Certo, negli ultimi due anni i criminali informatici sembrano aver avuto un vantaggio nella corsa all’intelligenza artificiale, impiegando modelli linguistici di grandi dimensioni e chatbot in una valanga di attacchi di tipo “ ”, phishing e altri attacchi informatici; tuttavia, secondo gli esperti, tale vantaggio potrebbe essere in declino, poiché tali gruppi si trovano sempre più spesso a dover affrontare strumenti di sicurezza informatica basati sull’intelligenza artificiale in grado di Detect – e di sventare – tali minacce.
Grazie alla sua velocità e alla sua capacità di individuare schemi ricorrenti in grandi quantità di dati, l’intelligenza artificiale eccelle in particolare nell’individuazione delle frodi e nell’analisi dei sistemi alla ricerca di punti deboli. Ciò dovrebbe rappresentare un sollievo per coloro che hanno seguito con attenzione le attività delle bande di criminali informatici, alimentate dall’intelligenza artificiale.
Tra i recenti utilizzi dell’intelligenza artificiale da parte dei truffatori figurano:
- Proprio la scorsa settimana, in occasione della Conferenza sulla sicurezza informatica di Monaco, alcuni funzionari ucraini hanno avvertito che gli hacker russi stanno utilizzando modelli di apprendimento automatico per setacciare enormi quantità di contenuti sottratti da caselle di posta elettronica compromesse e, successivamente, ricorrendo all’intelligenza artificiale per elaborare campagne di phishing più credibili e personalizzate.
- Il mese scorso, Google ha annunciato di aver identificato 57 gruppi di minaccia legati a Russia, Cina, Iran e Corea del Nord che utilizzavano il proprio chatbot Gemini per condurre attività di ricognizione su esperti nel settore della difesa, risolvere problemi di codice e individuare nuovi modi per penetrare in profondità nelle reti prese di mira, avvalendosi di tecniche quali l’elusione dei sistemi di rilevamento e l’esfiltrazione di dati.
- Le bande di criminali informatici hanno inoltre sviluppato i propri modelli linguistici di grandi dimensioni , quali WormGPT, FraudGPT e GhostGPT, al fine di generare ondate di nuovi malware e truffe di phishing.
Ecco come alcune organizzazioni stanno reagendo:
- Mastercard ha utilizzato l’intelligenza artificiale per analizzare i dati relativi ai pagamenti di nove banche partner, consentendo un risparmio di oltre 35 miliardi di dollari in pagamenti fraudolenti nell’arco di tre anni.
- Amazon , che registra fino a 750 milioni di attacchi informatici ogni giorno, raccoglie tutti i dati relativi a tali incidenti in un database. Successivamente, ricorre all’apprendimento automatico per setacciare tutti i dati relativi a tali incidenti e individuare quelli che dovrebbero destare maggiore preoccupazione. Su questi dati esegue persino analisi predittive basate sull’intelligenza artificiale e sull’analisi predittiva per prevedere quali minacce assumeranno maggiore rilevanza in futuro.
- L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) utilizza l’intelligenza artificiale per Detect are e analizzare automaticamente potenziali minacce alle reti del governo degli Stati Uniti, segnalare attività insolite e individuare modelli ricorrenti in grandi quantità di dati.
- Anche Europol sta utilizzando l’intelligenza artificiale per le attività ripetitive, consentendo agli analisti umani di dedicare più tempo ad altre mansioni ed evitando loro un’eccessiva esposizione a materiale “raccapricciante”.
Man mano che il settore si evolve grazie alle nuove capacità dell’IA generativa, si prospetta anche la possibilità di tradurre le sue scoperte in risultati facilmente comprensibili. Ciò potrebbe significare sintetizzare una serie sconcertante di indicatori in un semplice riassunto testuale che risulti più comprensibile agli analisti della sicurezza, sempre molto impegnati. Potrebbe inoltre dialogare con tali analisti, rispondendo in modo fluido e intuitivo a domande formulate in linguaggio naturale relative ai propri risultati.
Queste nuove funzionalità offrono a ogni tipo di organizzazione un miglioramento delle prestazioni nella lotta contro gli intrusi digitali, afferma Mary Carmichael, membro del Gruppo di lavoro sulle tecnologie emergenti dell’ISACA ( Trends ) e presidente della sezione di Vancouver dell’ISACA. "L'apprendimento automatico tradizionale [una forma di intelligenza artificiale] ha ottenuto risultati piuttosto positivi in diversi ambiti della sicurezza informatica, offrendo miglioramenti rispetto ai sistemi più datati, basati su regole."
Di seguito illustriamo i principali casi d’uso in cui l’intelligenza artificiale e l’apprendimento automatico si stanno rivelando più promettenti.
Rilevamento: perché le reti neurali eccellono in questo campo
Il rilevamento è un ambito in cui l’apprendimento automatico ha dato buoni risultati, osserva Carmichael. Alcuni modelli identificano il malware analizzando i modelli presenti nei dati, mentre altri si concentrano sull’utilizzo di tali modelli per monitorare il comportamento della rete rispetto a un livello di riferimento dell’attività normale. Quando un comportamento si discosta in misura sufficiente dalla norma, viene segnalato.
«Il machine learning tradizionale ha ottenuto risultati piuttosto positivi in diversi ambiti della sicurezza informatica, offrendo miglioramenti rispetto ai sistemi più datati basati su regole.»Mary Carmichael, membro del Gruppo di lavoro “Emerging Trends ” dell’ISACA
Tale comportamento potrebbe essere dovuto al fatto che un computer sta scaricando un numero eccessivo di file da un indirizzo IP sconosciuto in un orario insolito della giornata. Un altro fattore scatenante potrebbe essere l’arrivo di un’e-mail destinata a un dipendente dell’azienda con accesso ai conti finanziari, ma che presenti caratteristiche sospette che un amministratore umano potrebbe non notare, quali una formulazione insolita e un mittente sconosciuto.
Questo tipo di monitoraggio e di analisi statistica richiede l’esame approfondito di grandi quantità di dati provenienti da varie fonti, spesso in tempo reale. È qualcosa che potrebbe fare un essere umano, ma ne occorrerebbero migliaia, impegnati instancabilmente a monitorare molteplici eventi correlati all’interno della vostra infrastruttura IT. Non è realistico.
Le reti neurali su cui si basa l’apprendimento automatico eccellono in questo campo, spiega Carmichael.
Mentre il software tradizionale elabora le singole fasi in sequenza, le reti neurali trasmettono interi flussi di dati complessi tra più livelli di neuroni. Si parte dai dati esistenti che gli operatori hanno classificato, ad esempio, come legittimi o dannosi. La rete si allena leggendo questi dati etichettati per formarsi un'idea di ciò che è legittimo e di ciò che non lo è.
La rete neurale addestrata utilizza quindi tali conoscenze per valutare nuovi dati, in un processo noto come “inferenza”. Costituisce la base per una vasta gamma di attività di apprendimento automatico, dal riconoscimento delle immagini alla rilevazione di attività dannose su una rete, dalla separazione dello spam dalle e-mail legittime al riconoscimento di transazioni finanziarie fraudolente.
Modellizzazione delle minacce: in che modo l’apprendimento automatico si adatta ai settori specifici
L’apprendimento automatico non solo contribuisce a Detect le minacce, ma consente anche di comprendere le minacce specifiche che un’organizzazione deve affrontare, spiega James Stanger, chief technology evangelist presso CompTIA. Una banca che gestisce numerosi sistemi amministrativi, ad esempio, dovrà affrontare tipi specifici di attacchi da parte di determinati gruppi che prendono di mira quel settore. Tali gruppi utilizzeranno tecniche studiate appositamente per sfruttare le vulnerabilità dell’infrastruttura di una banca, tecniche diverse, ad esempio, dal tipo di attacchi che altri gruppi potrebbero sferrare contro un’azienda del settore petrolifero e del gas.
«[L’utilizzo dell’IA per] la raccolta e l’analisi dei log consente di ridurre i tempi di risposta.»Curtis W. Dukes, vicepresidente esecutivo e direttore generale, Best Practice in materia di sicurezza, Center for Internet Security
Proprio come la formazione sulla sicurezza dei dipendenti dovrebbe essere specifica per il settore e per l’azienda, così dovrebbe essere anche la modellizzazione delle minacce. In questo ambito non c'è spazio per soluzioni valide per tutti.
La modellizzazione delle minacce è il processo volto a definire un quadro delle minacce a cui è esposta un’organizzazione, che può essere utilizzato per analizzare i rischi e stabilire le priorità degli investimenti in materia di sicurezza informatica. Tale processo, che prevede l’analisi di grandi quantità di dati provenienti da , dal threat hunting e da altre fonti, è essenziale per qualsiasi programma di sicurezza informatica. Inoltre, è lento e costoso.
"Negli ultimi due decenni siamo riusciti a creare modelli di minacce e attacchi pertinenti e accurati, ma il processo di elaborazione di tali modelli è stato, per la maggior parte, un processo manuale", afferma Stanger. La capacità dell’intelligenza artificiale di analizzare grandi quantità di dati e individuare modelli la rende una risorsa preziosa in questo contesto. "Se attuata correttamente, questa sarà un'evoluzione molto positiva", aggiunge.
Automazione: non è solo una questione di velocità
L’Institute for Security and Technology (IST), un think tank che si occupa di coniugare tecnologia e politiche per affrontare le sfide emergenti in materia di sicurezza, ha recentemente individuato il potenziale dell’intelligenza artificiale nel potenziamento delle operazioni di sicurezza informatica in un rapporto intitolato “ ” ( ), pubblicato lo scorso ottobre. L’automazione di attività semplici, quali l’analisi del traffico di rete e la classificazione dei file, può contribuire a liberare tempo per gli amministratori della sicurezza, ha affermato.
«I recenti progressi nella tecnologia dell’intelligenza artificiale offrono la possibilità di alterare radicalmente l’equilibrio tra attacco e difesa sfruttando il vantaggio di giocare in casa.»Le implicazioni dell’intelligenza artificiale nella sicurezza informatica: lo spostamento dell’equilibrio tra attacco e difesa, Istituto per la Sicurezza e la Tecnologia (ottobre 2024)
«[L’utilizzo dell’intelligenza artificiale per] la raccolta e l’analisi dei log consente di ridurre i tempi di risposta», concorda Curtis W. Dukes, vicepresidente esecutivo e direttore generale del settore delle migliori pratiche di sicurezza presso il Center for Internet Security. In qualità di direttore della sicurezza informatica presso l’Agenzia per la Sicurezza Nazionale, ha trascorso anni a gestire sistemi sensibili e comprende l’importanza di ottenere rapidamente informazioni utili dalla telemetria dei sistemi.
Oltre al risparmio di tempo, gli strumenti basati sull’intelligenza artificiale possono consentire una comprensione più accurata dell’ambiente di rete. «I recenti progressi nella tecnologia dell’intelligenza artificiale offrono la possibilità di alterare radicalmente l’equilibrio tra attacco e difesa sfruttando il vantaggio di giocare in casa», si legge nel rapporto dell’IST.
[Leggi anche: Orchestrazione e automazione su larga scala facili da realizzare]
Automatizzando gli inventari e gli audit di rete, nonché altre attività fondamentali quali la gestione delle patch o l’eliminazione dello “shadow IT”, i responsabili della sicurezza acquisiranno una comprensione della propria rete dall’interno ben superiore a quella che qualsiasi aggressore possa ottenere dall’esterno. Questo tipo di conoscenza e comprensione non potrà che migliorare le decisioni future, man mano che le minacce e le tecnologie ad esse associate si evolvono.
Gestione delle vulnerabilità: solo uno dei tanti modi in cui l’IA generativa sta rivoluzionando il settore
L’avvento della GenAI promette ulteriori miglioramenti. Tale tecnologia, rappresentata dai modelli di base che alimentano chatbot quali ChatGPT e Claude, si avvale di modelli linguistici di grandi dimensioni (LLM). Si basano sulle reti neurali, ma utilizzano nuovi algoritmi progettati per elaborare grandi quantità di testo. Sono in grado di analizzare con maggiore efficacia i contenuti creativi, inclusi testi, audio, video e persino il codice sorgente dei programmi. In questo modo potranno quindi produrre nuovi contenuti sulla base di tali informazioni.
[Legga anche: Che cos’è la gestione delle vulnerabilità dei dispositivi?]
I modelli di linguaggio di grandi dimensioni (LLM) hanno profonde implicazioni per la sicurezza informatica, in particolare per quanto riguarda la gestione delle vulnerabilità e. Il rapporto dell’IST evidenzia la possibilità di individuare alcuni dei bug che i criminali informatici sfruttano nei programmi per computer. In occasione della conferenza sulla sicurezza informatica DEFCON, organizzata dall’ agosto 2024 , tenutasi a Las Vegas, i semifinalisti dell’AI Cyber Challenge della DARPA ne hanno dimostrato il potenziale: hanno utilizzato i modelli di linguaggio di grandi dimensioni (LLM) per individuare 22 vulnerabilità nel codice sorgente, correggendone automaticamente 15 . Da parte sua, il team di sicurezza Project Zero di Google'ha utilizzato l’intelligenza artificiale per potenziare il “fuzzing”, un processo che consiste nel sommergere un sistema bersaglio di input al fine di individuare quello in grado di comprometterne la sicurezza. ha individuato un zero-day che utilizza questo metodo, in quella che ha definito una prima mondiale.
I successi di SOC: gli assistenti basati sull’intelligenza artificiale consentono di risparmiare tempo, eliminano le informazioni superflue e vi forniscono informazioni chiare e dirette
Questi sistemi possono inoltre contribuire a ridurre il carico di lavoro del personale di primo livello presso il centro operativo di sicurezza (SOC) dell’ , grazie alla creazione di flussi di lavoro più sofisticati, afferma Dominik Penner, ingegnere capo della sicurezza presso Mand Consulting, società di consulenza in materia di sicurezza informatica con sede a Toronto.
«La maggior parte delle organizzazioni interessate a implementare l’intelligenza artificiale all’interno di un SOC la utilizzerà per lo smistamento dei casi.»Jennifer Tang, collaboratrice per la sicurezza informatica e le tecnologie emergenti presso l’IST
"La registrazione dei dati e il monitoraggio non sono poi così complicati, ma quando si tratta di collegarli agli attacchi, occorre un po’ più di analisi", afferma. "C'è davvero troppo rumore. "Analizzare il tutto e individuare spunti e approfondimenti utili finisce per essere la parte più difficile."
L’apprendimento automatico eccelle nell’analisi dei dati, nella loro classificazione e nell’individuazione delle anomalie. "I modelli di linguaggio di grandi dimensioni (LLM) offrono quindi agli analisti SOC un modo più sofisticato per interrogare tali dati", afferma Jennifer Tang, collaboratrice per la sicurezza informatica e le tecnologie emergenti presso l’IST e coautrice del rapporto.""Ritengo che la maggior parte delle organizzazioni interessate a implementare l’intelligenza artificiale all’interno di un SOC la utilizzerà per lo smistamento", afferma. «[I modelli di linguaggio di grandi dimensioni (LLM) sono in grado di] fornire alle organizzazioni valutazioni sul significato degli avvisi e sulle azioni da intraprendere, utilizzando il linguaggio naturale.»
Questo tipo di comunicazione diretta è particolarmente importante in una situazione in cui il tempo è un fattore cruciale, come nel caso di un attacco informatico, quando la comunicazione è fondamentale e le azioni intraprese in diversi reparti (dall’IT ai social media) da parte di vari dipendenti con competenze di sicurezza molto diverse tra loro devono essere coordinate rapidamente.
Tali funzionalità stanno portando alla creazione di assistenti basati sull’intelligenza artificiale su misura per le operazioni di sicurezza informatica. Carmichael sottolinea la loro capacità di andare oltre il triage e di raccomandare misure correttive agli operatori SOC.
Una riflessione realistica: perché è ancora importante coinvolgere le persone
Il prossimo passo logico lungo questo percorso è un aspetto che l’IST ha evidenziato nel proprio rapporto: agenti autonomi che non solo raccomandino misure correttive per gli incidenti informatici, ma le attuino anche automaticamente.
«L’intelligenza artificiale supporta gli analisti meno esperti fornendo indicazioni e raccomandazioni, il che contribuisce al potenziamento delle competenze della forza lavoro e al miglioramento delle prestazioni complessive del team.»Mary Carmichael dell’ISACA
Immaginate un navigatore seduto sul sedile del passeggero che si sporge in avanti e prende il volante, ma invece di svoltare alla prossima a sinistra, potrebbe mettere in quarantena un segmento della rete, ridurre i permessi di accesso di un dipendente nella directory aziendale o aggiornare una regola del firewall per bloccare un determinato insieme di indirizzi IP.
Questo potrebbe rappresentare un passo troppo azzardato per le organizzazioni che stanno ancora sondando il terreno in materia di intelligenza artificiale. «Ciò che ci ha sempre frenato è il timore delle organizzazioni nei confronti dell’ignoto», afferma Dukes. "Non vogliono automatizzare determinati processi."
E va bene così. L'automazione varierà (e dovrebbe variare) da un'azienda all'altra. Nonostante i timori diffusi, gli osservatori del settore ritengono che vi siano almeno cinque ambiti chiave delle operazioni di sicurezza in cui gli esseri umani continueranno a rappresentare la risorsa fondamentale.
Tang prevede alcune questioni di governance, dato che le aziende stanno valutando la possibilità di cedere un maggiore controllo ad agenti autonomi basati sull’intelligenza artificiale. "Ritengo che sorgeranno problemi in materia di spiegabilità, conformità e attribuzione delle responsabilità", afferma. Un sistema automatizzato che compie un’azione dovrebbe spiegare il proprio ragionamento, ma i sistemi di intelligenza artificiale sono notoriamente incapaci di spiegare come siano giunti a una decisione.
[Leggi anche: Una corsa alla diffusione della GenAI? La sicurezza inizia con una buona governance]
La maggior parte delle organizzazioni preferirà mantenere un certo livello di supervisione umana piuttosto che consentire all’intelligenza artificiale di automatizzare tutte le misure di sicurezza informatica. Gartner raccomanda l’adozione di un approccio “ ” nell’implementazione dell’intelligenza artificiale, che consenta a qualsiasi organizzazione di regolare il livello di automazione in base alla propria propensione al rischio.
Sebbene la signora Tang affermi che i membri dei consigli di amministrazione di alcune aziende abbiano sollecitato l’adozione di un “SOC in a box” che utilizzi funzionalità di rilevamento e automazione end-to-end, ella non ritiene che il settore sia ancora pronto per tale soluzione. Molte organizzazioni con cui ha parlato si sono impegnate a coinvolgere sempre una persona nel processo e hanno persino reso obbligatori meccanismi di feedback per verificare costantemente i risultati ottenuti dall’intelligenza artificiale. Di conseguenza, ritiene che il futuro – almeno per il momento – sarà incentrato sulla sicurezza informatica assistita dall’intelligenza artificiale piuttosto che su quella gestita dall’intelligenza artificiale.
Gli assistenti basati sull’intelligenza artificiale che si limitano a fornire consigli anziché agire in prima persona garantiscono comunque un ritorno sull’investimento. "L'intelligenza artificiale supporta gli analisti meno esperti fornendo loro indicazioni e raccomandazioni, il che contribuisce al potenziamento delle competenze della forza lavoro e al miglioramento delle prestazioni complessive del team", afferma Carmichael dell'ISACA. Di fronte a una tecnologia in rapida evoluzione e dirompente come l’intelligenza artificiale, le aziende potrebbero voler procedere con calma e cautela prima di lanciarsi in una corsa sfrenata.
