La crisi del contesto nell’era dell’AI di frontiera: ci vuole l’AI per difendersi dall’AI

Le operazioni di sicurezza non sono più limitate dalla velocità umana. Stanno essere superate dagli avversari che operano a velocità di macchina, sfruttando le vulnerabilità spesso molto prima che i difensori ricevano anche solo il primo segnale. I modelli di AI di frontiera come Claude Mythos hanno portato a un ulteriore spostamento del campo di gioco, in grado di scoprire vulnerabilità che sono sopravvissute a decenni di revisione umana e milioni di test automatizzati. Ancor più importante, questi modelli di AI di frontiera possono concatenare vulnerabilità in percorsi di sfruttamento complessi e critici in pochi secondi.

Il moderno Security Operations Center (SOC) non è stato progettato per questa velocità. Per un decennio, abbiamo scalato la telemetria, ma gli analisti stanno annegando in migliaia di allarmi quotidiani, cercando disperatamente un significato tra indizi disparati. Per sopravvivere agli attacchi orchestrati dall’AI, il SOC deve evolversi da un hub centrato sull’uomo a un’operazione guidata da agenti a velocità di macchina.

Il successo richiede un fondamentale spostamento dalla visibilità al contesto in tempo reale. Mentre l’AI consente agli attori malintenzionati di ottenere un accesso profondo alla rete con un’insolita furtività, produce comunque artefatti osservabili come eventi di autenticazione, movimenti di dati e comportamenti anomali. Tuttavia, perché le operazioni di difesa agentiche possano contrastare le minacce a velocità di macchina, le organizzazioni devono possedere uno strato di contestualizzazione che trasforma la telemetria grezza in insight strutturato e leggibile dalle macchine. Senza di esso, gli agenti dell’AI sono ciechi.

Mentre le imprese adottano strumenti di sicurezza guidati dall’AI, è importante ricordare che l’autonomia senza un contesto strutturato introdurrà probabilmente più rischi operativi. Gli agenti progettati per sovraintendere e governare i sistemi dell’AI stessi necessitano di più di una semplice automazione autonoma – necessitano di strati di controllo contestuale per evitare allucinazioni o deriva di contesto. Senza quella base, i sistemi dell’AI operano in modo reattivo piuttosto che intelligente.

Visibilità senza comprensione

La base di relazioni, comportamenti e dipendenze è unica e nessun AI può lavorare perfettamente all’interno di ogni organizzazione. Una difesa alimentata dall’AI è efficace solo nella misura in cui comprende questi componenti chiave di come funziona un’organizzazione.

I SOC tradizionali si basano su inventari statici (istantanee periodiche), allarmi isolati che mancano di sequenza storica e flussi di lavoro a velocità umana, dove l’analista è la connessione tra il contesto e gli strumenti. La mancanza di comprensione o significato spinge il tempo medio di rilevamento (MTTD) in ore o giorni, tempi semplicemente non più accettabili contro un attacco a velocità di macchina.

Mentre l’AI agentic si sposta dall’esplorazione al dispiegamento operativo all’interno dei SOC, stiamo assistendo a uno spostamento verso sistemi in grado di eseguire compiti di sicurezza piuttosto che semplicemente supportare gli analisti umani. Questo spostamento sta cambiando le aspettative su ciò che il SOC dovrebbe fare rispetto a ciò che richiede ancora il coinvolgimento umano.

Tuttavia, mentre le organizzazioni si affrettano a distribuire l’AI in tutta l’operazione del SOC, molti leader stanno commettendo un errore critico, trattando l’AI come un sostituto degli analisti piuttosto che come un acceleratore basato sul contesto. Mentre i Large Language Model (LLM) possono riassumere gli allarmi, migliorare le indagini e raccomandare azioni, senza una comprensione accurata dell’ambiente in cui operano, i risultati sono limitati dalla qualità delle informazioni che ricevono.

Gli ambienti aziendali non sono statici, ed è questa la sfida. Gli asset vengono costantemente aggiunti o rimossi, mentre le identità cambiano ruoli e autorizzazioni, e i processi aziendali evolvono nel tempo. I team di sicurezza hanno storicamente fatto affidamento sugli analisti umani per collegare queste parti in movimento durante un’indagine, ma questo approccio non si traduce in operazioni autonome. Le difese a velocità di macchina richiedono una comprensione fondamentale di come sistemi, utenti, applicazioni e dati interagiscono tra loro in tempo reale.

Il contesto diventa più importante di una capacità di supporto. È il sistema operativo critico per la sicurezza agentic. Le organizzazioni che avranno successo nell’integrazione dell’AI nel SOC non saranno necessariamente quelle con gli strumenti di AI più avanzati, ma quelle che potranno fornire a quegli strumenti l’immagine più completa dell’ambiente – supportata dai dati. Tutto il resto nel SOC dipende da quanto completo e strutturato sia il contesto nel momento del rilevamento o della risposta.

Per raggiungere questo obiettivo, i team di sicurezza devono ripensare come raccogliere e operativizzare i dati in tutta l’area del SOC.

Cinque spostamenti verso la prontezza

Per riconquistare il vantaggio, le organizzazioni devono dare priorità alla capacità di interpretare rapidamente i dati rispetto alla semplice capacità di raccoglierli.

1. Dagli elenchi di asset a una superficie di attacco viva

La maggior parte delle organizzazioni si basa su uno snapshot statico che non può tenere il passo con i cambiamenti dinamici. La moderna superficie di attacco, che copre funzioni cloud effimere, shadow IT e endpoint di modelli di AI, spesso non può eseguire un agente EDR tradizionale, lasciando punti ciechi dove ora vivono logiche di sicurezza critiche. Non puoi triare un diluvio di segnalazioni se non sai cosa esegui o cosa tocca.

Eliminare questo gap richiede visibilità in tempo reale impostata nel contesto. Ciò consente al SOC di mantenere un grafico di asset costantemente aggiornato che cattura non solo cosa esiste, ma anche la sua attività tipica e la rete di connessioni.

2. Dagli allarmi alla comprensione del comportamento

Le rilevazioni sono eventi isolati, ma gli attacchi reali sono modelli che devono essere riconosciuti nel corso del tempo. Ad esempio, un agente AI compromesso non installa semplicemente malware; utilizza l’accesso autorizzato in modi non autorizzati fino a quando non viene installato il malware. Notare comportamenti strani prima che vengano segnalati è fondamentale in questo senso. Con basi e comprensioni del comportamento, gli analisti di sicurezza possono allontanarsi da eventi disparati e correlare l’attività in una narrazione coerente.

3. Dalle operazioni guidate dall’analista alle operazioni pronte per l’agente

Se un SOC ha una completa dipendenza dagli esseri umani per assemblare il contesto durante un’indagine, perderà quasi sempre contro una minaccia alimentata dall’AI. Tuttavia, gli agenti autonomi richiedono un contesto pre-costruito, quindi quando un agente di triage rileva un segnale, deve essere incontrato da un dossier immediato e ad alta fedeltà – non da un dump di dati grezzo. Implementando uno strato di arricchimento dedicato che correla i dati attraverso quattro strati di asset, identità, comportamento e rilevanza della minaccia, il contesto diventa una vera base.

Gli agenti del SOC dell’AI sono una classe di capacità emergente progettata per aumentare e automatizzare i flussi di lavoro del SOC di base. Tuttavia, la loro efficacia dipende dal fatto che vengano distribuiti in ambienti in cui il contesto è già strutturato, correlato e mantenuto.

4. Dalla telemetria grezza alla ragione efficiente

La telemetria grezza è massiccia, rumorosa e proibitivamente costosa da alimentare in LLM. Puntare un LLM su log non filtrati porta a una ragione degradata o allucinazioni, aggiungendo più lavoro di ipotesi all’analista umano e rallentando le indagini.

Spostarsi verso una densità di segnale alto, dati già arricchiti e correlati, risolve questo problema. La telemetria già riassunta, inclusi il chi, il cosa e il come di una rilevazione, e la deviazione dalla baseline, può facilmente segnalare se è necessaria un’indagine immediata. Concentrandosi sull’evidenza del pacchetto profondo solo quando un’ipotesi specifica lo richiede, rende l’economia del SOC agenticamente funzionante.

I sistemi dell’AI efficaci nel SOC richiedono controlli strutturati in tutta la durata di vita, dall’ingestione alla risposta. Ciò è dovuto al fatto che il contesto è ciò che converte i segnali in ragione azionabile.

5. Dai dati unidimensionali all’evidenza multilivello

Compiti diversi richiedono tipi di dati diversi per identificare tendenze, relazioni e anomalie, inclusi metriche, metadati, rilevamenti e pacchetti. Una strategia a livelli di dati leggeri per la ragione continua e un’evidenza profonda è essenziale per l’equilibrio.

L’AI di frontiera non ha solo introdotto nuove minacce; ha reso obbligatoria una nuova architettura per la difesa. La sicurezza deve diventare unificata, adattiva e, soprattutto, incorporare capacità agentiche. Le imprese che costruiscono strati di contesto oggi saranno meglio preparate a soddisfare il nuovo standard di sicurezza nell’era dell’AI. Quelle che si affidano ai vecchi metodi di correlazione manuale saranno costrette a reagire a un mondo che si muove troppo velocemente per loro per vedere.

Le operazioni di sicurezza dell’AI richiedono modelli di governance e operativi fondamentalmente nuovi, sottolineando che la capacità di produrre dati altamente contestualizzati (non solo strumenti) determinerà quali organizzazioni potranno scalare in modo più sicuro ed efficace. Senza di esso, l’automazione scalerà solo il rumore, non l’intelligenza necessaria.