Le imprese stanno adottando in misura crescente agenti AI per supportare e rendere estremamente più efficiente il lavoro dei propri team IT e di sicurezza informatica. Questo comporta in prima istanza una conseguenza che le aziende, e tutto l’ecosistema della cybersicurezza, deve affrontare con urgenza: il ricorso a tecniche di automazione e AI agentica elimina tutta una serie di attività che, tradizionalmente, hanno rappresentato il percorso di apprendistato essenziale nella formazione di operatori esperti di cybersecurity. Per anni, il percorso per diventare analisti esperti è infatti passato attraverso la ripetizione di mansioni, certamente ripetitive e magari ingrate, ma che sono fondamentali per sviluppare quell’intuito che permette agli esperti analisti cyber di comprendere gli eventi di sicurezza e prendere decisioni per rispondere. Un’intuizione e una capacità che non si apprende su nessun manuale, e in nessuno corso, ma che nasce e matura dalle ore passare a osservare pattern di traffico, valutare falsi positivi, analizzare log e passare al setaccio le dashboard per cercare di ricostruire il contesto dietro un evento. Queste capacità si acquisiscono solo con l’esperienza diretta, dal riconoscimento di schemi ricorrenti, dagli sbagli e dalla gestione delle escalation: tutte mansioni logoranti e ripetitive che comportano tuttavia costi elevati e richiedono tempo, esponendo il personale a un alto rischio di burnout.
Gli agenti AI entrano in azienda quindi proprio per questo, per automatizzare quelle attività e rendere più agile e meno gravoso il lavoro degli esperti di sicurezza. Analisti e ingegneri junior si trovano però così privati di quella palestra che ha formato i loro colleghi più anziani, aprendo in prospettiva un vuoto di competenze analitiche nei team di sicurezza del futuro. Le organizzazioni che oggi, giustamente, implementano agenti AI per ottimizzare e accelerare le attività di detection & response, si troveranno ad avere sistemi sempre più efficienti, ma con un insufficiente numero di persone capaci di comprendere e gestire gli eventi di cyber sicurezza.
Un altro aspetto è legato al framework normativo in ambito di cybersecurity, in cui rientra ad esempio anche la direttiva NIS2: la fase di apprendistato funge da parte integrante del sistema di responsabilità e di controllo previsto dagli ambienti regolamentati. Le principali normative in ambito di sicurezza informatica presuppongono infatti l’esistenza di una catena di valutazione alla base di ogni decisione relativa a un evento di sicurezza. In tal senso, negli audit non vengono interrogati i modelli di AI, ma le persone, gli analisti, che devono essere in grado di spiegare perché un sistema abbia agito e deciso in un certo modo, illustrare le ragioni che rendono valida una decisione e se sono stati implementati i controlli necessari. Il rischio di ritrovarsi privi di queste competenze potrebbe non essere percepito immediatamente dalle aziende. Anche in assenza di figure esperte di sicurezza in grado di ricostruire e spiegare la catena decisionale, infatti, i controlli potrebbero continuare a risultare formalmente conformi. Nel tempo, tuttavia, si rischierebbe di perdere progressivamente la memoria organizzativa e il patrimonio di competenze alla base di tali processi.
Il problema non risiede quindi nelle tecnologie agentiche in sé, ma nelle competenze della forza lavoro e nella progettazione dei processi che ne supportano l’utilizzo. È pertanto fondamentale garantire un adeguato sviluppo delle capacità analitiche degli operatori, facendo dell’empowerment delle persone una priorità nella progettazione di un’architettura di sicurezza basata su agent AI. Il management dovrebbe quindi privilegiare soluzioni progettate per supportare la crescita professionale degli operatori, rendendo trasparenti i processi di ragionamento, favorendo l’acquisizione di conoscenze e mantenendo l’intervento umano al centro delle attività decisionali.
Aspetto fondamentale nella progettazione della sicurezza nell’era degli agenti AI è dunque che questa lavori in stretta sinergia con le persone, potenziandone le capacità, aiutandole quindi a diventare più competenti, autorevoli e indispensabili, in un rapporto di mutua e vicendevole crescita. Per ottenere questo risultato, un sistema basato su agenti, capace di potenziare gli analisti umani accrescendone le competenze, dovrebbe svolgere quattro funzioni:
- Rendere trasparente e tracciabile il processo di ragionamento: ogni suggerimento o decisione presi da un agente deve essere riconducibile ai dati esaminati, alla provenienza degli input utilizzati e alla logica applicata. In tal modo, gli operatori possono osservare e ripercorrere il processo di ragionamento, sviluppando la capacità di giudizio necessaria a determinare quando dare fiducia al sistema.
- Scalare l’autorità in base a livello di confidenza e impatto: i sistemi di agenti dovrebbero gestire in autonomia solo schemi noti e a basso rischio. Eventi anomali e situazioni inedite, così come azioni con impatto potenzialmente alto, devono di norma essere scalate, ovvero passate al vaglio di un livello superiore di competenza. Il confine tra le due modalità dovrebbe inoltre essere esplicito e configurabile da parte dei team di sicurezza.
- Considerare i disaccordi come segnali di correzione: un ingegnere esperto che sovrascrive la decisione di un agente non sta solo esprimendo un disaccordo, ma sta correggendo il sistema utilizzando una valutazione che il modello non possedeva. Il sistema non deve quindi limitarsi a registrare la decisione sovrascritta, ma farne suo il ragionamento alla base, imparando dall’intervento umano che si è dimostrato superiore, per esperienza e intuizione.
- Acquisire le risposte come conoscenza trasversale: le modalità di risoluzione di un incidente portano con sé insegnamenti che possono essere preziosi anche per altri ambiti. Se questa potenziale connessione resta chiusa in un singolo ticket, il team di sicurezza che in futuro affronterà il problema dovrà ripartire da zero. Le soluzioni devono allora essere condivise tra i vari ambiti dell’infrastruttura digitale dell’organizzazione, senza restare confinate laddove sono state registrate.
Le organizzazioni che si trovano a dover valutare sistemi basati su agenti devono allora poter verificare che questi offrano queste funzionalità, potendo individuare dove essere risiedono, cosa succede in caso di un errore e, infine, se la loro implementazione porta una conseguente crescita delle competenze degli operatori. Perché il vero vantaggio e la resilienza digitale nelle organizzazioni del futuro si otterrà quando essere umano e AI crescono ed evolvono insieme.