Nell’attuale panorama della sicurezza informatica, siamo sommersi dai dati ma affamati di informazioni significative. L’IA tradizionale eccelle nel riconoscimento dei modelli (correlazione), ma in contesti di sicurezza ad alto rischio la correlazione rappresenta un ostacolo.
L’IA causale fornisce il “ragionamento” (il perché), mentre l’IA agente fornisce l’“esecuzione” (il come). Per costruire sistemi veramente resilienti, dobbiamo andare oltre la semplice previsione delle minacce e arrivare a comprendere i meccanismi causali che ne consentono la proliferazione.
1. L’esposizione del problema: la crisi di fiducia
I moderni centri operativi di sicurezza (SOC) devono affrontare un deficit fondamentale di fiducia. I modelli predittivi tradizionali segnalano spesso «anomalie» che sono semplicemente rumore, portando a una saturazione da allarmi.
- Il problema: i dati sono rumorosi, correlati e privi di etichette.
- La conseguenza: gli analisti faticano a distinguere tra un “evento correlato” (un utente che effettua l’accesso da un nuovo IP) e un “evento causale” (quell’accesso che innesca direttamente la fuga non autorizzata di dati).
- La soluzione: integrare l’IA causale per fornire una catena logica verificabile e comprensibile all’uomo per ogni azione automatizzata.
2. L’IA causale in azione: casi d’uso nella sicurezza informatica
Applicando modelli causali strutturali, le organizzazioni possono passare da una correzione reattiva a una resilienza proattiva.
- Catena causale della formazione di una violazione: invece di considerare una violazione come un singolo evento, l’IA causale mappa l’“effetto farfalla” di piccole modifiche alla configurazione e il modo in cui queste si concatenano per creare una vulnerabilità critica.
- Selezione ottimale dei controlli: se il budget consente un solo aggiornamento, l’IA causale può simulare il “calcolo delle conseguenze”: se implementiamo la microsegmentazione anziché il rilevamento e la risposta sugli endpoint, come cambia la probabilità causale del movimento laterale?
- Priorità delle vulnerabilità tramite il rischio causale: andare oltre il sistema statico di punteggio delle vulnerabilità (Common Vulnerability Scoring System). Utilizzare l’IA causale per dare priorità alle vulnerabilità in base alla loro effettiva “raggiungibilità causale” all’interno della propria specifica topologia di rete.
- Gemelli digitali per la simulazione dello stato di sicurezza: creare un “gemello digitale di sicurezza” per simulare scenari ipotetici. Ciò consente ai CISO di sottoporre a stress test le strategie di resilienza in un ambiente virtuale prima di implementarle in produzione.
3. Il quadro di riferimento della resilienza: ragionamento + esecuzione
La vera resilienza è la capacità di un sistema di mantenere lo stato e lo scopo durante un attacco. Proponiamo un’architettura a due livelli:
| Componente | Ruolo | Analogico |
| IA causale | Ragionamento e processo decisionale | Il cervello |
| IA agente | Esecuzione e Recovery | Le mani |
Il ciclo di feedback:
Quando un'IA agenziale esegue un'attività (ad esempio, isolare un server compromesso), l'IA causale monitora i log (Fase 4: Recovery). Se l’agente fallisce, l’IA causale analizza i dati di telemetria per determinare se si è trattato di un guasto sistemico o di una causa esterna (ad esempio: «L’agente non ha fallito; l’API di inventario ha restituito un valore nullo»).
4. Degrado graduale e livelli di fallback
La resilienza richiede di sapere quando fermarsi. Implementiamo «fallback causali» in modo che, se il ragionamento dell’IA diventa incerto, il sistema subisca un degrado in sicurezza anziché fallire in modo catastrofico.
Livello 1: Autonomia completa: l’IA causale conferma un elevato grado di confidenza nella causa principale; l’IA agente interviene per risolvere il problema.
Livello 2: Intervento umano potenziato: l’IA causale fornisce il “percorso di ragionamento” a un analista umano per un’approvazione rapida.
Livello 3: Modalità basata su regole: il sistema torna alla logica “causale Six Sigma” – un protocollo di sicurezza rigoroso e predefinito che privilegia il tempo di attività rispetto all’ottimizzazione.
Livello 4: Fail-closed: se l’integrità causale viene meno, il sistema isola i segmenti critici per impedire l’effetto farfalla di una violazione che si diffonde.
5. Impatto sul settore: oltre il SOC
- Sanità e Internet delle cose in ambito medico: l’IA causale è in grado di distinguere tra un monitor cardiaco malfunzionante (rumore sistemico) e un attacco mirato alla telemetria medica.
- Telecomunicazioni e 5G: gestire le complesse dipendenze causali del network slicing per verificare che una violazione in una slice a bassa sicurezza non possa influire causalmente sui servizi di emergenza.
6. Misurare il successo: i nuovi KPI
Il successo in un ambiente basato sull’IA causale si misura in base alla qualità delle decisioni, non solo alla quantità di minacce bloccate:
- Tempo medio per l’individuazione causale: la velocità con cui viene identificata la vera causa principale rispetto al sintomo iniziale.
- Efficacia dell’intervento: la percentuale di modifiche alla sicurezza che hanno portato alla riduzione del rischio prevista.
- Accuratezza controfattuale: grado di corrispondenza tra le simulazioni del gemello digitale e gli esiti reali degli incidenti.
Cosa ci aspetta
Il futuro della resilienza informatica non è solo un’IA più intelligente, ma un’IA più logica. Combinando la potenza esecutiva dei sistemi agenti con la profondità di ragionamento dell’IA causale, possiamo costruire architetture di sicurezza che non si limitano a sopravvivere agli attacchi, ma li comprendono. Vidya Shankaran è Field CTO presso Commvault. © 2025 Commvault. Per informazioni su marchi e brevetti, consultare www.commvault.com/IP.
