Sophos riduce del 96% il tempo di indagine sulle minacce con OpenAI Daybreak

Sophos afferma che OpenAI Daybreak ha contribuito a ridurre del 96% il tempo medio di indagine e risposta alle minacce, da circa 38 minuti a 89 secondi. Il provider di cybersecurity riferisce ora che l'intelligenza artificiale risolve dall'inizio alla fine il 52% dei suoi casi di managed detection and response.

Questi risultati rappresentano un passo più significativo della semplice aggiunta di un assistente AI alla console di un analista. Sophos ha assegnato agli agenti AI responsabilità operative per oltre metà del proprio volume di casi, entro confini che i suoi specialisti della sicurezza adeguano continuamente.

Questa distinzione pone l'azienda dall'altra parte rispetto a un modello noto di operazioni di sicurezza. Invece di chiedere agli analisti di supervisionare ogni indagine ordinaria, Sophos lascia agli agenti la gestione dei casi delimitati, mentre le persone si concentrano su decisioni incerte o rilevanti. La domanda cruciale è se questa divisione possa preservare la responsabilità man mano che l'automazione si espande.

OpenAI Daybreak passa dall'assistenza alla risoluzione dei casi

Il cambiamento centrale non è una sintesi più veloce. Sophos consente agli agenti di completare indagini e risposte definite senza richiedere l'intervento umano in ogni caso.

Secondo il case study di OpenAI, Sophos in precedenza impiegava circa 38 minuti per indagare e rispondere a un caso medio. I casi elaborati dai suoi nuovi agenti raggiungono ora un tempo medio di risposta di circa 89 secondi.

Questa diminuzione rappresenta una riduzione di circa il 96%. Sophos afferma inoltre che gli agenti risolvono dall'inizio alla fine il 52% dei suoi casi di managed detection and response, o MDR.

L'MDR è un servizio in cui un team di sicurezza esterno monitora continuamente gli ambienti dei clienti e risponde alle minacce rilevate. Offre alle organizzazioni l'accesso alle operazioni di sicurezza senza richiedere loro di costruire un centro operativo di sicurezza interno completo.

Il miglioramento riportato si applica ai casi gestiti dagli agenti. Non dovrebbe essere interpretato come prova che ogni indagine svolta da Sophos si chiuda ora in 89 secondi.

Questa delimitazione è importante perché i casi di sicurezza variano notevolmente. Un file dannoso noto può consentire una risposta strettamente definita, mentre un'attività sospetta legata alle identità può richiedere un contesto aziendale che la telemetria non può fornire.

Sophos afferma che il suo sistema Fusion raccoglie segnali dai propri prodotti e da oltre 500 integrazioni di terze parti. Queste fonti coprono ambienti che possono includere endpoint, reti, servizi cloud, sistemi email, firewall e piattaforme di gestione delle identità.

Secondo OpenAI, i sensori combinati generano trilioni di eventi ogni giorno. Sophos filtra e correla questa attività in circa 1.000-2.000 casi da indagare nei suoi nove centri operativi di sicurezza.

Un agente di indagine raccoglie il contesto pertinente del cliente, i rilevamenti, gli indicatori di compromissione e l'intelligence sulle minacce. Un modello di pianificazione crea quindi un piano di indagine, ne esegue i passaggi, esamina i risultati e prepara le azioni consigliate.

Altri agenti possono eseguire parti della risposta quando l'autorizzazione del cliente e i limiti operativi di Sophos lo consentono. Questo flusso di lavoro trasforma il modello in un orchestratore, non semplicemente in un'interfaccia conversazionale.

Il risultato si basa anche su un precedente sforzo di automazione. Nel maggio 2026, Sophos ha riportato risultati SOC agentici relativi a un anno di utilizzo in produzione.

Anche quell'annuncio citava un tempo di risposta automatizzato di 89 secondi e un tasso di chiusura end-to-end del 52%. Il case study di OpenAI di ottobre fornisce quindi maggiori dettagli sul ruolo di Daybreak, anziché introdurre per la prima volta queste misurazioni.

Questa storia rende le prove più sostanziali di una dimostrazione di laboratorio. Tuttavia, entrambe le ricostruzioni pubblicate restano misurazioni riportate dall'azienda, non un confronto indipendente basato su un benchmark di settore comune.

Perché una risposta in 89 secondi cambia la competizione nell'MDR

Sophos sta spingendo i provider di sicurezza gestita a competere sui risultati completati, anziché sul numero di avvisi che la loro AI riesce a riassumere.

I team delle operazioni di sicurezza utilizzano già l'automazione per sopprimere il rumore, correlare gli avvisi e dare priorità alle attività sospette. Il passaggio più difficile è lasciare che il software decida che le prove giustificano una risposta e la esegua.

Sophos afferma che la sua attività MDR protegge oltre 40.000 clienti. Il suo più ampio portafoglio di prodotti serve più di 625.000 organizzazioni, offrendo all'azienda un vasto bacino di segnali di sicurezza ed esperienza operativa.

A questa scala, anche una piccola quantità di lavoro manuale per caso diventa costosa. Il volume dei casi può inoltre crescere più rapidamente di quanto un'organizzazione riesca a reclutare e formare analisti esperti.

L'implementazione di Daybreak modifica l'equazione della scalabilità. Sophos può aumentare la capacità di inferenza dei modelli e di automazione senza assumere un analista per ogni corrispondente incremento delle indagini ordinarie.

Questo non significa che gli analisti scompaiano dal modello operativo. Significa che il loro lavoro si sposta dalla raccolta del contesto ordinario verso attacchi nuovi, prove ambigue, comunicazione con i clienti, threat hunting e governance.

La distinzione è importante per gli acquirenti. Uno strumento che produce un riepilogo dell'incidente può far risparmiare minuti, ma lascia comunque il peso della decisione e dell'esecuzione a una coda umana.

Un agente che raccoglie prove, verifica un'ipotesi, raggiunge un verdetto delimitato ed esegue un'azione approvata modifica la coda stessa. I casi ordinari non devono più attendere che un analista intervenga in ogni fase.

Sophos aveva già sviluppato una sostanziale pipeline di filtraggio prima di Daybreak. Una precedente descrizione del suo flusso di eventi MDR spiegava come la telemetria venga ripulita, arricchita, correlata, priorizzata e sottoposta a escalation.

Quella pipeline elaborava circa 31 miliardi di eventi e 358 milioni di rilevamenti in una giornata tipica al momento della pubblicazione. Riduceva tale attività a 367 indagini, 47 escalation e una minaccia attiva.

Questi dati precedenti descrivono un periodo di rendicontazione diverso e non dovrebbero essere combinati direttamente con le stime giornaliere più recenti. Illustrano comunque perché il filtraggio sia centrale nelle operazioni di sicurezza gestita.

Gli agenti intervengono dopo che diversi livelli hanno già ristretto i dati. Non ragionano in modo indipendente su ogni evento grezzo generato da ciascun cliente.

Questa architettura offre a Sophos un vantaggio difendibile rispetto alle aziende che applicano modelli per uso generale direttamente ad avvisi non strutturati. Gli agenti ricevono casi curati, intelligence sulle minacce, playbook di risposta e contesto del cliente.

I concorrenti stanno perseguendo un territorio simile. Gli agenti di Microsoft Security Copilot possono assistere nel triage degli incidenti, nell'intelligence sulle minacce, nelle indagini e nelle indicazioni per la remediation attraverso i prodotti di sicurezza di Microsoft.

La documentazione di Microsoft descrive agenti che analizzano incidenti, estraggono entità, correlano segnali e determinano se l'attività sia dannosa. Ciò conferma che le operazioni di sicurezza guidate dagli agenti stanno diventando una competizione di settore, non un esperimento di una sola azienda.

L'elemento distintivo di Sophos è la sua affermazione di una risoluzione end-to-end su scala di produzione nell'ambito di un servizio gestito. I concorrenti subiranno pressioni per divulgare tassi di completamento, tempi di risposta, tassi di escalation e modelli di autorizzazione comparabili.

Come gli agenti AI di sicurezza Sophos suddividono il lavoro

Il meccanismo funziona perché Sophos limita l'autorità degli agenti in base al tipo di caso, alle preferenze del cliente e al potenziale impatto.

OpenAI descrive Daybreak come uno stack di cybersecurity governato che combina modelli specializzati, un harness di esecuzione, strumenti di sicurezza, flussi di lavoro affidabili e partner del settore. Il suo obiettivo dichiarato è supportare il lavoro difensivo mantenendo il controllo umano su accesso e azione.

Sophos fornisce l'ambiente operativo attorno a tali modelli. Questo ambiente include intelligence sulle minacce, procedure di indagine, telemetria dei clienti, logica di rilevamento e playbook di risposta sviluppati attraverso anni di operazioni di sicurezza.

Questa combinazione è importante perché un modello linguistico da solo non sa se un processo sconosciuto sia normale per una particolare organizzazione. Ha bisogno di dettagli aggiornati sulle risorse, informazioni sulle identità, attività storiche e prove di sicurezza verificate.

Per ogni caso, l'agente di indagine assembla tale contesto. Il sistema di pianificazione segue quindi un ciclo di pianificazione, esecuzione e revisione, anziché generare una sola risposta a partire da un singolo prompt.

Suddividere il lavoro in fasi consente al sistema di rivalutare le proprie prove. Produce inoltre un registro strutturato che gli analisti possono esaminare quando un caso richiede escalation.

Sophos divide l'autorità di risposta al cliente in tre modalità operative. In Notify, Sophos indaga e raccomanda un'azione, ma è il cliente a eseguirla.

In Collaborate, Sophos e il cliente lavorano insieme prima di agire. In Authorise, Sophos può rispondere direttamente per conto del cliente entro limiti concordati.

Queste regole si applicano indipendentemente dal fatto che il lavoro sia svolto da una persona o da un agente. Un agente non riceve automaticamente un'autorità più ampia semplicemente perché può raggiungere rapidamente un verdetto.

Le azioni potenzialmente distruttive restano soggette a un'adeguata supervisione. John Peterson, chief technology officer di Sophos, ha dichiarato a OpenAI che i casi al di fuori del livello di confidenza dell'azienda passano al giudizio umano.

Questo crea due modelli operativi correlati. L'automazione human-on-the-loop consente agli specialisti di supervisionare un lavoro ben delimitato senza approvare individualmente ogni azione.

L'operatività human-in-the-loop richiede l'intervento di una persona prima che proceda una decisione o una risposta sensibile. Sophos afferma di utilizzare questo modello più rigoroso per schemi nuovi, decisioni ad alta rilevanza e casi che richiedono contesto aziendale.

Questa divisione aiuta a spiegare come il 52% di automazione possa coesistere con la responsabilità umana. La quota automatizzata rappresenta i casi che Sophos ritiene rientrino in confini consolidati, non il permesso di una risposta autonoma senza restrizioni.

Spiega anche perché il restante 48% sia significativo. I casi che resistono all'automazione probabilmente contengono comportamenti insoliti, prove incomplete o conseguenze aziendali che richiedono competenze più approfondite.

Una semplice lettura in termini di produttività non coglie questa redistribuzione. Il valore del sistema dipende dalla sua capacità di spostare gli analisti verso un lavoro più rilevante senza consentire l'erosione delle loro competenze investigative di routine.

Le organizzazioni che adottano sistemi simili avranno bisogno di una documentazione durevole per playbook di risposta, incidenti passati ed eccezioni operative. Una base di conoscenza ingegneristica ricercabile può aiutare i team a preservare questo contesto, anche se non può sostituire controlli di sicurezza convalidati.

Il meccanismo ha quindi due componenti essenziali. I modelli forniscono velocità e capacità di ragionamento, mentre la governance decide quali conclusioni possano attivare un'azione.

La supervisione umana è un sistema di controllo, non uno slogan

La questione irrisolta è se Sophos possa misurare gli errori degli agenti con lo stesso rigore con cui misura la loro velocità.

La riduzione del 96% e il tasso di chiusura del 52% descrivono il throughput. Non rivelano i tassi di falsi positivi, falsi negativi, casi riaperti, annullamenti da parte dei clienti o la frequenza delle correzioni degli analisti.

Queste omissioni non invalidano i risultati. Limitano ciò che gli osservatori esterni possono concludere sull'affidabilità.

Una risposta rapida è preziosa quando un agente isola correttamente un dispositivo compromesso. La stessa velocità diventa pericolosa se, interpretando erroneamente una legittima attività amministrativa, disabilita un sistema critico.

Gli agenti di cybersecurity operano inoltre in un ambiente avversariale. Gli attaccanti possono creare deliberatamente file, messaggi, comandi e contenuti web concepiti per confondere l’analisi automatizzata.

I modelli possono generare interpretazioni plausibili ma errate quando le prove sono incomplete. Possono anche attribuire eccessiva fiducia a indicatori deboli o non cogliere il contesto che un analista esperto riconoscerebbe.

Non si tratta di un limite teorico esclusivo di Sophos. Anthropic ha riferito che un sistema di IA coinvolto in una campagna orchestrata di spionaggio informatico talvolta sovrastimava le proprie scoperte e fabbricava dati durante il lavoro autonomo.

Nella sua analisi della campagna, il modello avrebbe affermato di aver ottenuto credenziali che in realtà non funzionavano e avrebbe etichettato informazioni pubbliche come scoperte importanti.

Quel caso riguardava un uso offensivo improprio, non il sistema difensivo di Sophos. Dimostra comunque perché le prove e le conclusioni generate dal modello richiedono una convalida prima di intraprendere azioni con conseguenze rilevanti.

Microsoft fornisce avvertimenti simili per i propri agenti di sicurezza. Le sue linee guida sull’IA responsabile affermano che le risposte generate possono essere inaccurate, incomplete o non aggiornate.

Microsoft consiglia ai clienti di adottare un’adeguata supervisione umana, convalidare gli output critici, applicare autorizzazioni basate sul principio del privilegio minimo ed evitare un eccessivo affidamento. Questi principi si applicano ugualmente a qualsiasi agente in grado di investigare o rispondere.

Le tre modalità di autorizzazione di Sophos forniscono un quadro di controllo credibile. Tuttavia, la solidità di tale quadro dipende da come i confini vengono definiti, testati, monitorati e rivisti.

L’azienda afferma che gli analisti calibrano continuamente i limiti. Una maggiore trasparenza aiuterebbe i clienti a comprendere cosa significhi questo processo nella pratica.

Misure utili includerebbero la percentuale di casi automatizzati successivamente riaperti, il tasso di annullamenti da parte dei clienti e il numero di azioni bloccate dalle policy di sicurezza. Sophos potrebbe inoltre riportare le prestazioni per categoria di caso.

I risultati aggregati possono nascondere variazioni importanti. Il contenimento del malware, l’analisi del phishing, la compromissione delle identità, le configurazioni errate del cloud e l’attività interna presentano prove e conseguenze differenti.

I clienti necessitano inoltre di chiarezza sulla gestione dei dati. Un’indagine può coinvolgere dettagli dei dispositivi, identità degli utenti, metadati delle email, intelligence sulle minacce e informazioni provenienti da prodotti di sicurezza di terze parti.

Le domande rilevanti includono dove vengano elaborati i dati, per quanto tempo vengano conservati, quali componenti del modello possano accedervi e come vengano registrate le azioni. I controlli contrattuali contano quanto le prestazioni del modello.

Anche la supervisione umana presenta proprie modalità di fallimento. Gli analisti possono diventare meno attenti quando l’automazione è di solito corretta, un modello spesso descritto come bias dell’automazione.

I revisori necessitano inoltre di sufficiente visibilità sulle prove dell’agente e sul suo processo di ragionamento per poter contestare le sue conclusioni. Una raccomandazione priva di supporto tracciabile incoraggia l’approvazione per abitudine.

Il test, quindi, non è se un essere umano resti da qualche parte nel flusso di lavoro. Il test è se quella persona disponga di autorità, tempo, contesto e prove utilizzabili per fermare un’azione errata.

La vera sfida è tra autonomia delimitata e assistenza Copilot

Sophos scommette sul fatto che un’autonomia governata offra più valore operativo di un assistente IA in attesa del successivo prompt di un analista.

La prima generazione di copilot per la sicurezza si è concentrata sull’accesso conversazionale. Gli analisti potevano richiedere riepiloghi degli incidenti, produrre query, spiegare script sospetti e redigere istruzioni di remediation.

Queste funzioni riducono il lavoro cognitivo e amministrativo. Non necessariamente eliminano i casi dalla coda delle indagini.

L’approccio di Sophos si rivolge all’intero ciclo di vita di casi selezionati. L’agente raccoglie contesto, pianifica un’indagine, esegue i passaggi, esamina i risultati, raccomanda una risposta e talvolta la esegue.

Questa differenza crea la tensione principale dell’articolo. L’assistenza Copilot mantiene una persona in ogni ciclo operativo, mentre l’autonomia delimitata elimina tale requisito per i casi ripetibili.

Nessuna delle due strade è universalmente superiore. L’assistenza Copilot è più semplice da introdurre dove la qualità dei dati varia, i processi restano informali o le conseguenze di un errore sono gravi.

L’autonomia delimitata diventa più interessante quando un’organizzazione dispone di telemetria affidabile, playbook maturi, autorizzazioni chiare e un volume di casi sufficiente a giustificare una convalida estesa.

Sophos possiede molte di queste condizioni. Il suo servizio gestito centralizza le procedure per migliaia di clienti e incontra ripetutamente schemi di attacco riconoscibili.

Un tipico team di sicurezza aziendale potrebbe non godere dello stesso vantaggio. I suoi log possono essere incompleti, i processi di risposta possono differire tra le unità aziendali e la responsabilità può essere poco chiara.

Questa differenza limita i confronti diretti tra Sophos e i centri operativi di sicurezza interni. Un fornitore gestito può standardizzare infrastruttura e policy in modo più aggressivo rispetto a molti singoli clienti.

Significa inoltre che il risultato di Daybreak è in parte una storia operativa. Il modello opera all’interno di un sistema che già filtra gli eventi, arricchisce i rilevamenti, organizza i casi e definisce l’autorità di risposta.

Il più ampio programma Daybreak di OpenAI presenta la cybersecurity come un ciclo continuo che comprende inventario, scoperta, convalida, assegnazione, remediation e verifica. Questa ambizione va ben oltre l’assistenza basata sulla chat.

Se questo modello si diffonderà, gli acquirenti avranno bisogno di un vocabolario migliore per valutare l’automazione. L’etichetta “alimentato dall’IA” non dice quasi nulla su ciò che un prodotto fa effettivamente.

Una valutazione utile dovrebbe chiedere cosa avvia l’agente, quali prove può recuperare, quali strumenti può utilizzare e quali azioni può intraprendere. Gli acquirenti dovrebbero anche chiedere quando l’escalation diventa obbligatoria.

Il tasso di completamento è un’altra misura importante. Un agente che chiude autonomamente un caso ben definito produce un risultato diverso rispetto a uno che fa risparmiare a un analista alcuni minuti.

Tuttavia, i fornitori non dovrebbero competere massimizzando la chiusura autonoma a ogni costo. Un tasso di chiusura inferiore può riflettere soglie di sicurezza più rigide o una base clienti più complessa.

L’obiettivo significativo è un tasso di automazione appropriato per un livello di rischio definito. Ciò richiede report congiunti su velocità, accuratezza, qualità dell’escalation e impatto operativo.

Sophos ha avvicinato la discussione a questo standard pubblicando un tempo di risposta e un tasso di chiusura end-to-end. Il passo successivo consiste nell’affiancare tali cifre a misure di affidabilità trasparenti.

Cosa osservare dopo il rollout di OpenAI Daybreak

La fase successiva determinerà se Sophos ha stabilito un modello operativo di sicurezza duraturo o ha pubblicato un’istantanea impressionante di carichi di lavoro favorevoli.

Il primo segnale è la qualità dei casi automatizzati nel tempo. I clienti dovrebbero osservare eventuali comunicazioni su indagini riaperte, risposte errate, minacce mancate e annullamenti da parte degli analisti.

Prestazioni stabili rafforzerebbero l’argomento di Sophos secondo cui il tasso di chiusura del 52% riflette un’automazione affidabile. Tassi di correzione in aumento suggerirebbero che una maggiore autonomia stia spostando il lavoro anziché eliminarlo.

Il secondo segnale è l’espansione verso azioni di risposta più difficili. Sophos afferma di voler ampliare i casi d’uso degli agenti e rendere più sofisticate le loro capacità di risposta.

Questa espansione metterà alla prova il quadro di governance. Raccogliere prove e contenere un endpoint noto come dannoso presenta rischi diversi rispetto alla modifica delle autorizzazioni di identità o all’interruzione dell’infrastruttura di produzione.

Il successo dovrebbe quindi essere misurato in base alla portata controllata, non semplicemente a una percentuale di automazione più elevata. L’azienda deve dimostrare che l’autorità aggiuntiva arrivi con adeguati meccanismi di valutazione e rollback.

Il terzo segnale è la reportistica dei concorrenti. Microsoft e altri fornitori di sicurezza offrono già agenti per flussi di lavoro di triage, indagine, threat intelligence e remediation.

Se i concorrenti inizieranno a pubblicare tassi di risoluzione end-to-end e dati temporali comparabili, gli acquirenti otterranno un benchmark di mercato più chiaro. Se eviteranno queste misure, la comunicazione di Sophos sulla produzione rimarrà un elemento distintivo degno di nota.

I clienti dovrebbero comunque verificare se i confronti utilizzano lo stesso punto di partenza. Il “tempo di risposta” può iniziare alla generazione dell’avviso, alla creazione del caso, all’attivazione del modello o alla convalida dell’analista.

Dovrebbero inoltre separare il contenimento automatizzato dalla remediation completa. Isolare un dispositivo può fermare l’attività immediata, ma ripristinare i sistemi e chiudere il percorso di accesso dell’attaccante può richiedere ulteriore lavoro.

Per i responsabili della sicurezza, la risposta pratica non consiste nel richiedere un’autonomia senza restrizioni. Consiste nell’identificare casi ad alto volume con prove affidabili, azioni reversibili e regole di escalation mature.

Possono quindi valutare se gli agenti riducano il lavoro complessivo degli analisti senza indebolire la qualità del rilevamento o la responsabilità. Tale valutazione dovrebbe includere test avversariali e campionamenti di routine dei casi chiusi automaticamente.

I risultati riportati da Sophos rendono più difficile rimandare questa valutazione. Una riduzione da 38 minuti a 89 secondi modifica le aspettative per le indagini gestite di routine, anche con gli attuali limiti di verifica.

OpenAI Daybreak mostra inoltre dove gli agenti aziendali stanno diventando più rilevanti. Il loro valore risiede meno nella produzione di spiegazioni fluide e più nel completamento di flussi di lavoro governati collegati a strumenti reali.

La domanda finale per gli acquirenti è concreta: un fornitore può mostrare quali casi chiudono i suoi agenti, quanto spesso tali decisioni vengono corrette e chi resta responsabile quando l’automazione fallisce?

Queste risposte conteranno più della percentuale più alta nei titoli. I team di sicurezza dovrebbero richiederle prima di concedere a qualsiasi agente un’autorità più ampia, quindi continuare a misurarle dopo l’implementazione.