Ogni fornitore di soluzioni di sicurezza vi parlerà dell'intelligenza artificiale presente nei propri prodotti. Molti meno vi racconteranno come i loro stessi dipendenti utilizzano l'AI: quali agenti operano nelle pipeline di sviluppo, a quali dati possono accedere e chi ha stabilito che ciò fosse accettabile. A nostro avviso, questa seconda conversazione è altrettanto importante. Quando scegliete un fornitore, non ereditate soltanto il suo software, ma anche il suo modo di giudicare i rischi. Per questo vogliamo spiegare come Sophos adotta l'intelligenza artificiale al proprio interno: come affrontiamo i rischi, come li governiamo e in quali ambiti stiamo ancora imparando.

Perché lavoriamo sulla frontiera dell'innovazione

Per un'azienda di cybersecurity sarebbe facile scegliere un approccio prudente: lasciare che siano gli altri a commettere gli errori e limitarsi a trarne insegnamento in seguito. Noi abbiamo deliberatamente scelto la strada opposta: per Sophos, il rischio maggiore è restare fermi. I nostri clienti stanno già implementando agenti AI nei loro ambienti di produzione. Se vogliamo continuare a proteggerli, dobbiamo comprendere i rischi in prima persona, possibilmente prima che siano loro a sperimentarli.

Utilizziamo l'intelligenza artificiale in ambienti di produzione perché non è possibile difendersi da ciò che non si è mai gestito direttamente. I percorsi di prompt injection, le chiamate a strumenti con privilegi eccessivi, le identità non umane che accumulano silenziosamente autorizzazioni: tutti questi aspetti diventano realmente comprensibili solo dopo aver impiegato agenti AI su attività reali, averli osservati fallire e aver analizzato tali fallimenti.

È per questo che testiamo gli strumenti agentici prima di tutto sulla nostra infrastruttura: abbiamo lasciato operare un framework di agenti autonomi all'interno della nostra rete interna per verificarne le capacità di accesso; abbiamo utilizzato modelli AI di ultima generazione per individuare vulnerabilità nei nostri prodotti prima che gli avversari potessero ottenere gli stessi vantaggi; abbiamo persino ripensato il concetto di bug bounty nell'era in cui è l'intelligenza artificiale a trovare i bug. Tutto ciò che impariamo migliora le capacità di rilevamento che offriamo ai clienti e orienta l'evoluzione della nostra roadmap di prodotto.

Questo vale per tutta l'azienda, ma ancora di più per il team di sicurezza. Se un team di cybersecurity non riesce a capire come adottare l'AI in modo sicuro e rapido, è difficile immaginare chi possa farlo. Un'organizzazione guidata da un CISO che vieta ciò che non comprende rischia, nel giro di pochi anni, di comprendere ben poco. E mentre è già in corso un'ondata di vulnerabilità accelerate dall'AI, saranno i difensori che avranno sviluppato questa competenza quelli in grado di affrontarla.

Come valutiamo il rischio: una bussola, non una checklist

Operare all'avanguardia senza criterio significa semplicemente essere irresponsabili. La nostra filosofia di gestione del rischio può essere riassunta in sei parole: assumere rischi più intelligenti, innovare più rapidamente, conquistare la fiducia.

Il principio fondamentale consiste nel distinguere tra rischi "buoni" e rischi "cattivi". I rischi buoni offrono benefici significativi, hanno un impatto potenziale circoscritto, prevedono una via di ritorno, un responsabile chiaramente identificato e un'ipotesi dalla quale possiamo realmente imparare. I rischi cattivi, invece, comportano danni potenzialmente illimitati, non prevedono un piano di recupero, hanno responsabilità poco chiare oppure eliminano il giudizio umano: modifiche automatizzate o effettuate da agenti AI che incidono direttamente sui clienti senza un'adeguata supervisione rappresentano un rischio inaccettabile, indipendentemente dai possibili benefici.

La maggior parte delle decisioni non si presenta chiaramente come appartenente a una categoria o all'altra. Per questo valutiamo ogni scelta attraverso una semplice bussola basata su due assi: beneficio potenziale (alto o basso) e impatto negativo (circoscritto o illimitato).

Figura 1: La bussola del rischio di Sophos

La realtà è che gran parte delle attuali iniziative basate sull'AI agentica si colloca inizialmente nel quadrante con alto potenziale e impatto negativo illimitato. La disciplina consiste nel ridurre progressivamente il raggio d'azione fino a spostarle verso scenari più controllati: accesso in sola lettura prima di consentire la scrittura, utilizzo interno prima dell'esposizione ai clienti, un singolo workflow prima di estendere l'adozione su larga scala. Il vero lavoro consiste nel ridurre il rischio, non nel bloccare l'innovazione.

Attorno a questa bussola ruotano cinque principi irrinunciabili: fiducia del cliente, sicurezza, protezione, privacy e stabilità operativa, con gli aspetti legali e di conformità integrati in ciascuno di essi. Essere inflessibili su questi principi è proprio ciò che ci consente di essere ambiziosi in tutto il resto.

Quando valutate l'approccio di un fornitore all'intelligenza artificiale, questa è la struttura che vale la pena cercare: un framework chiaro per decidere quando dire "sì", supportato da confini altrettanto espliciti che definiscono quando dire "no".

L'AI Safety Board: una governance al passo con l'adozione dell'AI

Un framework ha valore solo se permette realmente di prendere decisioni. I casi d'uso dell'intelligenza artificiale arrivavano più rapidamente di quanto qualsiasi processo tradizionale di governance fosse in grado di gestire, e raramente rientravano negli schemi tipici di una valutazione dei fornitori o di una revisione della sicurezza.

La nostra risposta è stata la creazione dell'AI Safety Board: un piccolo gruppo interdisciplinare composto da esperti di sicurezza, ingegneria, sviluppo prodotto, IT, ufficio legale, risorse umane e team a contatto con i clienti, presieduto da me nel ruolo di CISO.

L'obiettivo del Board è prendere decisioni. Si riunisce per trenta minuti al mese, mentre il lavoro vero e proprio si svolge in modalità asincrona. Il suo mandato consiste nel valutare rapidamente e in modo pragmatico nuovi strumenti AI, workflow agentici e rischi emergenti.

È importante sottolineare che il Board non sostituisce i tradizionali processi di valutazione dei fornitori o di revisione della sicurezza, ma si colloca a un livello superiore. I processi ordinari continuano a gestire i casi consolidati e ricorrenti. Quando emerge invece qualcosa di realmente nuovo o ambiguo — ad esempio un agente con privilegi insoliti o un caso d'uso senza precedenti — la questione viene sottoposta al Board, le cui decisioni vengono poi trasformate in linee guida operative aggiornate quasi in tempo reale.

La regola interna è semplice: se non sapete come utilizzare l'AI, utilizzate i canali esistenti; se non sapete se dovreste utilizzarla, rivolgetevi al Board.

Strumenti e casi d'uso vengono classificati in quattro categorie volutamente semplici: consentire, approfondire, tollerare o vietare, con revisioni continue sulla base dell'esperienza acquisita.

Quando il Board individua richieste ricorrenti, definisce policy che stabiliscono un principio generale invece di elencare singoli strumenti. La prima policy permanente ha riguardato i modelli AI eseguiti localmente: tutti quelli che rispettano il principio secondo cui i dati non lasciano il dispositivo non richiedono più una revisione di sicurezza individuale. L'introduzione di questa policy ha permesso di eliminare un'intera coda di richieste di valutazione.

Una governance che riduce il numero di revisioni necessarie viene percepita in modo molto diverso rispetto a una governance che continua semplicemente ad accumularle.

E, coerentemente con ciò che predichiamo, anche il Board stesso opera secondo un modello AI-Native. Un agente AI condiviso svolge il ruolo di supporto amministrativo: riassume le discussioni, tiene traccia delle attività, ricorda ai responsabili le azioni da svolgere, prepara gli ordini del giorno, redige bozze di policy e comunicazioni interne e segnala proattivamente casi interessanti provenienti dai processi di revisione insieme agli incidenti esterni più rilevanti.

Ogni contenuto destinato all'esterno viene comunque approvato da una persona: l'agente prepara la bozza, ma un membro umano del Board deve approvarla prima della pubblicazione. Le persone si concentrano sulle decisioni; l'agente gestisce la logistica.

È una dimostrazione concreta del modello operativo che chiediamo al resto dell'azienda di adottare.

La parte più difficile: i modelli di sicurezza sono ancora in evoluzione

Ed ecco l'aspetto che normalmente i fornitori non dichiarano apertamente: nessuno ha ancora definito completamente i modelli di sicurezza per l'intelligenza artificiale, noi compresi.

I team di sviluppo sono più avanti. Stanno emergendo metodologie consolidate per costruire applicazioni basate sull'AI. I team di sicurezza, invece, non dispongono ancora di un equivalente.

Come si esegue una revisione della sicurezza su un workflow agentico che cambia ogni settimana? Come si gestisce un incidente che coinvolge un agente compromesso? Come si monitora una moltitudine di identità non umane che non si limitano a suggerire azioni, ma le eseguono autonomamente?

Oggi queste domande trovano risposta soprattutto grazie all'esperienza e al giudizio umano, non attraverso procedure consolidate. Fingere il contrario non aiuta nessuno.

Ho affrontato una parte di questo problema nell'articolo Operating inside the lethal trifecta, spiegando come gli impieghi più efficaci degli agenti AI combinino dati privati, contenuti non affidabili e comunicazioni esterne: proprio la combinazione che rende particolarmente pericolosi gli attacchi di prompt injection. La disciplina pratica consiste quindi nel ridurre il raggio d'azione degli agenti piuttosto che cercare modelli teoricamente perfetti.

Internamente ciò significa trattare gli ambienti agentici come una superficie di attacco di primaria importanza, con governance centralizzata delle piattaforme AI, telemetria completa sulle attività degli agenti e sistemi di rilevamento progettati fin dall'inizio per identificarne comportamenti anomali.

Continueremo a condividere pubblicamente ciò che funziona e, altrettanto importante, ciò che non funziona.

Purtroppo, i nostri tentativi di definire misure tecniche di mitigazione hanno anche evidenziato quanto il problema sia complesso. Come ha scritto recentemente il nostro CEO Joe Levy parlando della cybersecurity poverty line, su circa 359 milioni di imprese nel mondo, meno di 35.000 dispiegano un CISO.

L'ingegnerizzazione necessaria per ridurre il raggio d'azione degli agenti AI, descritta nell'approccio della "trifecta letale", è esattamente il tipo di attività che le organizzazioni prive di un CISO o di una figura equivalente non sono in grado di sostenere.

Questa realtà influenza anche lo sviluppo dei nostri prodotti. Gran parte della filosofia alla base di Sophos Fusion consiste proprio nell'incorporare questo tipo di capacità decisionale direttamente nel sistema di difesa, affinché le organizzazioni che non possono affrontare tale complessità tecnica non siano costrette a scegliere tra vietare completamente l'AI o esporsi ai suoi rischi.

Ma questa è materia per un altro articolo.

Il punto centrale rimane: i modelli di sicurezza stanno prendendo forma e noi continueremo a condividere pubblicamente il modo in cui li stiamo sviluppando.

Cosa significa tutto questo se state valutando Sophos — o qualsiasi altro fornitore

Niente di quanto detto vuole sostenere che Sophos abbia già risolto tutte le sfide legate all'intelligenza artificiale. Significa piuttosto che le stiamo affrontando in modo deliberato, trasparente e anticipando le minacce, invece di inseguirle.

Se state valutando un qualsiasi fornitore — noi compresi — le domande più importanti sull'AI non riguardano il nome del modello utilizzato.

Chiedete chi decide quando un nuovo caso d'uso dell'intelligenza artificiale è accettabile e quanto tempo richiede tale decisione.

Chiedete quali attività non permettono mai all'AI di svolgere e se sono in grado di definire chiaramente questi limiti.

Chiedete quale esperimento basato sull'intelligenza artificiale è fallito e quali insegnamenti ne hanno tratto.

I fornitori che hanno affrontato seriamente questi temi tendono ad avere risposte precise. Chi si è limitato a vietare l'AI oppure, al contrario, a distribuirla senza controllo, spesso non le ha.

Abbiamo già scritto in passato dell'elevato costo della mancanza di fiducia, e questo articolo si inserisce nello stesso percorso: mostrare il nostro modo di lavorare, non soltanto le nostre conclusioni.

I rischi affrontati con intelligenza generano benefici che si accumulano nel tempo. Lo stesso vale per la fiducia. Entrambi si conquistano nello stesso modo: con consapevolezza, trasparenza e alla luce del sole.