Se l’AI permette agli attaccanti di trovare e sfruttare vulnerabilita a velocita di macchina (come visto a proposito di Claude Mythos), una difesa che resta interamente “a mano” parte gia’ battuta. Il punto dove questa asimmetria si sente di piu’ e’ il SOC, il centro operativo di sicurezza: troppi allarmi, troppo pochi analisti, troppo tempo per rispondere.
Il problema: troppi allarmi
Non e’ una percezione. Secondo una indagine su 3.466 decisori aziendali, l’82% degli analisti teme di lasciarsi sfuggire minacce reali per il volume di allarmi e dati da gestire. E’ la cosiddetta alert fatigue, che la semplice automazione a regole non ha risolto.
Da automazione a AI agentica
La differenza e’ netta. L’automazione classica esegue playbook statici: passi predefiniti, sempre uguali. L’AI agentica invece ragiona, pianifica e agisce: prende un allarme, raccoglie il contesto dai diversi sistemi, correla i segnali, arriva a un verdetto e avvia il contenimento — il tutto entro i guardrail definiti dal team. Non e’ piu’ uno script: e’ un investigatore instancabile.
Il guadagno: dalle ore ai minuti
Le organizzazioni che adottano AI agentica e iper-automazione riportano una riduzione del tempo medio di risposta (MTTR) dalle ore ai minuti, con buona parte delle attivita di primo livello (triage degli allarmi) gestite senza intervento umano. I dati di settore indicano che l’88% di chi ha adottato presto l’AI agentica vede un ritorno positivo su almeno un caso d’uso. La promessa non e’ “licenziare gli analisti”, ma liberarli dal rumore.
Il modello giusto: human-on-the-loop
La transizione corretta non e’ togliere l’uomo, ma spostarlo: da human-in-the-loop (l’analista approva ogni singolo passo) a human-on-the-loop (l’AI gestisce il volume, gli umani definiscono regole, supervisionano e decidono la strategia). L’autonomia senza supervisione e’ un rischio; la supervisione senza autonomia e’ lenta. Il valore sta nell’equilibrio.
Il rovescio: anche la difesa e’ un’identita con privilegi
C’e’ un avvertimento da non perdere. Un agente AI che indaga e contiene incidenti e’, a sua volta, un’identita macchina con permessi elevati: si autentica ai sistemi, legge log sensibili, puo’ isolare host. Vanno applicati gli stessi controlli visti per le identita non umane: minimo privilegio, accesso just-in-time, segreti in vault, tracciabilita di ogni azione. Un SOC automatizzato ma con un agente super-privilegiato e non governato sposta soltanto il rischio, non lo elimina.
Il filo con NIS2
Per i soggetti NIS2 la posta e’ concreta: gli obblighi di notifica degli incidenti hanno tempi stretti (allerta entro 24 ore, notifica entro 72). Un rilevamento e una risposta piu’ rapidi non sono un lusso, ma cio’ che rende sostenibile rispettare quelle scadenze quando gli attacchi corrono. La difesa alla velocita della macchina e’ la risposta naturale a un attacco che va alla stessa velocita.
Fonti: indagini di settore 2026 sull’adozione di AI agentica nei SOC (Torq, Stellar Cyber, Conifers). I dati quantitativi sono riportati dalle rispettive fonti.