Il Programma Cardinal porta test di sicurezza gratuiti basati sull’IA alle utilities statunitensi

Method Security e Palantir Technologies, il 10 settembre 2026, hanno annunciato il Programma Cardinal, un’iniziativa congiunta che fornirà a specifici comuni, utilities e operatori di infrastrutture critiche statunitensi valutazioni di sicurezza autonome, continue e opzionali, senza alcun costo.

In un comunicato congiunto datato New York e Miami, le aziende hanno descritto Cardinal come un’iniziativa volta a rafforzare la resilienza cibernetica nazionale mediante red teaming autonomo e sicuro. Le aziende hanno affermato che queste istituzioni proteggono i sistemi e i servizi su cui si basa la vita quotidiana e ora si trovano ad affrontare avversari che utilizzano IA sempre più sofisticate per individuare e sfruttare vulnerabilità a una velocità e scala senza precedenti. Cardinal, hanno detto, è il loro sforzo per colmare tale divario, unendo sistemi cibernetici autonomi, IA avanzata e operatori esperti a sostegno dei team che difendono le infrastrutture americane essenziali.

Il sito ufficiale del programma afferma che la sua missione è fornire alle infrastrutture critiche nazionali e alle organizzazioni municipali una guida continua e sicura per il rafforzamento informata dagli avversari, al fine di superare le minacce cibernetiche. Il sito descrive queste istituzioni come spesso carenti di risorse per la sicurezza e presenta Cardinal come una coalizione tecnica di aziende tecnologiche e di sicurezza americane che offrono una proposta congiunta sul mercato.

“Gli aggressori stanno già mettendo in pratica queste capacità,” hanno scritto le aziende nel comunicato congiunto. “I difensori non dovrebbero dover attendere per fare lo stesso.”

Come verranno eseguite le valutazioni

Nel contesto del programma, la piattaforma di Method e gli operatori di sicurezza mapperanno, esamineranno e testeranno in modo sicuro le risorse esposte a Internet delle organizzazioni partecipanti per identificare i percorsi di attacco. I modelli Frontier e open-weight alimenteranno le valutazioni, le quali, secondo le aziende, sono destinate ad aiutare i difensori a comprendere come gli aggressori dotati delle stesse capacità potrebbero avvicinarsi ai loro sistemi.

Palantir Foundry, AIP e l’Ontology for Cybersecurity forniranno un’infrastruttura sicura affinché Method possa integrare e consegnare i risultati e supportare la collaborazione. Secondo il comunicato, AIP consente la convalida di flussi di lavoro di valutazione ripetibili e automatizzati per queste missioni ad alto impatto, mentre l’Ontology contestualizza i risultati in termini di impatto reale sulla missione per focalizzare le azioni di risposta.

Le valutazioni emuleranno il comportamento di avversari reali entro l’ambito e le regole d’ingaggio definite dai partecipanti, con misure di salvaguardia e supervisione umana per evitare interruzioni, secondo le aziende. Gli esperti di sicurezza esamineranno i risultati e forniranno indicazioni di rafforzamento informate dagli avversari.

Idoneità, controlli e iscrizione

Il sito del programma indica che qualsiasi organizzazione di infrastrutture critiche americana nei settori energia, trasporti, comunicazioni, sanità pubblica o gestione ospedaliera, nonché qualsiasi comune responsabile dell’approvvigionamento idrico o della sicurezza, è idonea per valutazioni gratuite.

Secondo il sito, il livello gratuito comprende valutazioni autonome di red team semi-frequenti della superficie di attacco esterna di un’organizzazione, con indicazioni strategiche di rafforzamento fornite direttamente, oltre alla possibilità di confrontarsi mensilmente con un esperto di sicurezza per rivedere tali indicazioni. I risultati assumono la forma di linee guida di rafforzamento informate dagli avversari, ad esempio la modifica di un controllo di rete o la rimozione di accessi permissivi, accompagnate da evidenze.

Ogni organizzazione partecipante definisce il proprio ambito di risorse consentite e non consentite e può stabilire regole d’ingaggio dettagliate che specificano quali azioni possono essere eseguite, in quali momenti e con quale livello di approvazione umana. L’ambito e le regole possono essere modificati dopo l’iscrizione tramite un portale che conserva tutte le impostazioni e i risultati del partecipante. Il sito afferma che i risultati dei partecipanti sono controllati con accessi limitati e che i dettagli non vengono mai resi pubblici, se non a un ingegnere di supporto.

L’iscrizione inizia con la compilazione di un modulo, dopodiché un ingegnere di Method valuta l’idoneità. I partecipanti qualificati firmano quindi un accordo di red team prima di essere inseriti nel programma.

Oltre al livello gratuito, le grandi imprese possono coinvolgere direttamente i partner operativi del programma per programmi commerciali a pagamento dedicati, basati sullo stesso modello, secondo quanto indicato sul sito. Le agenzie governative possono utilizzare Cardinal come piattaforma tecnica per iniziative di sicurezza più ampie, ad esempio per offrire un programma di valutazione continuo per i propri sistemi o per terze parti autorizzate, basato su finanziamenti federali o su un altro modello economico concordato. Le aziende hanno dichiarato che il loro obiettivo è fornire capacità ai difensori fin da subito, dimostrando al contempo un modello scalabile, e sperano che Cardinal possa offrire alle agenzie governative uno strumento tecnico comprovato per indirizzare tali capacità verso i sistemi di loro competenza. La resilienza cibernetica nazionale, hanno aggiunto, richiederà una collaborazione urgente tra industria e governo.

Le aziende dietro il programma

Method si descrive come costruttore di sistemi cibernetici autonomi per il governo degli Stati Uniti e per le aziende Fortune 500, e il sito web dell’azienda afferma di avere la missione di fornire resilienza cibernetica al governo statunitense e alle imprese critiche. Il sito indica che Method sviluppa prodotti di sicurezza a spettro completo per dotare gli operatori cibernetici di un vantaggio decisivo, e ne elenca due: Bastion, che mappa, valida e controlla la totalità delle risorse e dei possibili percorsi di attacco nel contesto dell’attività del cliente, e Reaper, che pianifica ed esegue operazioni di red team e esercizi di emulazione di avversari su infrastrutture autonome e di command-and-control definito via software. Method elenca OpenAI, Palantir, Andreessen Horowitz, General Catalyst e Blackstone come partner.

Il comunicato invita le organizzazioni che proteggono sistemi critici o servizi pubblici a richiedere una valutazione di sicurezza tramite il sito del Programma Cardinal. Vengono indicati Lisa Gordon come contatto stampa di Palantir e MR Snell come referente per Method Security.