Cybersecurity, l’AI cambia la sfida tra aziende e cybercrime

L’intelligenza artificiale sta cambiando contemporaneamente i due fronti della cybersecurity.

Da una parte permette ai team di sicurezza di analizzare più rapidamente gli eventi, correlare segnali provenienti da fonti differenti e alleggerire il lavoro degli analisti.

Dall’altra mette nelle mani dei cybercriminali strumenti capaci di automatizzare attività che fino a pochi anni fa richiedevano tempo, competenze e risorse considerevoli.

È questa simmetria a rendere più complesso lo scenario.

Secondo i dati diffusi da Kaspersky, il 43% delle aziende ritiene che gli attaccanti siano già in grado di sfruttare nuove tecnologie come l’intelligenza artificiale per aumentare l’efficacia delle proprie operazioni.

Il 21% pensa addirittura che i criminali informatici siano in vantaggio nella corsa tecnologica rispetto a chi deve difendere sistemi, infrastrutture e dati.

Il punto, quindi, non è più stabilire se utilizzare o meno l’AI nella sicurezza informatica.

Per le imprese diventa piuttosto necessario capire come integrarla nei processi, evitando di trasformarla nell’ennesimo strumento isolato all’interno di infrastrutture già frammentate.

Phishing e malware diventano più veloci con l’AI

Sul fronte offensivo l’utilizzo dell’intelligenza artificiale non riguarda un’unica fase dell’attacco.

I criminali informatici stanno sperimentando l’AI generativa lungo buona parte della catena operativa: dalla costruzione delle esche di phishing alla generazione di codice malevolo, fino al perfezionamento dei payload e alla creazione di campagne di social engineering più credibili.

In ambito cybersecurity, il vero elemento di discontinuità è la capacità di scalare queste attività.

Operazioni che in passato richiedevano l’intervento di persone con competenze specifiche possono oggi essere replicate più rapidamente e a costi inferiori.

Nell’analisi della campagna RevengeHotels, rivolta alle aziende del settore alberghiero latinoamericano, il Global Research and Analysis Team di Kaspersky ha rilevato l’utilizzo di codice generato attraverso l’intelligenza artificiale nello sviluppo e nella distribuzione del malware.

Il fenomeno interessa anche il settore finanziario, dove l’AI viene utilizzata per costruire frodi più mirate, migliorare le tecniche di social engineering e analizzare il comportamento delle potenziali vittime.

Cambiano soprattutto velocità e scala dell’attacco: diminuisce il tempo che separa la ricognizione dalla compromissione e si restringe, di conseguenza, la finestra a disposizione dei difensori per individuare e bloccare un’attività anomala.

L’AI entra nel lavoro quotidiano dei SOC

La risposta dei security vendor passa inevitabilmente dalla stessa tecnologia.

L’intelligenza artificiale sta entrando nei processi di detection, investigation e response con l’obiettivo di trasformare grandi quantità di telemetria in indicazioni utilizzabili dagli analisti.

Uno degli esempi riguarda la correlazione comportamentale. Un sistema può costruire una baseline delle normali attività di login e segnalare automaticamente comportamenti anomali, evitando agli operatori di dover esaminare manualmente ogni singola voce di log.

Allo stesso modo, algoritmi basati sull’AI possono attribuire un livello di rischio agli asset sulla base della sequenza e del contesto degli eventi rilevati nell’intera infrastruttura.

L’intelligenza artificiale può inoltre sintetizzare un incidente, ricostruire la catena d’attacco, individuare il vettore iniziale e spiegare quanto avvenuto in un linguaggio più immediato.

Una funzione particolarmente rilevante per i SOC che devono gestire volumi crescenti di alert con risorse non altrettanto abbondanti.

Non sorprende quindi che, secondo un’indagine Kaspersky del 2025 citata nel documento, il 100% delle aziende che prevede di realizzare un SOC dichiari di volerlo potenziare con funzionalità di intelligenza artificiale. L’adozione, però, non elimina automaticamente i problemi organizzativi e tecnologici esistenti. Anzi, senza un’architettura adeguata può renderli ancora più evidenti.

Prima dell’intelligenza artificiale servono dati di qualità

La qualità dell’AI dipende innanzitutto dalla qualità delle informazioni che riceve. Un’infrastruttura composta da strumenti separati e fonti di dati non coordinate rischia di produrre una telemetria incoerente, riducendo l’efficacia della correlazione automatizzata.

Per Kaspersky, prima di introdurre nuove funzioni di intelligenza artificiale è quindi necessario lavorare sulla raccolta centralizzata dei dati provenienti da endpoint, identità, cloud e rete.

C’è poi una questione economica. Inserire singole funzioni di AI in uno stack già frammentato può aumentare i costi di integrazione, la complessità delle API e il lavoro necessario per mantenere e ottimizzare i modelli.

La valutazione di una soluzione, di conseguenza, non dovrebbe fermarsi al numero di funzionalità dichiarate dal vendor, ma misurare quanto la piattaforma riesca concretamente a consolidare la telemetria, ridurre i passaggi manuali e alleggerire il carico degli analisti.

Governance e integrazione diventano parte della cybersecurity

Accanto alla tecnologia emerge infine il tema della governance.

Integrare l’intelligenza artificiale nelle attività di sicurezza significa definire regole sull’utilizzo dei modelli, sulla supervisione umana e sulla gestione del rischio, tenendo conto anche di un quadro normativo in continua evoluzione.

Kaspersky, firmataria dell’AI Pact dell’Unione europea, indica tra le priorità la definizione di standard interni di governance, l’introduzione graduale delle tecnologie e l’utilizzo di parametri misurabili per valutarne l’effettivo impatto prima di procedere con implementazioni su larga scala.

Per il mercato della cybersecurity il messaggio è particolarmente rilevante anche in chiave di canale.

Reseller, system integrator e MSP saranno sempre più chiamati non soltanto a proporre nuove funzionalità basate sull’AI, ma ad aiutare le imprese a inserirle in architetture coerenti, consolidate e sostenibili dal punto di vista operativo.

La vera differenza rischia quindi di non essere determinata da chi dispone del maggior numero di strumenti “AI powered”, ma da chi riesce a integrarli meglio.

È su questo principio che Kaspersky costruisce anche la famiglia Kaspersky Next Expert, dove l’intelligenza artificiale viene inserita nelle fasi di rilevamento, indagine e risposta all’interno di una piattaforma unificata.

Per aziende e partner, dunque, l’AI non rappresenta semplicemente una nuova funzione da aggiungere alla cybersecurity.

Sta diventando una componente strutturale della difesa e, nello stesso momento, uno dei principali acceleratori a disposizione di chi attacca.

La partita si giocherà sempre di più sulla capacità di trasformare velocità, dati e automazione in un vantaggio operativo reale.