L'adozione dell'intelligenza artificiale trasforma i flussi di allerta nei centri di sicurezza

Nei centri operativi di sicurezza delle grandi aziende è emersa una nuova categoria di avvisi generati dagli strumenti e dagli agenti di intelligenza artificiale. Questo fenomeno riguarda l'impatto dell'utilizzo quotidiano di tali tecnologie all'interno delle organizzazioni, distinguendo tra attività legittime e minacce reali.

L'analisi delle attività legate all'intelligenza artificiale in diversi ambienti aziendali ha evidenziato due dati fondamentali. Gli avvisi correlati all'intelligenza artificiale rappresentano attualmente lo 0,43% di tutti gli allarmi ricevuti dai centri di sicurezza. Questa percentuale è in costante aumento mensile, con una crescita del 685% registrata tra febbraio e giugno 2026. Sebbene la quota attuale sia ridotta, si tratta della porzione del flusso di allerte che cresce più rapidamente.

La composizione di questi avvisi è determinante per la valutazione del rischio. La maggior parte delle segnalazioni è classificata come rumore, ovvero attività legittime che attivano i sistemi di rilevamento. Il 94,1% delle allerte è considerato rumore, il 5,8% indica un rischio di sicurezza genuino e solo lo 0,02% corrisponde a veri e propri attacchi. Il costo principale per i team di sicurezza non risiede nelle violazioni dei dati, ma nella gestione di un volume crescente di avvisi che appaiono allarmanti ma raramente lo sono, oltre a una piccola serie di esposizioni reali che tendono a essere nascoste da questi falsi positivi.

L'adozione aziendale dell'intelligenza artificiale si manifesta in due modi distinti. Il primo aspetto riguarda gli sviluppatori che installano agenti di programmazione. Questi strumenti avviano shell, accedono a credenziali, aprono tunnel di rete e scaricano pacchetti. Queste azioni, pur essendo legittime, sono indistinguibili per i motori di rilevamento dalle fasi iniziali di un'intrusione. Il secondo aspetto coinvolge il personale non tecnico che concede consensi a applicazioni di terze parti o incolla documenti in strumenti generativi. Questa attività è meno visibile ai sistemi di rilevamento ma rappresenta il canale attraverso cui i dati lasciano l'organizzazione. Entrambi i flussi convergono nel centro di sicurezza, rendendo complessa la distinzione tra segnale e rumore.

Sul totale di circa 16,9 milioni di allerte esaminate, circa 73.000 erano legate all'intelligenza artificiale. La crescita è monotona, con un'accelerazione netta nel maggio 2026. La quota attuale deve essere considerata un minimo e non un massimo. I team che dimensionano le risorse in base al volume attuale rischieranno di essere sotto preparati entro un trimestre. La gestione automatizzata ha mostrato che solo il 5,4% delle allerte legate all'intelligenza artificiale è stato escalato a un analista umano, mentre il resto è stato segnalato per un follow-up.

Un esempio significativo riguarda un avviso di gravità critica che segnalava un binario Windows come strumento di trasferimento laterale. L'analisi ha rivelato che si trattava di un agente di programmazione che configurava un ambiente di lavoro, un comportamento normale per quel tipo di attività. Le etichette di gravità per le attività legate all'intelligenza artificiale devono essere lette con sospetto. Gli attacchi reali identificati non sono causati dagli agenti stessi, ma sfruttano la familiarità con i marchi di intelligenza artificiale. Sono state osservate campagne di phishing che utilizzano nomi noti del settore come esca, approfittando del fatto che i dipendenti si aspettano comunemente comunicazioni da questi prodotti.