Cyware lancia Last Mile Agents, agenti IA per trasformare le informazioni condivise sulle minacce in priorità quotidiane

Un avviso su una minaccia può raggiungere una piccola azienda di servizi pubblici in pochi secondi. Stabilire se è rilevante — e cosa fare al riguardo — può richiedere molto più tempo. Cyware punta a colmare questa lacuna con Last Mile Agents, una nuova serie di agenti IA progettati per trasformare le informazioni condivise sulla sicurezza informatica in priorità quotidiane per le organizzazioni più piccole.

Annunciati il 22 ottobre, gli agenti sono destinati ai membri delle reti di condivisione delle minacce che ricevono avvisi da hub di comunità o statali, ma non dispongono di un team dedicato alla threat intelligence. Invece di fornire a tutti i destinatari lo stesso elenco di letture, Cyware afferma che gli agenti valutano le informazioni in arrivo in base al settore, alle tecnologie e all’ambiente operativo di ciascuna organizzazione.

La versione iniziale comprende Vulnerability Watch e Threat Briefing, entrambi supportati da un agente Priority Intelligence Requirements. Il risultato immediato è costituito da indicazioni ordinate per priorità; l’esecuzione automatizzata rientra nei piani di Cyware per gli sviluppi successivi.

Trasformare gli avvisi condivisi in priorità locali

Le reti di condivisione delle minacce aiutano le organizzazioni a mettere in comune informazioni su vulnerabilità, aggressori e campagne emergenti. Il loro valore, tuttavia, dipende da ciò che accade dopo l’arrivo di un avviso. Una grande azienda può disporre di analisti che confrontano queste informazioni con i propri sistemi. Una piccola impresa o un’azienda cooperativa di servizi pubblici potrebbe invece dipendere da un unico esperto di sicurezza generalista, che si occupa anche delle normali attività IT.

L’approccio di Cyware distingue il lavoro dell’hub di intelligence da quello dei suoi membri. L’hub gestisce la piattaforma Cyware e cura le informazioni. Secondo l’annuncio, le organizzazioni aderenti connesse utilizzano Last Mile Agents, configurati in base alle loro priorità, senza dover distribuire la piattaforma in autonomia.

Questa distinzione è importante per favorire l’adozione. L’obiettivo è rendere più utile una relazione di condivisione già esistente per chi riceve le informazioni, anziché richiedere a ogni piccola organizzazione di creare una struttura completa dedicata alla threat intelligence.

«La difesa collettiva è forte solo quanto il suo ultimo miglio, ed è così che lo rendiamo forte», ha dichiarato Akshat Jain, CTO e cofondatore di Cyware, nell’annuncio. Ha spiegato che gli agenti partono dai Priority Intelligence Requirements per individuare ciò che è rilevante nell’ambiente di ciascuna organizzazione e applicare tale contesto agli avvisi e alle vulnerabilità in arrivo.

Tre agenti, con il contesto dell’organizzazione al centro

L’agente Priority Intelligence Requirements, o PIR, costituisce la base del sistema. Raccoglie ciò che conta per un’organizzazione membro e confronta continuamente le informazioni in arrivo con tali requisiti. In pratica, l’obiettivo è fornire al sistema una definizione operativa di rilevanza prima che assegni una priorità a una minaccia.

• PIR Agent: definisce le priorità di intelligence del membro e le usa per valutare gli avvisi e le informazioni sulle vulnerabilità in arrivo.
• Vulnerability Watch Agent: elabora un elenco giornaliero di priorità, suddiviso in «agire», «seguire» e «monitorare», valutando l’attività di sfruttamento e la gravità in rapporto all’ambiente del membro.
• Threat Briefing Agent: prepara un briefing giornaliero ordinato per priorità, spiegando quali sviluppi meritano attenzione e perché sono rilevanti per quel membro.

La distinzione tra gravità e rilevanza è fondamentale per il progetto. Una vulnerabilità grave non ha la stessa urgenza per tutti i destinatari di un avviso. Un’organizzazione deve capire se la tecnologia interessata fa parte del proprio ambiente, se è in corso uno sfruttamento e come il problema si confronta con le altre esigenze che competono per il suo tempo.

Come si integrano Last Mile Agents nella tecnologia di Cyware

Il lancio amplia l’attuale portafoglio di agenti IA di Cyware, estendendolo oltre gli analisti che lavorano negli hub di intelligence. Il più ampio Agent Hub riunisce gli agenti nei prodotti di sicurezza dell’azienda e descrive controlli per l’autonomia configurabile, la supervisione umana, l’autorizzazione e la registrazione degli audit. Queste funzionalità della piattaforma aiutano a inquadrare la strategia di Cyware; la nuova versione riguarda nello specifico la definizione delle priorità e i briefing destinati ai membri.

Alla base di questa strategia c’è la difficoltà di rendere utilizzabili informazioni sulle minacce provenienti da fonti diverse. Cyware Intel Exchange supporta l’acquisizione, la deduplicazione, l’arricchimento e la normalizzazione dei dati nel formato STIX 2.1, uno standard strutturato per lo scambio di informazioni sulle minacce. Collega inoltre indicatori, malware, campagne e autori delle minacce e mappa i comportamenti degli avversari in MITRE ATT&CK. Queste funzionalità aiutano a comprendere il ruolo dell’hub: organizzare le informazioni prima che le organizzazioni membri le interpretino in base alle proprie priorità.

Il prodotto distinto dell’azienda, Cyware Orchestrate, collega i flussi di lavoro della sicurezza tramite API, webhook e integrazioni preconfigurate. Include funzionalità di assistenza IA per creare e risolvere problemi relativi ai playbook. Fa parte dell’offerta più ampia di automazione di Cyware, ma non va confuso con l’ambito del lancio di Last Mile Agents: Cyware prevede di introdurre l’esecuzione automatizzata per questi nuovi agenti in una fase successiva.

La prova sarà capire se le indicazioni cambiano il lavoro quotidiano

Per i team di sicurezza più piccoli, un briefing basato sull’IA utile deve fare più che condensare un lungo avviso in un breve paragrafo. Deve chiarire la rilevanza delle informazioni, spiegare come sono state classificate e facilitare la decisione successiva. La qualità dei requisiti dichiarati dall’organizzazione e la loro capacità di restare allineati con un ambiente in evoluzione saranno quindi elementi importanti per il valore pratico degli agenti.

L’annuncio di Cyware non fornisce benchmark delle prestazioni, prezzi né risultati misurati ottenuti dai clienti per Last Mile Agents. La promessa iniziale è più circoscritta e concreta: offrire ai membri con risorse limitate una panoramica quotidiana delle priorità, basata sulle informazioni di intelligence che le loro reti già distribuiscono.

Vulnerability Watch e Threat Briefing sono i primi agenti disponibili e sono basati su PIR Agent. Cyware offre anche un webinar sui suoi agenti IA. L’opportunità più ampia consiste nel rendere la difesa collettiva utile anche al di fuori delle organizzazioni che dispongono già di un numero sufficiente di analisti per interpretare queste informazioni.