SentinelOne, Purple AI porta il SOC verso l’autonomia sicura

SentinelOne spinge il Security Operation Center verso un’autonomia più concreta, ma senza togliere all’uomo il controllo sulle decisioni più delicate.

L’azienda ha introdotto nella piattaforma Singularity un modello di risposta “closed-loop” che permette a Purple AI e Singularity Hyperautomation non soltanto di analizzare gli alert, ma anche di prendere decisioni e avviare autonomamente le azioni conseguenti.

Il punto centrale, tuttavia, non è fare più automazione. È stabilire con precisione dove l’intelligenza artificiale possa agire da sola e dove sia necessaria l’approvazione di un analista.

I team di sicurezza definiscono preventivamente criteri e limiti operativi, lasciando poi all’AI il compito di muoversi all’interno di questo perimetro.

Una distinzione importante in una fase nella quale il concetto di SOC autonomo sta rapidamente passando dalla sperimentazione all’impiego operativo.

SOC autonomo: SentinelOne supera i limiti dei playbook SOAR

L’automazione non è una novità nei Security Operation Center. Da anni le imprese cercano di utilizzarla per affrontare un problema strutturale: la quantità di dati e segnalazioni da verificare cresce molto più rapidamente delle risorse umane disponibili.

I tradizionali playbook SOAR hanno rappresentato una prima risposta, automatizzando sequenze di operazioni definite anticipatamente.

Il limite emerge però quando l’incidente reale esce dallo scenario previsto: una struttura decisionale rigida può funzionare bene finché gli eventi seguono il percorso immaginato, molto meno quando l’attacco prende una direzione differente.

È proprio su questo passaggio che SentinelOne interviene con Purple AI.

L’intelligenza artificiale può scegliere come procedere sulla base delle evidenze effettivamente emerse durante l’indagine, invece di limitarsi a eseguire un percorso stabilito mesi prima.

Il “closed-loop” nasce quindi dall’unione tra indagine, decisione ed esecuzione: l’AI non si ferma alla produzione di un risultato da sottoporre all’analista, ma può arrivare all’azione quando le regole definite dall’organizzazione lo consentono.

Purple AI gestisce oltre 8.500 indagini autonome al giorno

La tecnologia non è soltanto in fase sperimentale. Secondo i dati di SentinelOne, Purple AI Agentic Investigation è operativa negli ambienti dei clienti da giugno e gestisce ogni giorno oltre 8.500 indagini autonome considerate critiche.

Più di un terzo della base clienti potenziale la starebbe già utilizzando.

Nei clienti che hanno adottato la tecnologia, Purple AI riesce inoltre a indagare su un numero di alert quasi tre volte superiore rispetto a quelli che gli analisti riuscirebbero a gestire manualmente.

Il valore dell’automazione emerge soprattutto nella gestione della coda.

Alert che rischierebbero di rimanere in attesa possono essere analizzati dalla piattaforma, mentre le persone vengono concentrate sulle situazioni nelle quali esperienza, contesto e valutazione critica continuano a essere indispensabili.

Una logica particolarmente rilevante fuori dall’orario lavorativo. Chris Corde, Chief Product Officer di SentinelOne, sottolinea infatti come i tempi degli attacchi non seguano quelli delle organizzazioni.

In un solo fine settimana, riferisce l’azienda, Purple AI ha analizzato più di 5.000 alert critici relativi alla base clienti, completando ogni verifica nell’arco di pochi minuti.

AI e cybersecurity, il nodo diventa la governance

La velocità, da sola, non basta però a rendere credibile un SOC autonomo. Il passaggio più delicato riguarda la governance dell’intelligenza artificiale applicata alla cybersecurity.

Per SentinelOne, un’azione eseguita dall’AI deve poter essere vista, tracciata, verificata e, quando necessario, annullata dagli operatori che l’hanno autorizzata. È questo meccanismo che dovrebbe consentire alle imprese di spostare progressivamente attività verso l’automazione senza creare una sorta di “scatola nera” decisionale.

Non tutti i workflow devono quindi diventare autonomi. Il principio è piuttosto quello di intervenire manualmente nei passaggi nei quali una decisione può produrre conseguenze significative, lasciando procedere automaticamente le attività considerate compatibili con le policy definite dal team.

In questo scenario la governance dell’AI nel SOC smette di essere un livello burocratico aggiuntivo e diventa, al contrario, la condizione tecnica necessaria per ampliare il perimetro dell’automazione.

Singularity Hyperautomation integra indagine e risposta

Le nuove capacità vengono incorporate direttamente nei componenti della Singularity Platform, evitando secondo SentinelOne la necessità di introdurre strumenti separati o progetti di integrazione aggiuntivi.

Partendo da Purple AI Agentic Investigation, i workflow di Singularity Hyperautomation consentono di avviare un’indagine basata sull’AI in differenti momenti del processo, e non soltanto quando arriva la segnalazione iniziale.

Il report prodotto dall’indagine, comprese conclusioni ed evidenze, può essere riportato direttamente nella logica di automazione. Sono inoltre previste azioni LLM personalizzabili per interpretare i risultati e determinare quale sia il passaggio successivo più appropriato.

A questo si aggiungono gli snapshot di risposta convalidati, blocchi di azioni riutilizzabili che possono essere predisposti una volta dai team di sicurezza e successivamente richiamati nei diversi workflow.

Le funzionalità Hyperautomation annunciate da SentinelOne sono previste entro la fine del trimestre.

Il SOC del futuro sarà autonomo, ma non senza controllo umano

L’aspetto forse più interessante della strategia della società riguarda il cambio di prospettiva sul rapporto fra automazione e analista.

L’obiettivo non sembra essere quello di eliminare l’intervento umano dal Security Operation Center, quanto piuttosto di ridisegnare il punto nel quale l’uomo interviene.

L’AI assorbe le attività che richiedono velocità, capacità di analizzare grandi quantità di informazioni e continuità operativa; agli specialisti rimangono soprattutto le decisioni nelle quali il contesto e le conseguenze dell’azione richiedono una valutazione più sofisticata.

Per aziende, SOC provider e operatori che gestiscono infrastrutture di sicurezza per più clienti, questa evoluzione apre un tema rilevante: la capacità di scalare i servizi potrebbe dipendere sempre meno dal semplice aumento del numero degli analisti e sempre più dalla qualità delle regole di governance, dei workflow e dei livelli di autonomia assegnati all’intelligenza artificiale.

È qui che si giocherà probabilmente una parte importante della competizione nel mercato della cybersecurity.

Non sulla promessa di un SOC completamente automatico, ma sulla capacità di costruire un SOC nel quale macchina e analista sappiano esattamente quando agire e quando passarsi il controllo.