Ramutė Varnelytė, CEO di IPXO – Serie di Interviste

Ramutė Varnelytė, CEO di IPXO, porta con sé oltre 15 anni di esperienza nel settore commerciale e è stata nominata a guidare l’azienda all’inizio del 2025. Nel suo ruolo, guida la crescita strategica, l’eccellenza operativa e la posizionamento sul mercato, assicurando che IPXO rimanga all’avanguardia dell’innovazione nel noleggio e nella gestione degli indirizzi IP.

IPXO, acronimo di Internet Protocol Exchange Organization, è stata fondata nel 2021 per affrontare la carenza globale di indirizzi IPv4 creando una piattaforma di noleggio e monetizzazione dinamica. È cresciuta fino a diventare il più grande mercato completamente automatizzato per il noleggio di indirizzi IP al mondo. La piattaforma supporta milioni di indirizzi IP in tutto il mondo, sostenuta da forti relazioni con i Registri Internet Regionali e da una missione di costruire un ecosistema IP unificato ed efficiente.

Discuteremo di come IPXO utilizzi il profilo di rischio basato sul comportamento e l’apprendimento automatico per distinguere tra l’automazione benigna dell’AI e l’attività dei bot maligni. La conversazione esplorerà l’aumento degli agenti AI nel traffico internet, le sfide di sicurezza dei provider di servizi internet e le strategie per bilanciare la sicurezza con l’efficienza operativa.

Quali tendenze hanno portato alla tua conclusione che gli agenti AI – e non solo i bot di scraping – dominano ora i modelli di traffico in molte organizzazioni?

I bot sono ovunque, superando di gran lunga il traffico umano. Più di un terzo del traffico dei bot è costituito dalla cosiddetta “quota di bot cattivi”, che contribuisce a molte attività maliziose. La tendenza è chiara in vari rapporti di incidenti: quando le aziende indagano su traffico insolito o dannoso, strani picchi nell’utilizzo dell’API o altre irregolarità, le prove mostrano che molti di questi sistemi automatizzati si comportano più come agenti AI, poiché fingono di essere browser o dispositivi diversi (spoofing dell’agente utente), cambiano rapidamente i loro IP (rotazione rapida dell’IP), sono incoerenti rispetto all’attività di scraping dei bot e simili. Fondamentalmente, il volume di traffico, nonché la complessità delle loro azioni, puntano agli agenti AI, piuttosto che ai semplici bot.

Quali segnali comportamentali vengono utilizzati per costruire i profili di rischio IP – come la frequenza delle richieste, gli header o i modelli geografici?

È possibile valutare il “punteggio di reputazione” di un IP senza nemmeno guardare il contenuto effettivo delle richieste, ma solo osservando come si comporta nella rete. Questi modelli irregolari sono “agnostici rispetto al contenuto”, il che significa che non è necessario il dati effettivi. I metadati e il comportamento specifico sono sufficienti per valutare il profilo di rischio dell’IP. Ciò funziona anche su larga scala, poiché il comportamento sospetto non è nascosto dalla crittografia moderna come TLS 1.3 o ECH. Ci sono ancora molti dati osservabili che semplicemente non vengono crittografati.

Come il tuo sistema distingue tra l’automazione benigna dell’AI e l’attività maliziosa come lo scraping, i botnet o il filling delle credenziali – specialmente senza ispezionare il contenuto del payload?

È importante considerare come l’automazione si comporta nel corso di un certo periodo di tempo, non solo cosa richiede. I “bot buoni” sono solitamente molto prevedibili, hanno una certa struttura e passaggi che seguono. I bot maligni, d’altra parte, spesso saltano in modo imprevedibile, utilizzano identificatori usa e getta, mantengono un ritmo “macchina-like” rigido e diffondono le richieste su molti server per evitare la rilevazione. Si tratta di modellazione del comportamento esteso, valutando come si muove sul sito nel tempo.

Potresti spiegare come i provider di servizi internet esistenti lottino per gestire il traffico di proxy in crescita mantenendo forti difese contro gli attacchi informatici?

I protocolli moderni nascondono più dettagli di connessione per una maggiore privacy, quindi sta diventando più difficile e costoso per i provider di servizi internet valutare il tipo di traffico e classificarlo correttamente. Poiché è più difficile vedere cosa c’è all’interno, i provider di servizi internet si affidano di più al comportamento del traffico, non al contenuto. La lotta consiste nel forzato passaggio dal affidarsi principalmente all’ispezione del traffico, che ha aumentato i costi operativi, e integrare nuovi strumenti di intelligence sulle minacce per adattarsi al nuovo approccio.

Quali sono i compromessi di sicurezza che i provider di servizi internet affrontano se allentano le restrizioni per accomodare il traffico degli agenti AI?

Allentare i filtri potrebbe ridurre i falsi positivi e l’attrito, per mantenere gli agenti in esecuzione di attività in modo fluido. Tuttavia, ciò potrebbe anche aumentare il numero di minacce e attacchi, poiché la “quota di bot cattivi” già costituisce una quantità significativa di traffico. Filtri più laschi equivalgono a rischi più alti. Un modo per compromettere tra i due potrebbe essere l’approccio di gating a rischio ponderato. Ad esempio, se c’è traffico sospetto, il primo passo potrebbe essere rallentarlo, piuttosto che bloccarlo completamente. È necessario impostare controlli più sfumati.

Quali tecnologie core alimentano il tuo punteggio di rischio in tempo reale – stai utilizzando l’apprendimento automatico, i feed di intelligence sulle minacce o la rilevazione delle anomalie comportamentali?

Utilizziamo un mix sano di monitoraggio e valutazione dei dati in tempo reale, apprendimento automatico e vari strumenti di intelligence sulle minacce. L’obiettivo è quello di individuare rapidamente eventuali irregolarità nel comportamento, capire l’intento del traffico e se ci sono motivi per ritenere che sia dannoso; se sì – segnalare i casi ad alto rischio e gestirli di conseguenza.

Come il tuo sistema si integra con i flussi di lavoro esistenti dei provider di servizi internet o delle società di sicurezza – può attivare avvisi o mitigazione automaticamente?

Sì, il nostro sistema invia avvisi ai flussi di lavoro esistenti, nonché blocca determinate minacce a livello di rete. Può funzionare in vari modi, a seconda della tolleranza al rischio.

Il sistema di profilazione ha scoperto alcuni modelli di attacco o casi di abuso inaspettati durante i test o i dispiegamenti iniziali?

Sì, ce ne sono stati diversi. Un esempio in tutto il settore potrebbe essere “crawls di allucinazione”, quando i LLM inventano URL non esistenti e poi cercano di recuperarli. O improvvisi aumenti di richieste, che si ripetono esattamente negli stessi intervalli di tempo, come 15 minuti o un’ora. Tutti questi modelli sono utili per noi per raffinare ulteriormente la tracciabilità del comportamento e ridurre i falsi positivi.

Quali sono le implicazioni per la privacy e la sicurezza della costruzione di profili basati sul comportamento senza ispezionare il contenuto crittografato – specialmente sotto le leggi globali di protezione dei dati?

I metadati comportamentali possono essere considerati dati personali, ma ci sono eccezioni, ad esempio se l’interesse è legittimo, può essere giustificato e è necessario per il monitoraggio della sicurezza. Detto questo, l’interesse nell’accesso e la quantità di dati conservati devono essere proporzionati ai rischi valutati.

Come eviti i falsi positivi che segnalano l’automazione benigna, come i crawler di ricerca o gli agenti AI in bianco, come minacce informatiche?

Testiamo nuove salvaguardie e regole prima di implementarle, valutiamo più segnali prima di intraprendere qualsiasi azione, utilizziamo anche sfide morbide per prima per testare la legittimità del traffico, piuttosto che bloccarlo direttamente. È un elenco di controllo a più strati, che viene costantemente affinato. Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare IPXO.