CrowdStrike avverte: l'IA è sia un'arma informatica sia un bersaglio

CrowdStrike ha documentato un netto conflitto dietro la più recente copertura di Google News sulla cybersecurity: le organizzazioni stanno implementando l'IA mentre gli attaccanti la trasformano in un'arma e la prendono di mira. L'azienda di sicurezza afferma che criminali e gruppi legati a Stati usano l'IA generativa per migliorare l'inganno, accelerare le operazioni e sostenere identità fraudolente. Gli stessi gruppi stanno inoltre attaccando strumenti di sviluppo dell'IA, agenti autonomi, credenziali e i dati a cui questi sistemi possono accedere.

Questa combinazione cambia la valutazione della sicurezza. Un assistente IA non è semplicemente un'altra applicazione usata dai dipendenti. Un agente può eseguire comandi, chiamare servizi esterni, accedere a conoscenze interne e agire attraverso un'identità non umana. Comprometterne uno può offrire a un attaccante sia informazioni sia un canale operativo.

CrowdStrike ha presentato questa doppia minaccia nel suo 2025 Threat Hunting Report, pubblicato durante Black Hat USA il 4 agosto 2025. Le ricerche successive hanno rafforzato l'avvertimento. L'IA sta riducendo il costo di alcune attività di attacco, creando al contempo sistemi privilegiati che i difensori non possono trattare come software ordinario.

Cosa ha effettivamente rilevato CrowdStrike

La conclusione centrale non è che l'IA abbia inventato nuovi crimini informatici, ma che renda più facili da scalare e più difficili da contenere metodi già noti.

Le conclusioni della ricerca sulle minacce si basavano su indagini sul campo e intelligence che coprivano oltre 265 avversari identificati. CrowdStrike ha dichiarato che gli attaccanti stavano applicando l'IA generativa al social engineering, alle operazioni di influenza, all'impiego fraudolento e alla risoluzione di problemi tecnici.

L'azienda ha evidenziato FAMOUS CHOLLIMA, il nome con cui indica un'operazione legata alla Corea del Nord che coinvolge lavoratori tecnologici remoti fraudolenti. CrowdStrike ha affermato di aver indagato su oltre 320 aziende colpite nei 12 mesi precedenti. Secondo l'azienda, ciò rappresentava un aumento del 220 percento rispetto al periodo precedente.

Queste operazioni erano più complesse del semplice invio di curriculum curati. CrowdStrike ha dichiarato che gli operatori usavano l'IA generativa durante tutto il processo di selezione e impiego. Gli usi segnalati includevano la creazione di materiali per le candidature, la preparazione ai colloqui, l'occultamento delle identità e il completamento di lavori tecnici dopo l'assunzione.

Un lavoratore fraudolento che supera i normali controlli entra attraverso un account autorizzato. Il datore di lavoro può fornire un dispositivo gestito, credenziali, accesso al codice sorgente e canali di comunicazione interni. Questo rende l'operazione una minaccia interna sostenuta dall'inganno, anziché una convenzionale intrusione esterna.

L'IA generativa aiuta a collegare le singole fasi. Può riscrivere un curriculum per ogni posizione aperta, preparare risposte, generare codice e mantenere un'identità fittizia coerente. Tuttavia, le prove di CrowdStrike non stabiliscono che l'IA abbia condotto autonomamente queste operazioni. Le campagne erano comunque dirette da persone, che traevano vantaggio dai loro accessi.

Altri gruppi legati a Stati hanno usato la tecnologia in modo diverso. CrowdStrike ha dichiarato che EMBER BEAR, legato alla Russia, ha applicato l'IA generativa ad attività di influenza a sostegno di narrative filorusse. CHARMING KITTEN, legato all'Iran, avrebbe usato modelli linguistici di grandi dimensioni per migliorare materiale di phishing rivolto a obiettivi americani ed europei.

Il rapporto ha esaminato anche le intrusioni hands-on-keyboard, in cui un attaccante interagisce manualmente con un ambiente compromesso. CrowdStrike ha rilevato che l'81 percento di tali intrusioni era privo di malware nel periodo osservato. Gli attaccanti si sono invece affidati a credenziali valide, strumenti affidabili, servizi cloud e funzioni amministrative integrate.

Questa statistica è importante perché molte difese continuano a concentrarsi sul rilevamento di file dannosi. Un account legittimo che usa software approvato può produrre pochi indicatori tradizionali di malware. L'IA può aiutare un attaccante a studiare l'ambiente o interpretare output tecnici senza introdurre un payload rilevabile.

Le intrusioni cloud hanno aggiunto un ulteriore livello di pressione. CrowdStrike ha riportato un aumento del 136 percento nella prima metà del 2025 rispetto all'intero 2024. Il confronto riguarda periodi di durata diversa, quindi dovrebbe essere interpretato come un avvertimento operativo piuttosto che come un tasso valido per l'intero mercato.

Le console cloud contengono identità, archiviazione, segreti e controlli di gestione. Ospitano inoltre molti degli strumenti usati per creare ed eseguire applicazioni IA. Questa concentrazione rende l'accesso al cloud prezioso anche quando l'attaccante non compromette mai il laptop di un dipendente.

Le cifre derivano dalla visibilità di CrowdStrike sugli ambienti dei clienti e sulle indagini. Non costituiscono un censimento di ogni intrusione globale. La telemetria di un fornitore può identificare modelli significativi, ma riflette anche la base clienti del fornitore, i metodi di rilevamento e le definizioni adottate.

Questa limitazione non cancella il modello osservato. Stabilisce il giusto livello di fiducia. CrowdStrike ha osservato attaccanti combinare attività assistite dall'IA con abuso delle identità, servizi affidabili e accesso al cloud in indagini reali.

Perché questo avvertimento di Google News è importante ora

L'adozione dell'IA sta spostando l'autorità dalle azioni umane visibili verso flussi di lavoro automatizzati che molti team di sicurezza non riescono a inventariare completamente.

Il titolo di Google News coglie un'inversione reale. Le aziende hanno adottato l'IA per accelerare ricerca, programmazione, assistenza clienti e attività amministrative. Ogni connessione che rende utile un agente può anche aumentare il danno causato da una manipolazione o da un accesso rubato.

Un agente IA è un software che riceve un obiettivo, seleziona azioni e usa strumenti con un intervento umano limitato. A differenza di un chatbot convenzionale, può interagire con email, database, browser, repository di codice o servizi cloud. Questa capacità trasforma un input fuorviante in un possibile evento operativo.

Si consideri un agente che prepara briefing commerciali. Potrebbe leggere i record dei clienti, le trascrizioni delle riunioni e i documenti interni. Se un attaccante ne manipola le istruzioni, l'agente potrebbe divulgare materiale riservato o trasferire informazioni contaminate in un altro sistema.

Un agente di programmazione crea un'esposizione diversa. Può esaminare repository privati, eseguire comandi del terminale, installare pacchetti e inviare modifiche. Un plugin compromesso o un'istruzione dannosa potrebbe sfruttare questo accesso senza assomigliare ai metodi di distribuzione di malware già monitorati dai difensori.

Il rischio non richiede un attaccante completamente autonomo. A un avversario basta corrompere un input, rubare un token o sfruttare un componente vulnerabile. L'agente fidato può quindi eseguire l'azione successiva usando autorizzazioni che l'organizzazione ha concesso legittimamente.

Ecco perché l'identità è diventata centrale. Le identità macchina includono account di servizio, token, credenziali delle applicazioni e altri meccanismi di accesso non umani. Spesso operano continuamente e la loro attività può confondersi con l'automazione prevista.

Gli account umani dispongono solitamente di controlli consolidati relativi ad assunzioni, cessazioni, autenticazione e revisioni degli accessi. Le identità macchina possono moltiplicarsi molto più rapidamente. I team possono crearle durante gli esperimenti, lasciarle con privilegi eccessivi o non registrare chi ne è responsabile.

Il comportamento autonomo complica ulteriormente il monitoraggio. Un analista umano può spiegare perché ha aperto un file o modificato un'impostazione. Un agente può scegliere dinamicamente una sequenza, in base all'output del modello e alle informazioni che incontra.

I team di sicurezza devono quindi affrontare due domande correlate. Devono decidere se l'identità fosse autorizzata a eseguire un'azione. Devono anche stabilire se l'agente stesse agendo verso il suo obiettivo previsto.

Il controllo degli accessi tradizionale risponde imperfettamente alla prima domanda. Raramente risponde alla seconda. Un agente può prendere una decisione dannosa usando credenziali valide e strumenti approvati.

Le rilevazioni successive di CrowdStrike hanno rafforzato questa argomentazione. Il suo rapporto sulle minacce del 2026 ha dichiarato che l'attività di avversari abilitati dall'IA è aumentata dell'89 percento su base annua. L'azienda ha inoltre riportato che gli attaccanti hanno iniettato prompt dannosi in strumenti di IA generativa legittimi presso oltre 90 organizzazioni.

CrowdStrike ha misurato un tempo medio di breakout eCrime di 29 minuti nel 2025. Il tempo di breakout è l'intervallo tra l'accesso iniziale e il movimento laterale verso un altro sistema. Secondo l'azienda, il caso più rapido osservato ha richiesto 27 secondi.

Questi numeri non dovrebbero essere interpretati come prova che la maggior parte degli attacchi sia autonoma. CrowdStrike descrive avversari abilitati dall'IA, una categoria più ampia che può includere persone che usano l'IA durante fasi selezionate. La distinzione è importante quando le organizzazioni pianificano le difese o stimano il rischio a breve termine.

La lezione operativa rimane urgente. Un processo di revisione misurato in ore non può fermare in modo affidabile movimenti misurati in minuti. Un flusso di lavoro che richiede diverse approvazioni manuali può fallire quando un attaccante può riutilizzare identità valide quasi immediatamente.

L'IA può aiutare i difensori ad analizzare i segnali a velocità comparabile. Tuttavia, la difesa automatizzata richiede anche limiti, prove e l'escalation verso operatori umani. Dare a un agente di sicurezza autorità illimitata riprodurrebbe lo stesso problema dei privilegi che crea rischi altrove.

Gli attaccanti usano l'IA per ampliare l'abuso della fiducia

Gli usi dannosi più maturi dell'IA rafforzano l'inganno e l'efficienza dei flussi di lavoro, anziché sostituire gli attaccanti con macchine indipendenti.

I casi di lavoratori fraudolenti illustrano chiaramente questo schema. L'attaccante non chiede a un modello di violare un'azienda dall'inizio alla fine. L'IA supporta invece attività ripetute che in precedenza richiedevano tempo o personale aggiuntivo.

Un modello linguistico può adattare i materiali di candidatura a una descrizione del lavoro. Può tradurre messaggi, generare spiegazioni plausibili e assistere in attività di programmazione poco familiari. I media sintetici possono inoltre sostenere gli sforzi volti a occultare l'identità dell'operatore durante i colloqui a distanza.

Ogni capacità migliora la scalabilità. Un gruppo può candidarsi per più ruoli, mantenere più identità fittizie e rispondere più rapidamente. L'accesso risultante arriva comunque attraverso processi aziendali progettati per un reclutamento legittimo.

Questo rende il sistema di assunzione parte del perimetro di sicurezza. Recruiter, responsabili delle assunzioni, amministratori IT e responsabili dell'ingegneria vedono ciascuno solo una sezione del processo. I dettagli sospetti potrebbero non arrivare mai allo stesso revisore.

L'attacco può continuare anche dopo l'inserimento. Un lavoratore con accesso valido può copiare codice, raccogliere credenziali o convogliare guadagni verso un regime sottoposto a sanzioni. L'assistenza dell'IA aiuta l'operatore a svolgere abbastanza lavoro da mantenere credibilità.

I difensori dovrebbero evitare di trattare comportamenti video insoliti o errori linguistici come prova decisiva. Questi segnali possono danneggiare candidati legittimi e sono facili da adattare per gli attaccanti. Controlli più solidi collegano verifica dell'identità, provenienza del dispositivo, ambito di accesso e comportamento continuo.

Il phishing mostra lo stesso effetto economico. L'IA generativa può migliorare la grammatica, tradurre messaggi e personalizzare gli esche usando informazioni pubbliche. Non garantisce la persuasione, ma riduce lo sforzo necessario per creare varianti accettabili.

Gli attaccanti possono inoltre usare i modelli come supporto tecnico. Un operatore meno esperto può richiedere aiuto per script o spiegazioni di sistemi poco familiari. Ciò abbassa alcune barriere di competenza senza eliminare la necessità di accesso, giudizio, test e disciplina operativa.

Il risultato è un aumento disomogeneo delle capacità. L'IA aiuta maggiormente quando le attività sono ripetitive, ricche di linguaggio o facili da verificare. Rimane meno affidabile quando un'intrusione richiede ricerca originale, pianificazione stabile a lungo termine o decisioni precise in condizioni di incertezza.

Questa distinzione mette in discussione le previsioni più drammatiche sull'hacking autonomo. I responsabili della sicurezza dovrebbero prepararsi ad attaccanti assistiti più rapidi prima di presumere un'autonomia end-to-end affidabile. Il modello assistito è già sufficiente ad aumentare il volume degli avvisi e a ridurre i tempi di risposta.

Gli attaccanti traggono vantaggio anche da infrastrutture legittime. Possono operare attraverso piattaforme cloud, strumenti di amministrazione remota, servizi di collaborazione e applicazioni approvate. Questi servizi offrono scala e credibilità, complicando al contempo le semplici regole di blocco.

La rilevazione di CrowdStrike secondo cui l'81 percento delle intrusioni hands-on-keyboard era privo di malware si inserisce in questo schema. Il vantaggio dell'avversario deriva sempre più dall'apparire autorizzato. L'AI migliora questa apparenza supportando comunicazione, ricerca e adattamento rapido.

La protezione dell'identità è quindi più importante del solo rilevamento di codice malevolo. L'autenticazione resistente al phishing può ridurre il rischio di compromissione degli account, anche se nessun metodo di autenticazione risolve da solo il problema delle assunzioni fraudolente o dei token di sessione rubati.

Le organizzazioni hanno inoltre bisogno di credenziali con durata più breve e autorizzazioni più ristrette. Un token in grado di leggere ogni repository o invocare ogni strumento di produzione crea un'esposizione non necessaria. L'accesso degli agenti dovrebbe seguire lo stesso principio del privilegio minimo applicato agli utenti umani.

Il privilegio minimo significa concedere solo l'accesso necessario per un'attività definita. Per gli agenti, tale accesso dovrebbe anche scadere rapidamente e restare collegato a un proprietario identificabile. Credenziali condivise e persistenti rendono attribuzione e contenimento molto più difficili.

I team di sicurezza hanno bisogno di evidenze che colleghino prompt, chiamate agli strumenti, eventi di identità e modifiche risultanti. Senza questa traccia, gli analisti potrebbero vedere un account approvato eseguire un'azione approvata, ma non la manipolazione che l'ha causata.

È qui che la governance della conoscenza si interseca con la cybersecurity. Le organizzazioni che centralizzano ricerche, trascrizioni e file in una base di conoscenza personale dovrebbero capire quali agenti possano recuperare quel materiale. La comodità della ricerca non dovrebbe trasformarsi silenziosamente in accesso universale per le macchine.

L'obiettivo non è impedire ai dipendenti di usare l'AI. È evitare che la sperimentazione crei identità invisibili e connessioni non documentate. I team di sicurezza non possono proteggere un agente che nessuno ha registrato.

Gli agenti AI trasformano l'automazione utile in un bersaglio

Più autorità riceve un agente AI, più diventa prezioso per un attaccante e più attentamente vanno protetti i suoi input.

CrowdStrike ha dichiarato di aver osservato attori delle minacce sfruttare vulnerabilità negli strumenti usati per creare agenti AI. Tra gli esiti segnalati figuravano accesso non autenticato, furto di credenziali, accesso persistente, distribuzione di malware e diffusione di ransomware.

La debolezza può trovarsi al di fuori del modello stesso. Un agente dipende da software di orchestrazione, API, plugin, archivi dati, servizi cloud e sistemi di identità. Un difetto in qualunque punto di questa catena può esporre l'ambiente circostante.

Questa visione a livello di sistema è essenziale. Il solo testing del modello non può rivelare un token trapelato, un'interfaccia di sviluppo esposta o un account di servizio con privilegi eccessivi. Proteggere l'AI richiede di esaminare l'applicazione completa e le sue dipendenze operative.

Il prompt injection presenta un'altra via d'accesso. Si verifica quando contenuti ostili inducono un modello a seguire istruzioni non previste. Il contenuto può apparire in una pagina web, un documento, un'email, una risposta di uno strumento o altro materiale elaborato da un agente.

Un prompt injection diretto proviene dall'utente. Un'iniezione indiretta nasconde istruzioni in contenuti esterni che il modello recupera successivamente. La seconda forma è particolarmente difficile perché ci si aspetta che gli agenti utili leggano materiale non attendibile.

Le linee guida sugli agenti di OWASP considerano prompt injection, agency eccessiva, divulgazione di informazioni sensibili e uso non sicuro degli strumenti come rischi connessi. Un'istruzione iniettata diventa più pericolosa quando l'agente interessato dispone di autorizzazioni ampie.

I filtri possono ridurre gli attacchi più evidenti, ma non possono garantire che un modello separi ogni istruzione da ogni elemento di dati. Il linguaggio naturale non offre di per sé un confine di sicurezza affidabile.

L'architettura più sicura presume che l'output del modello possa essere errato o manipolato. Convalida ogni azione ad alto impatto al di fuori del modello, limita gli strumenti accessibili e richiede approvazione quando le conseguenze superano una soglia definita.

Un assistente email può redigere messaggi automaticamente, ma richiedere l'approvazione prima dell'invio esterno. Un agente di coding può proporre modifiche, ma non disporre di credenziali dirette per la produzione. Un agente di supporto può leggere il record di un cliente senza esportare l'intero database.

Questi controlli riducono l'autonomia, mettendo in luce il compromesso centrale. Le aziende desiderano gli agenti perché possono agire senza supervisione costante. La sicurezza migliora quando le azioni con conseguenze rilevanti incontrano limiti e verifiche prevedibili.

La risposta non è un'unica finestra di approvazione universale. Un numero eccessivo di prompt insegna agli utenti ad approvare tutto. I controlli dovrebbero riflettere la reversibilità dell'azione, la sensibilità dei dati, la destinazione e la potenziale portata.

Leggere una pagina web pubblica comporta meno rischi che eliminare risorse cloud. Redigere un riepilogo interno è diverso dall'inviare dati dei clienti a un indirizzo esterno. Le politiche di sicurezza dovrebbero codificare queste differenze prima che l'agente agisca.

Il National Institute of Standards and Technology degli Stati Uniti raccomanda di gestire i rischi dell'AI durante progettazione, distribuzione e monitoraggio. Il suo framework per il rischio AI pone l'accento su governance, misurazione e gestione continua, anziché su un singolo evento di certificazione.

Questo approccio basato sul ciclo di vita è adatto ai sistemi agentici. Il comportamento di un agente può cambiare quando i team sostituiscono il suo modello, aggiungono uno strumento, modificano un prompt o collegano un'altra fonte di dati. Una revisione di sicurezza del giorno del lancio diventa rapidamente obsoleta.

L'inventario è il punto di partenza necessario. Un'organizzazione dovrebbe sapere quali agenti esistono, chi li possiede, quali modelli utilizzano e quali identità autorizzano le loro azioni. Dovrebbe inoltre registrare le informazioni e gli strumenti a cui ogni agente può accedere.

L'inventario deve includere le distribuzioni non ufficiali. I dipendenti spesso collegano servizi AI per consumatori ai dati aziendali prima che un team centrale approvi una piattaforma. Bloccare ogni esperimento può spingere ulteriormente tale attività fuori dalla vista.

Un programma più sicuro offre percorsi approvati con confini chiari. I team possono testare gli agenti in ambienti isolati, usare dati sintetici e richiedere credenziali limitate. La sicurezza diventa così parte della consegna, anziché un ostacolo finale.

Il monitoraggio in runtime deve guardare oltre gli input del modello. Gli analisti hanno bisogno di registri delle informazioni recuperate, della selezione degli strumenti, delle chiamate API, delle modifiche agli accessi e delle comunicazioni esterne. Hanno anche bisogno di un modo per sospendere immediatamente un agente.

I proprietari degli agenti dovrebbero definire il comportamento previsto in termini misurabili. Un agente finanziario potrebbe leggere fatture da un repository e creare bozze in un sistema. Un accesso al di fuori di questo schema merita un'indagine anche se l'autenticazione riesce.

La supervisione umana resta importante, ma gli esseri umani non possono ispezionare ogni azione a basso livello. Il modello pratico combina limiti imposti dalle macchine, rilevamento automatico delle anomalie e revisione umana per i casi incerti o ad alto impatto.

CrowdStrike ha un interesse commerciale nell'espansione della spesa per la sicurezza AI. I suoi rapporti sostengono prodotti che governano identità, endpoint, attività cloud e agenti autonomi. Questo interesse merita di essere riconosciuto nella valutazione dell'inquadramento dell'azienda.

Allo stesso tempo, il suo avvertimento principale è in linea con principi di sicurezza consolidati. I sistemi con dati sensibili, autorizzazioni ampie e input esterni richiedono forte isolamento e monitoraggio. Gli agenti AI combinano tutte e tre queste caratteristiche con insolita frequenza.

La questione irrisolta è la misurazione. I rapporti pubblici forniscono esempi e telemetria selezionata, ma il settore non dispone di un denominatore coerente per la compromissione degli agenti. Le organizzazioni non riescono ancora a confrontare facilmente i tassi di incidente tra distribuzioni o architetture di sicurezza.

Questa lacuna lascia spazio sia alla compiacenza sia all'esagerazione. Alcuni responsabili potrebbero liquidare gli attacchi agli agenti come dimostrazioni isolate. Altri potrebbero acquistare controlli estesi senza identificare quali flussi di lavoro creino effettivamente un'esposizione rilevante.

Una risposta difendibile inizia da accesso e conseguenze. Se un agente non può raggiungere informazioni sensibili né eseguire azioni rilevanti, la manipolazione dei prompt ha valore limitato. Se controlla sistemi di produzione, ogni input non attendibile merita attenzione.

Cosa dovrebbero osservare i team di sicurezza

La prossima fase sarà definita da tre segnali: intrusioni di agenti verificate, controlli consapevoli dell'identità e misurazioni credibili delle prestazioni difensive.

Il primo segnale è l'evidenza che collega una compromissione reale alle decisioni e alle autorizzazioni di un agente. I ricercatori hanno già documentato infrastrutture AI vulnerabili e manipolazione dei prompt. Ciò che conta ora è se i rapporti sugli incidenti mostrino agenti che abilitano movimento laterale, furto di dati o azioni distruttive su larga scala.

Una divulgazione dettagliata rafforzerebbe l'argomentazione di CrowdStrike. I rapporti utili dovrebbero identificare l'input iniziale, l'identità interessata, gli strumenti disponibili, l'azione risultante e il fallimento del controllo. Riferimenti vaghi a un incidente legato all'AI non stabiliranno la causalità.

Se le indagini pubbliche continueranno a rilevare solo furti di credenziali convenzionali vicino ai sistemi AI, le affermazioni più forti sull'autonomia si indeboliranno. L'infrastruttura richiederà comunque protezione, ma il rischio resterà più vicino alla sicurezza cloud e applicativa consolidata.

Il secondo segnale è la rapidità con cui le piattaforme di sicurezza adottano controlli per gli agenti consapevoli dell'identità. CrowdStrike ha annunciato protezioni ampliate per endpoint, browser, servizi software e ambienti cloud nel marzo 2026. Altri fornitori perseguono funzioni correlate di individuazione, governance e monitoraggio in runtime.

La domanda importante non è quanti prodotti aggiungano un'etichetta AI. Gli acquirenti dovrebbero chiedersi se un controllo sia in grado di identificare il proprietario umano dietro un agente, limitare l'uso degli strumenti, ruotare le credenziali e preservare le evidenze tra sistemi.

Gli standard aperti migliorerebbero la portabilità. Le organizzazioni non dovrebbero avere bisogno di modelli di identità separati per ogni framework di agenti. Registri comuni per autorizzazione, chiamate agli strumenti e azioni delegate renderebbero più coerenti le indagini e l'applicazione delle politiche.

CrowdStrike ha aderito a un'iniziativa di settore dedicata alla ricerca aperta sulla sicurezza AI nel luglio 2026. Il suo annuncio sulla security alliance ha sottolineato modelli condivisi, strumenti di testing e valutazione della comunità. Benchmark concreti e controlli interoperabili conteranno più degli annunci di adesione.

Se i fornitori esporranno telemetria e punti di applicazione coerenti per gli agenti, la tesi della doppia minaccia diventerà più gestibile. Se i controlli resteranno proprietari e frammentati, gli attaccanti potranno sfruttare le lacune tra il monitoraggio di identità, modello e applicazione.

Il terzo segnale è una prestazione difensiva misurabile. Gli agenti di sicurezza promettono triage, threat hunting e risposta più rapidi. Gli acquirenti hanno bisogno di evidenze che mostrino qualità del rilevamento, tempi di contenimento, tassi di falsi positivi e conseguenze degli errori automatizzati.

Il breakout time offre una metrica utile della pressione temporale. La media di 29 minuti riportata da CrowdStrike lascia poco spazio a un processo manuale lento. Tuttavia, la sola velocità non può stabilire se una risposta automatizzata sia accurata o sicura.

Un sistema che isola troppo spesso utenti legittimi crea danni operativi. Un sistema che produce riepiloghi scorrevoli senza evidenze affidabili può far perdere tempo agli analisti. L'AI difensiva dovrebbe quindi essere valutata rispetto a compiti specifici e costi di fallimento.

I test indipendenti diventeranno sempre più importanti. Le dimostrazioni dei fornitori operano di solito in ambienti controllati con dati selezionati. Le operazioni di sicurezza reali includono telemetria incompleta, avvisi contrastanti, sistemi legacy e vincoli aziendali.

Consigli di amministrazione e dirigenti dovrebbero richiedere un insieme essenziale di risposte operative. Devono sapere quanti agenti esistono, quali dispongono di autorizzazioni rilevanti e con quale rapidità l’azienda può revocarne l’accesso.

I team di ingegneria hanno bisogno di dettagli diversi. Dovrebbero sapere quali input non sono attendibili, quali azioni ricevono una validazione esterna e se i log collegano il contesto di ragionamento di un agente alle chiamate agli strumenti risultanti.

I team di sicurezza devono collegare queste prospettive. Un inventario privo di prove di runtime diventa un foglio di calcolo che invecchia rapidamente. Il monitoraggio senza una chiara responsabilità lascia gli analisti incapaci di stabilire se un comportamento insolito sia legittimo.

L’impostazione di Google News fa sembrare la storia una competizione tra IA offensiva e difensiva. La competizione più significativa è quella tra l’espansione dell’autorità delle macchine e i controlli che la circondano.

L’IA continuerà ad aiutare gli aggressori con linguaggio, ricerca e attività tecniche ripetitive. Aiuterà anche i difensori a elaborare la telemetria e a rispondere più rapidamente. Nessuno dei due esiti elimina la necessità di controlli delle identità, autorizzazioni limitate e registri delle azioni verificabili.

Le organizzazioni dovrebbero iniziare con un esercizio diretto. Selezionare l’agente con l’accesso più ampio, quindi tracciare ogni identità, fonte di dati, strumento e destinazione esterna che può utilizzare. Testare cosa accade quando un input diventa dannoso.

L’agente può esporre dati riservati, modificare una risorsa di produzione o contattare una parte esterna senza approvazione? Il team di sicurezza può ricostruire ogni passaggio e disabilitarne immediatamente le credenziali? Queste risposte contano più delle previsioni generiche sulla guerra informatica autonoma.

L’avvertimento di CrowdStrike merita attenzione perché descrive un’esposizione che si sta già formando all’interno dei normali flussi di lavoro aziendali. La risposta pratica non è né il panico né l’adozione senza restrizioni. È un’autorità disciplinata: inventariare ogni agente, ridurre al minimo ogni autorizzazione, convalidare le azioni rilevanti e conservare prove di cui gli investigatori possano fidarsi.