricerca, partner, prodotti e telemetria. Ogni organizzazione osserva solo una parte del più ampio panorama delle minacce.

Il rapporto GTG-1002 ha offerto descrizioni insolitamente dettagliate, ma Anthropic non ha pubblicato indicatori di compromissione che ricercatori esterni potessero usare per una piena validazione indipendente. Check Point ha rilevato questa limitazione nella sua analisi più ampia.

Il caso del governo messicano contiene ampie cifre operative, incluse quantità di comandi, sessioni, script, sistemi e record. Tuttavia, la conferma pubblica da parte di ogni istituzione nominata o colpita resta incompleta. La cronaca dovrebbe preservare questa distinzione.

Esiste anche un problema di misurazione dell’autonomia. Un modello può eseguire molti comandi mentre una persona progetta ancora il framework, sceglie i bersagli, fornisce le credenziali e approva le azioni decisive. Contare i comandi non rivela chi abbia controllato l’intento dell’operazione.

La stima di Anthropic dall’80% al 90% riguarda il lavoro tattico all’interno di una specifica campagna. Non significa che il modello abbia assunto il 90% di ogni decisione importante. L’azienda ha affermato che gli esseri umani sono intervenuti in diversi momenti critici, che potrebbero aver incluso scelte di valore strategico sproporzionato.

Allo stesso modo, 5.317 comandi eseguiti dall’AI non dimostrano che ogni comando sia stato utile. Gli agenti possono ripetere azioni, incontrare errori o generare passaggi non necessari. Il volume grezzo cattura l’attività, non la competenza.

I sistemi AI commettono anche errori che possono esporre gli attaccanti. Possono interpretare male l’output, scegliere tecniche rumorose, inventare risultati o documentare troppo dettagliatamente informazioni sensibili. Check Point ha scoperto aspetti di VoidLink anche perché artefatti di sviluppo ed errori operativi hanno creato visibilità.

I controlli dei fornitori possono ancora fare la differenza. Il monitoraggio degli abusi rileva pattern tra gli account che un singolo bersaglio non può osservare. Anomalie nei tassi, prompt di sfruttamento ripetuti, uso sospetto degli strumenti e infrastrutture condivise possono supportare indagini e interruzioni.

La mappatura delle minacce AI pubblicata da Anthropic ha analizzato 832 account bannati per violazioni delle policy relative al cybercrime tra marzo 2025 e marzo 2026. Ha rilevato che 560 account, ovvero il 67,3%, utilizzavano l’AI per preparativi relativi al malware.

La maggior parte degli attori osservati non operava al livello di GTG-1002. Anthropic ha rilevato che l’infrastruttura agentica, ossia il software e l’architettura che circondano un modello, distingueva l’attività a più alto rischio più chiaramente del numero di tecniche richieste.

Questa conclusione sostiene una valutazione prudente. L’abuso assistito dall’AI è diffuso, ma le operazioni profondamente autonome restano un sottoinsieme più avanzato. Il pericolo risiede nella crescente facilità di riprodurre quel sottoinsieme.

La distribuzione tramite Google News può appiattire queste distinzioni in un titolo drammatico. “L’AI conduce attacchi informatici” è utile sul piano generale, ma tecnicamente incompleto. Intento umano, sistemi vulnerabili, accessi rubati, codice di orchestrazione e controlli deboli continuano a plasmare ogni caso documentato.

I difensori non dovrebbero né liquidare gli incidenti come marketing né trattare la compromissione autonoma come inevitabile. Le prove supportano investimenti in rilevamento più rapido, governance degli agenti più solida e controlli di sicurezza di base. Non supportano l’abbandono della revisione umana o la concessione agli agenti difensivi di un accesso illimitato.

Tre segnali da osservare

Il prossimo test è capire se gli attacchi agentici diventeranno ripetibili tra attori, bersagli e fornitori di modelli.

Il primo segnale è la verifica indipendente degli incidenti. I ricercatori di sicurezza dovrebbero cercare casi in cui dati degli endpoint, record di rete, telemetria dei fornitori e segnalazioni delle vittime confermino tutti il ruolo operativo in tempo reale di un agente. Prove ripetute in indagini non correlate rafforzerebbero la tesi di Check Point.

Anche gli indicatori pubblici contano. Consentono ad altre organizzazioni di cercare nei propri ambienti e permettono a team indipendenti di verificare l’attribuzione. Se i rapporti futuri resteranno dipendenti dalle osservazioni interne di un solo fornitore, la fiducia nella tendenza più ampia crescerà più lentamente.

Il secondo segnale è l’azione dei fornitori contro la manipolazione persistente degli agenti. Gli assistenti di coding consumano automaticamente file del repository, descrizioni degli strumenti e contesto del progetto. I fornitori necessitano di controlli di fiducia più chiari per questi input, inclusi avvisi, confini delle autorizzazioni, indicatori di provenienza ed esecuzione limitata.

Bisogna osservare se gli agenti commerciali inizieranno a separare per impostazione predefinita i contenuti non attendibili dalle istruzioni operative. Un isolamento più robusto indebolirebbe gli attacchi basati su file di configurazione inseriti ad arte. Bypass continui su diversi prodotti rafforzerebbero l’idea che l’architettura degli agenti resti il punto debole duraturo.

Il terzo segnale è il tempo di risposta dei difensori. Le organizzazioni dovrebbero misurare quanto impiegano a inventariare un servizio esposto, applicare una patch, revocare credenziali, indagare attività sospette degli strumenti e contenere il movimento laterale. Queste metriche operative rivelano se la difesa si sta adattando ad attacchi più rapidi.

Un divario crescente tra divulgazione e mitigazione favorirebbe gli attaccanti, anche senza modelli più capaci. Un divario in diminuzione mostrerebbe che automazione, prioritizzazione e governance possono compensare parte del vantaggio agentico.

I responsabili della sicurezza dovrebbero inoltre distinguere l’uso approvato dell’AI dall’attività dannosa. Check Point afferma che l’organizzazione media nel suo dataset utilizzava 10 applicazioni AI al mese, spesso senza approvazione formale. Ha riferito che i prompt ad alto rischio sono raddoppiati dal 2% al 4% nell’anno precedente.

Questi prompt possono contenere informazioni aziendali, personali, regolamentate o relative alle credenziali. La maggior parte rappresenta un normale comportamento dei dipendenti piuttosto che un’intrusione. Il programma di sicurezza ha quindi due compiti collegati: fermare gli avversari che usano l’AI e governare i dipendenti che la usano.

Un divieto generalizzato raramente offre una visibilità affidabile. Il personale potrebbe passare ad account personali o servizi non approvati. Le organizzazioni necessitano di regole chiare sui dati, strumenti approvati, controlli di accesso, logging e flussi di lavoro che preservino il contesto senza esporre materiale sensibile.

I team che esaminano un flusso rapido di rilevamenti di sicurezza necessitano anche di prove interne affidabili. Una base di conoscenza per l'ingegneria ricercabile può collegare avvisi, proprietà degli asset, decisioni sugli incidenti e registri di correzione senza affidarsi a conversazioni frammentate.

La domanda pratica non è se ogni avviso di Google News preveda una violazione autonoma. È se la vostra organizzazione sia in grado di identificare un agente che si muove attraverso i sistemi prima che il suo operatore prenda la successiva decisione critica. Verificate dove operano gli agenti AI, a cosa possono accedere e quali azioni aggirano l'approvazione umana. Quindi testate se il vostro team riesce a contenere un'intrusione al ritmo di una macchina con gli strumenti e il personale attuali.