La sicurezza informatica è da tempo un terreno in cui il machine learning lavora in silenzio. Molto prima dei chatbot, filtri antispam e antivirus usavano modelli statistici per riconoscere ciò che era sospetto. Oggi l'intelligenza artificiale, compresi i modelli linguistici, offre a chi difende reti e sistemi strumenti nuovi, soprattutto per gestire il problema più grande del settore: troppi dati e troppo pochi analisti.
Il problema di fondo: il volume
Un'organizzazione anche di medie dimensioni genera ogni giorno milioni di eventi: accessi, connessioni di rete, processi avviati, email ricevute. La quasi totalità è normale. Trovare i pochi eventi che indicano un problema reale è come cercare un ago in un pagliaio, e gli analisti umani rischiano l'affaticamento da allarmi: ricevendo centinaia di segnalazioni, la maggior parte falsi positivi, finiscono per ignorare anche quelle importanti.
L'AI è utile proprio qui: non sostituisce l'analista, ma filtra, ordina e arricchisce le informazioni perché l'attenzione umana vada dove serve.
Applicazioni difensive principali
Rilevamento di anomalie
Un modello impara com'è il comportamento "normale" di un utente, di un server o di una rete, e segnala gli scostamenti. Esempi tipici:
- un account che di solito accede in orario d'ufficio e improvvisamente scarica grandi quantità di file alle tre di notte;
- un server che inizia a comunicare con indirizzi mai contattati prima;
- un numero insolito di tentativi di accesso falliti seguiti da un accesso riuscito.
Il vantaggio rispetto alle regole fisse è che il modello si adatta a ciascun contesto. Lo svantaggio è che "insolito" non significa sempre "malevolo": un dipendente in trasferta o un aggiornamento software possono generare anomalie innocue.
Filtri contro phishing e spam
I filtri moderni analizzano testo, mittente, struttura dei collegamenti e allegati. I modelli linguistici migliorano la capacità di riconoscere messaggi costruiti per sembrare urgenti o autorevoli, anche quando sono scritti in un italiano impeccabile e non contengono le parole tipiche delle truffe.
Analisi del malware
I modelli possono classificare file sospetti in base alle loro caratteristiche e al loro comportamento in ambienti isolati di analisi, aiutando a riconoscere varianti di minacce note anche quando il codice è stato modificato.
Supporto agli analisti
È l'ambito in cui i modelli linguistici hanno portato più novità:
- riassumere un incidente a partire da decine di eventi correlati;
- spiegare in linguaggio chiaro un comando o uno script trovato su una macchina compromessa;
- tradurre una domanda in una query per il sistema di raccolta dei log;
- preparare bozze di report per la direzione o per le comunicazioni obbligatorie.
Un esempio pratico
Immagina un piccolo studio professionale con dieci postazioni. Un sistema di protezione degli endpoint con componenti di machine learning segnala che su un computer un documento appena aperto ha avviato un processo che tenta di scaricare un file da internet. Il sistema blocca l'azione, isola la postazione dalla rete e invia un riepilogo. Il tecnico riceve una descrizione chiara: quale email ha portato il documento, cosa ha tentato di fare, quali altre caselle hanno ricevuto lo stesso messaggio. In pochi minuti può eliminare l'email dalle altre caselle e avvisare i colleghi.
I limiti da conoscere
| Limite | Conseguenza | Come gestirlo |
|---|---|---|
| Falsi positivi | Allarmi inutili, perdita di fiducia | Calibrazione e revisione periodica |
| Falsi negativi | Attacchi non rilevati | Più livelli di difesa, non solo l'AI |
| Dipendenza dai dati | Ambienti nuovi poco protetti | Periodo di apprendimento e monitoraggio |
| Errori dei modelli linguistici | Spiegazioni sbagliate di un evento | Verifica dell'analista sui dati originali |
C'è poi un aspetto da non dimenticare: anche chi attacca usa l'AI, per esempio per scrivere messaggi di phishing più convincenti. Questo rende ancora più importanti le difese che non dipendono dal riconoscere il testo, come l'autenticazione a più fattori.
L'AI come nuovo bersaglio
Introdurre strumenti di AI in azienda crea anche nuove superfici da proteggere. Un assistente collegato ai documenti interni deve rispettare gli stessi permessi degli utenti; un agente che legge email può essere esposto a istruzioni nascoste nei messaggi. Nel mio lavoro sulla sicurezza informatica, la regola che ripeto più spesso è semplice: ogni sistema di AI va trattato come un utente con privilegi, quindi con accessi minimi, registri delle attività e controlli periodici.
Le basi restano le basi
Nessun modello compensa l'assenza delle misure fondamentali:
- aggiornamenti regolari di sistemi e applicazioni;
- autenticazione a più fattori sugli account importanti;
- backup verificati e conservati separatamente;
- permessi limitati al necessario;
- formazione delle persone a riconoscere richieste sospette.
L'AI rende queste misure più efficaci, non le sostituisce.
In sintesi
- L'AI aiuta la difesa soprattutto a gestire l'enorme volume di eventi di sicurezza.
- Rilevamento di anomalie, filtri antiphishing e analisi del malware sono applicazioni consolidate.
- I modelli linguistici supportano gli analisti nel riassumere, spiegare e documentare.
- Falsi positivi e falsi negativi restano: servono più livelli di difesa.
- Gli strumenti di AI vanno a loro volta protetti, con accessi minimi e registri.
