Nell’attuale panorama della sicurezza informatica, siamo sommersi dai dati ma affamati di informazioni significative. L’IA tradizionale eccelle nel riconoscimento dei modelli (correlazione), ma in contesti di sicurezza ad alto rischio la correlazione rappresenta un ostacolo.
L’IA causale fornisce il «ragionamento» (il perché), mentre l’IA agentica fornisce l’«esecuzione» (il come). Per costruire sistemi veramente resilienti, dobbiamo andare oltre la semplice previsione delle minacce e arrivare a comprendere i meccanismi causali che ne consentono il proliferare.
1. L’esposizione del problema: la crisi di fiducia
I moderni centri operativi di sicurezza (SOC) devono affrontare un fondamentale deficit di fiducia. I modelli predittivi tradizionali spesso segnalano «anomalie» che sono semplicemente rumore, portando a una saturazione da allarmi.
- The problem: Data is noisy, un-correlated, and lacks labels.
- La conseguenza: gli analisti hanno difficoltà a distinguere tra un “evento correlato” (un utente che effettua l’accesso da un nuovo indirizzo IP) e un “evento causale” (quell’accesso che determina direttamente l’uscita non autorizzata di dati).
- La soluzione: integrare l’IA causale per fornire una catena logica verificabile e comprensibile all’uomo per ogni azione automatizzata.
2. L’IA causale in azione: casi d’uso nella sicurezza informatica
Applicando modelli causali strutturali, le organizzazioni possono passare da una correzione reattiva a una resilienza proattiva.
- Catena causale alla base della formazione di una vulnerabilità: anziché considerare una vulnerabilità come un singolo evento, l’IA causale mappa l’“effetto farfalla” di piccole modifiche alla configurazione e il modo in cui queste si concatenano fino a creare una vulnerabilità critica.
- Scelta del controllo ottimale: se il budget consente un solo aggiornamento, l’IA causale può simulare il “do-calculus”: se implementiamo la microsegmentazione anziché il rilevamento e la risposta degli endpoint, come cambia la probabilità causale del movimento laterale?
- Priorizzazione delle vulnerabilità tramite il rischio causale: vai oltre il sistema statico Common Vulnerability Scoring System. Utilizza l’intelligenza artificiale causale per classificare le vulnerabilità in base alla loro effettiva “raggiungibilità causale” all’interno della tua specifica topologia di rete.
- Gemelli digitali per la simulazione di scenari: creare un “gemello digitale di sicurezza” per simulare interventi ipotetici. Ciò consente ai CISO di sottoporre a stress test le strategie di resilienza in un ambiente virtuale prima di implementarle in produzione.
:
create un “gemello digitale di sicurezza” per eseguire scenari ipotetici. Ciò consente ai CISO di sottoporre a stress test le strategie di resilienza in un ambiente virtuale prima di implementarle in produzione.
| Componente | Ruolo | Analogico |
| IA causale | Analogico | IA causale |
| IA agente | Il cervello | IA agente |
Esecuzione e Recovery
If an agent fails, causal AI analyzes the telemetry to determine if it was a systemic failure or an external cause (e.g., “The agent didn’t fail; the inventory API returned a null value”).
Il ciclo di feedback:
La resilienza richiede di sapere quando fermarsi. Implementiamo dei “fallback causali” in modo che, qualora il ragionamento dell’IA diventi incerto, il sistema subisca un degrado in sicurezza anziché fallire in modo catastrofico.
Livello 1: Autonomia completa: l’IA causale conferma un elevato grado di affidabilità nella causa principale; l’IA agentica interviene per risolvere il problema.
Livello 2: Intervento umano potenziato: l’IA causale fornisce il “percorso di ragionamento” a un analista umano per una rapida approvazione.
Livello 3: Modalità basata su regole: il sistema torna alla logica del “Six Sigma causale” — un protocollo di sicurezza rigoroso e predefinito che privilegia il tempo di funzionamento rispetto all’ottimizzazione.
Livello 4: Fail-closed: se l’integrità causale viene meno, il sistema isola i segmenti critici per impedire l’effetto farfalla di una violazione che si diffonde.
Livello 4: Fail-closed:
- Sanità e Internet delle cose in ambito medico: l’intelligenza artificiale causale è in grado di distinguere tra un malfunzionamento del monitor cardiaco (rumore sistemico) e un attacco mirato alla telemetria medica.
- Telecomunicazioni e 5G: Gestire le complesse dipendenze causali del network slicing per verificare che una violazione in una slice a basso livello di sicurezza non possa avere un impatto causale sui servizi di emergenza.
Telecomunicazioni e 5G:
Gestire le complesse dipendenze causali del network slicing per verificare che una violazione in una slice a bassa sicurezza non possa influire causalmente sui servizi di emergenza.
- Tempo medio necessario per individuare la causa: la velocità con cui viene identificata la vera causa alla base del problema rispetto al sintomo iniziale.
- Efficacia dell’intervento: la percentuale di modifiche alla sicurezza che hanno portato alla riduzione del rischio prevista.
- Accuratezza controfattuale: il grado di corrispondenza tra le simulazioni del gemello digitale e gli esiti reali degli incidenti.
Accuratezza controfattuale:
grado di corrispondenza tra le simulazioni del gemello digitale e gli esiti reali degli incidenti.Vidya Shankaran is Field CTO at Commvault.
© 2025 Commvault. Seeè Field CTO presso Commvault.© 2025 Commvault. Per informazioni su marchi e brevetti, consultare www.commvault.com/IP.
