Sophos riduce i tempi di indagine del 96% con OpenAI Daybreak

Il contesto della cybersicurezza guidata dall’IA

L’intelligenza artificiale di frontiera sta trasformando radicalmente il panorama della cybersicurezza, sia per gli attaccanti sia per le difese. I modelli avanzati permettono di identificare, analizzare e correlare le minacce in tempi brevissimi, ma la stessa tecnologia è sempre più disponibile anche in forme open‑source, aprendo nuove opportunità per chi vuole sfruttare vulnerabilità in maniera più rapida.

Sophos, con oltre 625.000 organizzazioni protette a livello globale, è una delle realtà che ha deciso di affrontare questa sfida integrando l’IA più avanzata nei propri processi operativi. Come afferma John Peterson, Chief Technology Officer di Sophos, “osserviamo un’enorme varietà di attacchi” e la sfida è mantenere un vantaggio competitivo nonostante la velocità crescente degli attacori.

OpenAI Daybreak: un ponte tra intelligenza artificiale e expertise di settore

Attraverso il programma OpenAI Daybreak, Sophos combina i modelli di OpenAI con la propria intelligence sulle minacce, le procedure di risposta e le competenze di sicurezza. L’obiettivo non è solo fornire un nuovo strumento agli analisti, ma amplificare l’impatto delle capacità di Sophos su tutti i clienti.

“Sophos mette a disposizione le competenze di settore e il know‑how per contrastare gli attacchi su larga scala. Programmi come Daybreak e aziende come OpenAI offrono un’intelligenza di frontiera che ci permette di estendere l’applicazione di queste competenze a supporto di tutti i nostri clienti.” – John Peterson, CTO di Sophos

Come funziona l’implementazione

Al centro del progetto c’è Sophos Fusion, la piattaforma di difesa informatica nativamente basata sull’IA, che include il servizio Managed Detection and Response (MDR). Fusion aggrega dati provenienti da più di 500 integrazioni di terze parti e dai prodotti proprietari Sophos. Questi sensori producono migliaia di miliardi di eventi al giorno, da cui emergono tra 1.000 e 2.000 casi giornalieri da investigare nei nove centri operativi di sicurezza di Sophos.

Gli agenti creati con Daybreak hanno rivoluzionato la gestione di questi casi. Per ogni caso, un agente di indagine raccoglie:

• Informazioni contestuali del cliente
• Rilevamenti e indicatori di compromissione (IoC)
• Intelligence sulle minacce correlate

Un modello di pianificazione avvia quindi un ciclo continuo di pianificazione, esecuzione e revisione. L’agente elabora un piano d’indagine, completa le azioni suggerite e produce una sintesi con le contromisure raccomandate, pronta per la revisione da parte degli analisti. Altri agenti possono eseguire direttamente alcune delle azioni di risposta.

Prima dell’introduzione di Daybreak, l’intero processo di indagine e risposta dipendeva quasi esclusivamente dalle competenze umane. La media era di circa 38 minuti per caso, un risultato già migliore del 96 % dei centri operativi di sicurezza professionali.

“Ora, grazie agli agenti che abbiamo potuto creare attraverso il programma Daybreak, il tempo medio di risposta per i casi gestiti con questi agenti è sceso a circa 89 secondi. Circa la metà dei casi di cui ci occupiamo viene ora gestita automaticamente dagli agenti che abbiamo sviluppato usando i modelli Daybreak.” – John Peterson

La valutazione umana rimane centrale

Sophos ha strutturato il servizio MDR in tre modalità operative, consentendo ai clienti di mantenere il controllo sui livelli di automazione:

• Notifica: Sophos indaga e raccomanda una risposta; è il cliente a intervenire.
• Collabora: Sophos e il cliente lavorano insieme prima di eseguire l’intervento.
• Autorizza: Sophos può intervenire direttamente per conto del cliente.

Le limitazioni tecniche e di responsabilità sono identiche per le azioni svolte da un operatore umano o da un agente IA. L’automazione permette di reagire in modo più tempestivo, ma le operazioni potenzialmente distruttive richiedono comunque una supervisione umana per garantire la correttezza e la sicurezza dell’intervento.

“Tutto ciò che non ci sentiamo di affidare a un agente viene rimesso alla valutazione di una persona.” – John Peterson

Risultati concreti

I dati raccolti dopo l’adozione di Daybreak evidenziano miglioramenti significativi:

• Il tempo medio di risposta è sceso da circa 38 minuti a 89 secondi.
• Sophos è ora in grado di risolvere il 52 % dei casi MDR interamente con l’IA, entro parametri definiti dagli analisti.
• I clienti beneficiano di indagini più rapide, uniformi e coerenti.
• La capacità di calcolo può crescere senza un corrispondente aumento del personale specializzato, una risorsa sempre più scarsa.
• Gli analisti possono concentrarsi su analisi di minacce avanzate, eccezioni e decisioni strategiche, piuttosto che su compiti ripetitivi.

I prossimi passi di Sophos

Peterson prevede un’espansione continua delle capacità degli agenti. “Le capacità di risposta diventeranno sempre più sofisticate e amplieremo la gamma di casi d’uso che affrontiamo con gli agenti che abbiamo creato.”

“Con programmi come Daybreak, abbiamo la possibilità di restare un passo avanti agli attaccanti.” – John Peterson

Il consiglio di Sophos ai responsabili della sicurezza è di tornare a concentrarsi sui fondamenti:

• Applicare tempestivamente le patch.
• Adottare un approccio di sicurezza a più livelli, includendo protezione endpoint, MFA, segmentazione di rete e attività operative solide.

Le vulnerabilità emergono a un ritmo allarmante e vengono sfruttate su scala senza precedenti. Per questo motivo, assicurare le basi della sicurezza è più importante che mai.