Negli ultimi dieci anni il settore della cybersecurity ha dedicato enormi risorse al potenziamento delle tecniche di rilevamento. Sono stati sviluppati modelli migliori. Sono stati ridotti i falsi positivi. Sono stati instradati gli alert in modo più intelligente. Ma il problema più ostico dei SOC non ha trovato soluzione. Non si tratta tanto di rilevare le minacce, quanto di riuscire a fare le opportune indagini. Oggi i team di security hanno a disposizione, infatti, molti più alert critici di quanti possano realisticamente controllare. Una capacità di analisi che, tra l’altro, diminuisce di notte, nei weekend e durante i picchi di attività, ossia quando gli aggressori sanno di poter colpire con una maggiore efficacia.
Nell’era della Frontier AI la situazione sta ulteriormente peggiorando. I modelli disponibili vengono utilizzati per trovare vulnerabilità nascoste, sofisticare gli attacchi e ridurre i tempi d’attacco. Questo significa che l’investigazione non può più procede alla velocità tipica dei tempi umani e sono necessarie soluzioni innovative capaci di cambiare completamente le regole del gioco.
Ogni alert deve essere investigato, subito.
Per rispondere a queste criticità SentinelOne ha rilasciato, Purple AI® Agentic Investigation che è disponibile direttamente all’interno della console Singularity™. La sua attivazione richiede un solo clic e, dal momento in cui un nuovo alert EDR viene classificato come ‘Critical’ e ‘Malicious’, Purple AI entra in azione, analizzando una serie di indicatori che isola dai rumori di fondo. Tutto questo è il risultato di oltre un decennio di modelli AI e ML applicati nativamente all’edge: dall’analisi comportamentale alla threat intelligence in tempo reale.
Il sistema raccoglie evidenze. Correla la telemetria proveniente da endpoint, identità, cloud e dati di terze parti. Ricostruisce la timeline dell’attacco e fornisce un verdetto: ‘Positivo’, ‘Falso Positivo’ o ‘Non noto’. L’intera catena delle evidenze arriva insieme al risultato, prima ancora che un analista debba aprire la console. Si chiama ‘zero-click’ investigation: è l’investigazione alla velocità delle macchine. Continua. Su larga scala. Integrata nei workflow esistenti.
Il vantaggio di una piattaforma nativa
Purple AI può condurre investigazioni a questo livello di profondità perché opera nativamente all’interno della Singularity Platform. Non sono necessarie integrazioni: funziona dove i dati di sicurezza risiedono già. Gli strumenti AI bolt-on, ossia aggiunti alle piattaforme, partono da una posizione di svantaggio: prima di ragionare, richiedono connettori, mappatura dei dati e integrazioni. Purple AI ragiona, invece, direttamente sulla telemetria già presente in Singularity: endpoint, identità, cloud e dati di terze parti all’interno del Singularity Data Lake. Non c’è niente da configurare.
Anche l’intelligence è diversa. Purple AI adotta un approccio multi-modello che mantiene i clienti all’avanguardia nelle capacità di ragionamento dalla Frontier AI. Nell’architettura rientrano modelli dei principali provider di questo tipo di AI, come Anthropic (Claude) e
OpenAI (GPT). C’è, poi, anche la famiglia di modelli proprietaria di SentinelOne, Ultraviolet, progettata sulla base di petabyte di telemetria reale proveniente da ambienti di sicurezza e addestrata per il reasoning investigativo dei SOC. Qui, il reasoning della Frontier AI si combina con la Autonomous Security Intelligence.
Autonomia, ma con responsabilità
Un’AI agentica senza guardrail definiti in modo chiaro rappresenta un rischio. SentinelOne, in qualità di azienda AI-first, lo sa bene. Per questo ha definito i limiti prima di tutto. Le investigazioni vengono eseguite autonomamente, ma la risposta rimane sotto controllo umano e il cliente decide fino a che punto mantenere questo tipo di intervento nel processo.
Ogni verdetto è collegato ad azioni di risposta attivabili con un clic o tramite policy all’interno di Singularity, inclusa l’esecuzione automatizzata, governata attraverso Hyperautomation, il livello di automazione dei workflow di SentinelOne. Nulla viene eseguito al di fuori dei guardrail definiti dall’utente. L’attivazione è controllata dagli amministratori e può essere revocata in qualsiasi momento. L’accesso è basato sui ruoli e ogni verdetto include una catena completa e verificabile delle evidenze. Non ci sono decisioni black-box. In altre parole, l’agentic SOC riconosce agli esseri umani il controllo, by design.
Singularity Credits
Con Agentic Investigation, SentinelOne ha introdotto Singularity Credits: una nuova valuta unificata per i workflow basati sull’AI all’interno della Singularity Platform. L’AI deve essere, infatti, accessibile e il suo utilizzo visibile, facendo rimanere la spesa nelle mani di chi ne definisce i limiti. I Credits sono stati progettati tenendo conto di tutti e tre questi principi. Al termine del periodo di prova, i Credits sono resi disponibili tramite partner, fatturazione diretta e canali eCommerce. Il loro saldo sarà visibile in tempo reale in modo che il consumo resti sempre entro i limiti stabiliti.
Agentic SOC, Autonomous SOC, AI SOC e ISOC
Ciò che SentinelOne sta offrendo oggi è reale, accessibile e gratuito per i prossimi mesi. Il settore ha dato a questo modello diversi nomi: Autonomous SOC, Agentic SOC, AI SOC. Gartner lo chiama Integrated Security Operations Center. In questo modello, rilevamento delle minacce, investigazione e risposta moderne diventano un ciclo continuo, guidato dall’AI, invece di restare funzioni separate. Non si tratta soltanto di risolvere la fatica legata alla gestione degli alert. Il nuovo modello ha tutto il potenziale per riuscire a colmare le attuali lacune nella capacità investigativa e ridurre il MTTR a una scala e a una velocità che per la cybersecurity saranno fondamentali nell’era della Frontier AI. L’azienda si è preparata da anni per questo momento.
