Il SOC autonomo non è più soltanto un esercizio di prospettiva tecnologica. Sta diventando un nuovo modello operativo per la cybersecurity e, soprattutto, una possibile leva di crescita per MSSP, service provider e partner di canale chiamati a gestire più clienti, più alert e superfici di attacco sempre più estese.
È in questo scenario che SentinelOne ha presentato a OneCon 2026 Singularity ASOC, una suite integrata progettata per combinare acquisizione dei dati in tempo reale, indagini condotte da agenti AI e risposta automatizzata.
L’obiettivo è ridurre il peso delle attività manuali nel Security Operations Center e consentire agli analisti di concentrarsi sulle decisioni a maggiore valore.
Alla base della nuova proposta c’è Purple Security Superintelligence, il sistema sviluppato da SentinelOne per automatizzare attività di rilevamento, indagine e blocco degli attacchi mantenendo comunque gli esperti umani al controllo delle decisioni più rilevanti.
Il SOC tradizionale non scala più
Il problema che SentinelOne prova ad affrontare è noto agli operatori della sicurezza: gli alert aumentano più rapidamente delle risorse disponibili per analizzarli.
La crescita della superficie di attacco, l’aumento dei dati da monitorare e l’utilizzo dell’AI agentica da parte degli aggressori stanno comprimendo ulteriormente i tempi di reazione. A questo si aggiunge un’infrastruttura spesso frammentata tra strumenti differenti, SIEM e SOAR legacy e processi ancora fortemente manuali.
Per un MSSP questo si traduce in una questione di scalabilità. Se ogni nuovo cliente comporta una crescita proporzionale delle attività manuali e delle risorse umane necessarie, il modello di business rischia di diventare difficile da sostenere.
La promessa del SOC autonomo è proprio quella di spezzare questa relazione, automatizzando una parte crescente del ciclo di rilevamento, indagine e risposta.
Purple porta l’AI agentica dentro le Security Operations
Purple Security Superintelligence è il motore su cui poggia Singularity ASOC.
Il sistema utilizza differenti modelli AI e assegna ogni attività al modello ritenuto più adeguato. I sistemi di AI comportamentale e statica operano direttamente su endpoint e workload, mentre modelli specializzati aggiungono contesto e capacità di ragionamento a livello aziendale.
SentinelOne punta in particolare su cinque elementi: velocità, scalabilità, contesto, memoria e accuratezza.
Le decisioni possono essere prese in millisecondi quando le policy consentono l’intervento locale, mentre ogni alert può essere analizzato anche durante la notte, nei weekend o nei periodi di picco.
Secondo i dati diffusi dall’azienda, Purple Agentic Investigation ha già completato oltre 400.000 indagini su alert critici, generando un risparmio stimato di circa 332.000 ore di lavoro degli analisti.
Per un provider di servizi gestiti questo dato assume un significato preciso: l’automazione può diventare uno strumento per aumentare il numero di incidenti gestibili senza aumentare nella stessa misura il numero delle persone impiegate.
Dall’indagine automatica alla risposta
Singularity ASOC riunisce diverse componenti della piattaforma SentinelOne.
Agentic Investigation analizza gli alert end-to-end, raccoglie le evidenze e arriva a una valutazione conclusiva, permettendo agli analisti di concentrarsi sulla verifica dei risultati invece di dover ricostruire manualmente ogni incidente.
Hyperautomation automatizza workflow e azioni di risposta, mentre AI SIEM utilizza l’intelligenza artificiale per individuare le minacce all’interno dei dati raccolti e supportare la gestione degli incidenti.
Le AI Data Pipelines, invece, hanno il compito di portare nel SOC dati provenienti da ambienti differenti, mentre le funzionalità di Threat Intelligence e gestione degli IOC consentono di inserire gli indicatori di compromissione direttamente nel processo investigativo.
Più dati, più integrazione, più spazio per il canale
Per system integrator e MSSP uno degli aspetti più interessanti riguarda l’apertura della piattaforma verso tecnologie di terze parti.
Le AI Data Pipelines offrono oltre 50 connettori pronti all’uso verso ambienti cloud, identity, email, networking, SaaS, piattaforme dati e soluzioni di vulnerability management.
L’ecosistema comprende servizi di AWS, Google Cloud e Microsoft, oltre a piattaforme di altri vendor di sicurezza.
La possibilità di raccogliere e correlare dati da ambienti eterogenei consente quindi al partner di costruire servizi SOC che non siano limitati a una singola tecnologia, ma che possano operare sull’intera infrastruttura del cliente.
È un passaggio importante perché sposta il valore dall’implementazione del prodotto alla capacità di orchestrare, integrare e governare la sicurezza.
Dal SOC come centro di costo al SOC come servizio
Per gli MSSP il tema è anche economico.
Un SOC più automatizzato può permettere di ridurre le attività ripetitive, ottimizzare l’utilizzo delle competenze e aumentare il numero di clienti gestibili dalla stessa struttura operativa.
In questa prospettiva, la tecnologia agentica può contribuire a rafforzare modelli basati su servizi ricorrenti, contratti MDR e offerte SOC-as-a-Service.
Gli analisti umani possono essere destinati maggiormente alle attività dove la competenza resta decisiva: threat hunting, incident response, interpretazione del rischio, definizione delle policy e relazione consulenziale con il cliente.
SentinelOne affianca infatti alla piattaforma anche i servizi MDR, threat hunting e incident response di Wayfinder, con supporto umano continuativo.
L’autonomia resta sotto controllo umano
La parola “autonomo” non significa però SOC senza persone.
SentinelOne sottolinea che gli analisti continuano a definire la missione del sistema, il livello di rischio accettabile e l’autorità concessa a Purple.
L’AI può apprendere dalle indagini e dalle correzioni effettuate dagli operatori, ma non può ampliare autonomamente i propri poteri. Anche il consumo delle funzionalità agentiche è regolato attraverso i Singularity Credits, sui quali gli amministratori possono impostare limiti e soglie operative.
“Il SOC autonomo non è più un’opzione facoltativa. Gli aggressori utilizzano l’AI per muoversi più velocemente di quanto qualsiasi processo gestito a velocità umana possa sostenere”, afferma Chris Corde, Chief Product Officer di SentinelOne.
Per gli MSSP cambia il modello operativo
La vera partita, quindi, non riguarda soltanto quanto l’intelligenza artificiale sarà capace di automatizzare il SOC.
Per il canale la questione diventa come utilizzare questa automazione per costruire servizi più scalabili, profittevoli e ricorrenti.
Il valore dell’MSSP si sposta progressivamente dal semplice monitoraggio degli alert alla capacità di governare una piattaforma complessa, integrare dati provenienti da ambienti diversi, definire policy, controllare l’automazione e intervenire dove il giudizio umano continua a essere indispensabile.
In questa prospettiva, Singularity ASOC rappresenta non soltanto una nuova piattaforma di cybersecurity, ma un ulteriore segnale di come AI agentica e automazione stiano ridisegnando il mercato dei servizi di sicurezza gestiti.
