Gli agenti IA sono abbastanza affidabili per la mia azienda?

I modelli linguistici di grandi dimensioni (LLM) e gli agenti IA stanno avendo un impatto significativo in molti campi, tra cui la cybersicurezza. Il loro potenziale sembra illimitato. Tuttavia, nella pratica, quando gli LLM vengono integrati nei flussi di lavoro essenziali in cui si prendono decisioni aziendali, sono emersi molti problemi, in particolare relativi alla privacy e all’accuratezza dei dati. Ci ritroviamo a chiederci: gli agenti IA sono abbastanza affidabili per la mia azienda?

Quando si tratta di cybersicurezza e centri operativi di sicurezza (SOC), la risposta rapida, come abbiamo sentito per tutta la nostra carriera, è: Sì, con controlli e mitigazioni appropriati nei SOC, gli agenti IA possono essere distribuiti con successo e in modo sicuro in ambienti di produzione in cui aggiungono un valore significativo lavorando a fianco degli analisti umani dei SOC.

Le sfide dell’IA nella sicurezza informatica

Gli LLM pronti all’uso utilizzati come unica soluzione presentano diversi problemi fondamentali, come allucinazioni, avvelenamento dei dati e iniezione di prompt. Queste limitazioni possono causare gravi difficoltà in un SOC autonomo, tra cui:

Dati limitati portano a conclusioni imprecise – Gli agenti IA necessitano di tutte le informazioni rilevanti dall’ambiente per svolgere il loro lavoro in modo efficace – almeno tanti dati quanti ne hanno gli analisti umani della sicurezza, e idealmente di più. I dati insufficienti portano gli agenti IA a fare false supposizioni che possono variare tra le esecuzioni delle indagini. Se si limita l’accesso ai dati a causa di preoccupazioni di sicurezza o si limita la quantità di operazioni che l’IA può eseguire per motivi di budget, ci si può aspettare che l’accuratezza subisca un impatto.

Verdetti incoerenti – Gli agenti IA devono prendere decisioni e svolgere attività in base ai dati raccolti. A causa della grande quantità di dati di sicurezza presenti negli ambienti tipici, è comune utilizzare un approccio di campionamento per bilanciare l’accuratezza con il budget. Quando le indagini vengono eseguite più volte, possono apparire differenze nel verdetto, nel livello di gravità determinato e nelle azioni raccomandate. Ciò è normale finché la differenza è entro un limite di tolleranza, e si verifica anche quando due diversi analisti umani esaminano la stessa allerta.

Ragionamento opaco, o il problema della «scatola nera (BBOX.BO ) » – Alcuni agenti IA operano come sistemi opachi. Questi risultati dei SOC basati sull’IA possono sembrare molto impressionanti all’inizio, ma per decisioni aziendali importanti è necessario capire cosa ha portato il SOC basato sull’IA a raccomandare determinate azioni. Ciò non è, tuttavia, una limitazione intrinseca dell’IA, poiché alcuni agenti IA si impegnano a essere trasparenti. È consigliabile convalidare gli agenti IA in modo approfondito in una Proof of Value prima di deciderne l’adozione.

Il miglioramento dell’IA nella sicurezza informatica

Gli approcci di sicurezza informatica basati sull’IA hanno fatto notevoli passi avanti verso il miglioramento da quando sono stati introdotti per la prima volta. Considera i seguenti punti:

Il consenso tramite campionamento attenua l’incoerenza – Le incoerenze nelle decisioni o nei risultati possono essere efficacemente mitigate sfruttando più agenti IA con diverse configurazioni (ad esempio, diversi modelli a diverse temperature) per interpretare i dati raccolti dalle operazioni degli agenti precedenti.

Utilizzando il campionamento, le organizzazioni possono capire dove i diversi modelli di IA si allineano e dove divergono. Di conseguenza, affidarsi alle informazioni in cui tutti i modelli concordano e attribuire meno peso alle informazioni su cui divergono può sostanzialmente mitigare l’incoerenza.

È importante notare, tuttavia, che le informazioni in cui gli agenti di campionamento non concordano sono anche preziose poiché identificano l’incertezza e la necessità di migliori dati o input. Queste informazioni incoerenti possono aiutare le organizzazioni a dare priorità all’accesso ai dati essenziali per decisioni migliori.

Procedure coerenti con guide di indagine – Una delle principali ragioni per cui più esecuzioni di un’indagine SOC IA producono risultati incoerenti è la variazione non solo dei dati raccolti, ma anche delle ipotesi create o modificate durante l’indagine dell’agente IA. Stabilire una guida generale di indagine basata su procedure operative standard (SOP) per determinate categorie aiuta gli agenti a formare ipotesi più coerenti e migliora la coerenza complessiva dei risultati. Questo non è un approccio nuovo – la maggior parte degli analisti umani dei SOC si affida già alle SOP per garantire indagini efficaci e coerenti. Gli agenti IA possono utilizzare le SOP allo stesso modo.

Prove tracciabili chiariscono il funzionamento della «scatola nera» – Come best practice, un SOC IA dovrebbe essere progettato fin dall’inizio con prove a supporto. Ogni decisione presa e ogni ipotesi formulata da un agente devono essere sostenute da informazioni di supporto, comprese tracce di ragionamento e i dati log grezzi che sostanziano quel ragionamento.

IA affidabile per la sicurezza informatica

Gli agenti IA possono accelerare la rilevazione, il triage e la risposta alle minacce nella sicurezza informatica, ma introducono anche rischi reali – tra cui risultati incoerenti, decisioni opache e sensibilità alla qualità dei dati. La fiducia per l’uso in ambienti mission-critical richiede ragionamento supportato da prove, comprese tracce e artefatti grezzi; SOP strutturate per ridurre la varianza; campionamento multi-agente per separare il consenso dall’incertezza; e salvaguardie per l’integrità dei dati, contro l’iniezione di prompt e per i limiti del numero di passaggi e del budget.

Tutti questi interventi correttivi essenziali possono essere attuati con approcci avanzati di agenti IA basati su LLM, progettati per affrontare la complessità delle moderne operazioni di sicurezza alimentate dall’IA. Ad esempio, alcuni approcci avanzati basati su LLM utilizzano un campionamento multi-agente avanzato per consentire alle organizzazioni di utilizzare l’intelligenza collettiva di diversi modelli di IA che collaborano per raggiungere un consenso, minimizzare le incoerenze e individuare le aree di incertezza. Le loro guide di indagine strutturate e chiare assicurano che i passaggi di analisi seguano le best practice e le procedure standardizzate, guidando la coerenza e l’affidabilità in ogni operazione.

La tracciabilità delle decisioni end-to-end porta a che ogni verdetto, raccomandazione e azione automatizzata sia esaminata e compresa per fornire una completa trasparenza ai team di sicurezza, costruendo al contempo la fiducia con gli stakeholder. Integrando questi elementi chiave – e implementando controlli robusti per la qualità dei dati dei prompt, la sicurezza e le salvaguardie operative – gli approcci avanzati di agenti IA basati su LLM consentono ai SOC di raggiungere risultati che non sono solo affidabili e trasparenti, ma anche pronti per la produzione in ambienti del mondo reale e per le attività più critiche.