Dalla sicurezza basata sugli alert alla sicurezza basata sugli agenti
L’intelligenza artificiale non sta cambiando soltanto gli strumenti utilizzati dagli attaccanti. Sta mettendo in discussione l’architettura stessa sulla quale sono stati costruiti i sistemi di difesa aziendali. Per affrontare questa trasformazione, Microsoft ha annunciato Project Perception, un sistema di sicurezza agentica che riunisce segnali, informazioni di contesto, modelli di intelligenza artificiale e agenti specializzati. L’obiettivo è sviluppare una difesa capace non soltanto di generare segnalazioni, ma di percepire il rischio, ragionare sulle possibili conseguenze e intraprendere azioni correttive.
Microsoft parte da un problema concreto: l’automazione e l’AI stanno riducendo il costo delle attività offensive. Gli attaccanti possono accelerare la ricerca delle vulnerabilità, aumentare la scala delle campagne e adattare più rapidamente tecniche e strumenti. I processi di sicurezza progettati intorno ai tempi decisionali degli operatori umani rischiano quindi di non essere sufficientemente veloci.
Project Perception rappresenta la risposta di Microsoft a questo cambiamento. Il sistema è progettato per operare in modo continuo e per trasformare i segnali raccolti nell’ambiente digitale in protezioni applicabili in tempo reale.
Come funziona Project Perception
L’elemento più interessante è l’impiego coordinato di tre categorie di agenti AI.
I Red Team Agent osservano l’infrastruttura dalla prospettiva di un potenziale attaccante. Il loro compito è individuare percorsi di compromissione, configurazioni deboli e combinazioni di vulnerabilità che potrebbero essere utilizzate per accedere a dati e sistemi.
I Blue Team Agent svolgono invece attività di analisi e investigazione. Correlano gli eventi, valutano il contesto e cercano di distinguere un rischio concreto da un’anomalia priva di conseguenze significative.
I Green Team Agent, infine, sono orientati alla remediation: possono contribuire ad applicare correzioni, ridurre l’esposizione e migliorare progressivamente la postura di sicurezza dell’organizzazione.
La collaborazione tra queste tre categorie crea un ciclo chiuso di rilevazione, verifica e miglioramento. Al posto di una sequenza lineare — alert, ticket, assegnazione e intervento manuale — Microsoft propone un sistema nel quale gli agenti lavorano continuamente per identificare e ridurre il rischio. Il controllo umano rimane comunque parte dell’architettura descritta dal vendor.
Perché Project Perception è importante per gli MSP
Per MSP e MSSP, la sicurezza agentica non rappresenta solamente una nuova categoria di prodotto. Può diventare il punto di partenza per riprogettare l’intero catalogo dei servizi gestiti.
Molti SOC tradizionali dipendono ancora da processi manuali: triage degli alert, raccolta delle informazioni, apertura dei ticket, escalation e verifica degli interventi. Gli agenti possono contribuire a ridurre il tempo impiegato nelle attività ripetitive e permettere agli specialisti di concentrarsi sulle decisioni a maggiore impatto.
Questo non significa che il SOC possa diventare completamente autonomo. Le azioni applicate da un agente possono incidere su identità, endpoint, workload cloud e applicazioni critiche. Autorizzazioni eccessive o regole di automazione non adeguatamente controllate potrebbero generare interruzioni operative.
Il valore del partner si sposta quindi dall’esecuzione manuale di ogni attività alla progettazione del sistema di controllo: quali agenti possono agire, su quali risorse, con quali autorizzazioni e in quali situazioni è obbligatoria l’approvazione di un operatore.
La telemetria sarà il vero fattore competitivo
Un agente di sicurezza è efficace soltanto se dispone di informazioni affidabili e sufficientemente complete. Identità, endpoint, applicazioni, dati, workload cloud e sistemi AI devono produrre segnali coerenti e utilizzabili. Per molte aziende, il primo passo verso la cybersecurity agentica non sarà quindi l’adozione di un nuovo modello, ma il consolidamento della telemetria. Ambienti frammentati, directory non allineate, asset non inventariati e configurazioni incoerenti riducono la capacità dell’AI di comprendere il rischio.
Qui si apre un’importante opportunità per i partner Microsoft: assessment dell’ambiente, razionalizzazione degli strumenti, protezione delle identità, classificazione dei dati e integrazione delle sorgenti di sicurezza possono diventare componenti di un percorso strutturato verso l’adozione degli agenti.
Human-in-the-loop e governance
L’automazione della risposta introduce una domanda fondamentale: quanta autonomia bisogna concedere a un agente? La risposta dipende dal rischio associato a ogni azione. Bloccare una sessione sospetta può essere relativamente semplice; disabilitare un account privilegiato o isolare un server di produzione può avere conseguenze molto più ampie.
Le aziende dovranno definire diversi livelli di autonomia:
- azioni che l’agente può eseguire automaticamente;
- azioni che richiedono una conferma;
- attività riservate agli operatori;
- procedure di rollback;
- registrazione delle decisioni;
- verifica periodica dei permessi assegnati.
Questi controlli possono trasformarsi in nuovi servizi consulenziali e gestiti. Gli MSP potranno aiutare i clienti a progettare policy operative, matrici di autorizzazione, processi di escalation e dashboard per supervisionare gli agenti.
Dalla vendita delle licenze alla gestione dei risultati
Project Perception suggerisce anche un cambiamento nel modello commerciale del canale. In un contesto agentico, il cliente non acquista soltanto una piattaforma di sicurezza, ma cerca risultati misurabili: riduzione del tempo di rilevazione, diminuzione dei falsi positivi, remediation più rapida e migliore copertura degli asset.
I partner dovranno quindi costruire offerte collegate a KPI operativi. Alcuni esempi possono essere il tempo medio di investigazione, la percentuale di incidenti contenuti automaticamente, il numero di vulnerabilità corrette entro una determinata finestra o la riduzione delle configurazioni ad alto rischio.
Questa evoluzione favorisce gli operatori capaci di combinare competenze Microsoft, cybersecurity, automazione e governance.
Un annuncio da seguire con attenzione
Project Perception è stato presentato come la nuova direzione della sicurezza agentica Microsoft. Al momento dell’annuncio, tuttavia, non sono stati forniti tutti i dettagli su disponibilità commerciale, prezzi, licensing e modalità definitive d’integrazione.
Le aziende non dovrebbero quindi interpretarlo come una soluzione immediatamente sostitutiva del proprio SOC. È più corretto considerarlo un’indicazione concreta della roadmap Microsoft e preparare l’ambiente organizzativo e tecnologico necessario.
La priorità, per CIO, CISO e partner, consiste nell’inventariare i processi che possono essere automatizzati, classificare le azioni in base al rischio e verificare la qualità della telemetria disponibile.
La cybersecurity sta entrando in una fase nella quale agenti offensivi e difensivi potranno operare con velocità e continuità superiori a quelle umane. Project Perception mostra come Microsoft intenda affrontare questa evoluzione attraverso agenti Red, Blue e Green coordinati in un unico sistema.
Per MSP e system integrator, l’opportunità non riguarda solamente l’implementazione della tecnologia. Il vero spazio di mercato sarà nella progettazione della governance, nell’integrazione dei dati, nella definizione delle autorizzazioni e nella gestione continuativa degli agenti.
Il SOC del futuro non sarà privo di persone. Sarà un ambiente nel quale gli specialisti supervisionano sistemi capaci di analizzare e agire in modo continuo, riservando l’intervento umano alle decisioni più critiche. Chi inizierà oggi a sviluppare queste competenze potrà trasformare la sicurezza agentica in una nuova generazione di servizi gestiti.
Comments are closed.