La costante pressione causata dal volume continuo di alert rappresenta una delle criticità storiche all’interno di un Security Operations Center (SOC).
Per comprendere se le tecnologie basate sull’intelligenza artificiale costituiscano un reale cambio di passo o una riproposizione di modelli già noti, è possibile fare riferimento ai dati e alle metodologie operative emersi in un’intervista rilasciata al podcast Hacker Valley Studio, condotto da Ron Eddings, in cui John Gillis, Staff Security AI Engineer presso Adobe, ha dettagliato la strategia e i risultati dell’architettura investigativa sviluppata internamente dall’azienda.
Indice degli argomenti
Dal SOAR all’AI SOC: il problema del limite procedurale nei Security Operations Center
Attorno al 2015, l’introduzione della categoria tecnologica del SOAR (Security Orchestration, Automation, and Response) venne presentata al settore come la svolta destinata a sollevare i team di sicurezza dal lavoro ripetitivo. Come evidenziato da Eddings, la promessa poggiava su tre pilastri operativi: l’orchestrazione per connettere strumenti isolati, l’automazione per eseguire passaggi ripetitivi senza l’intervento manuale e la risposta per attuare le misure di contenimento e bonifica.
Sebbene il SOAR abbia velocizzato il triage e automatizzato ricerche di routine come quelle su VirusTotal, il sistema ha mostrato nel tempo un confine strutturale non superabile. Il limite risiede nella dipendenza da playbook preconfigurati dai fornitori o scritti manualmente.
Come ha spiegato Eddings: «Nel momento esatto in cui un utente malintenzionato compiva qualcosa che non avevi inserito nello script dell’automazione, il processo semplicemente si arrestava. Veniva richiesto l’intervento di un operatore umano per analizzare la situazione». L’automazione tradizionale soffriva dell’incapacità di adattarsi e ragionare dinamicamente di fronte a vettori d’attacco inediti.
Questa criticità ha aperto il dibattito su quanto l’integrazione dell’intelligenza artificiale nello strutturato ecosistema del SOC rappresenti una reale discontinuità metodologica rispetto al passato o soltanto una versione aggiornata delle precedenti piattaforme automatizzate con una finestra di contesto più ampia.
La strategia “Humans First” nell’operatività del SOC di Adobe
La risposta alla necessità di evolvere l’efficienza investigativa parte da un principio metodologico definito “Humans First”. John Gillis ha chiarito che il valore primario degli strumenti avanzati non consiste nel sostituire l’analista, ma nel potenziarne le capacità speculative. Secondo Gillis: «I nostri analisti sono le persone in grado di proporre idee mai viste prima per addestrare l’AI. Lo scopo esclusivo dell’AI, in questo momento, è quello di spingere gli analisti umani a compiere l’impossibile».
Sul piano applicativo, il primo passo compiuto all’interno dell’infrastruttura aziendale è stato la creazione di un’interfaccia a riga di comando (CLI) per il sistema basato su intelligenza artificiale. Questa scelta consente all’operatore umano di intervenire in modalità human-in-the-loop o human-on-the-loop, riprendendo in qualunque momento l’attività svolta dall’agente per proseguire nell’analisi.
Specializzazione degli agenti e rigore nel context engineering
Un aspetto cruciale nell’ingegnerizzazione di questi sistemi riguarda la gestione del contesto e la specializzazione degli agenti. Gillis sottolinea come non sia strettamente necessario ricorrere a modelli di dimensioni enormi per condurre un’investigazione complessa, a patto che l’agente sia fortemente verticalizzato sul singolo compito. L’evoluzione delle metodologie da prompt engineering a context engineering, fino al loop engineering, punta a plasmare l’identità operativa dell’agente.
Inoltre, la gestione del contesto richiede un rigore estremo. Anche in presenza di finestre di contesto da un milione o dieci milioni di token, la disattenzione nell’uso dei dati d’ingresso può compromettere le prestazioni dell’intero sistema.
Come osservato da Gillis: «Quando riesci a padroneggiare davvero quel contesto e sei intenzionale su ogni singolo aspetto del modo in cui l’agente AI lo utilizza, l’intero sistema ne trae un beneficio enorme».
L’ingestione simultanea dei log per ottimizzare i tempi
Nella gestione del tempo, considerato da Eddings il nemico principale dell’analista insieme agli avversari informatici, l’obiettivo prioritario è stato l’elaborazione simultanea dei log.
L’infrastruttura è stata progettata per effettuare l’ingestione di molteplici livelli e sorgenti di log contemporaneamente, estraendo conclusioni e prove in tempo reale ed evitando che l’analista debba tracciare manualmente la sequenza degli eventi tra sistemi eterogenei.
Dall’architettura monolitica ai microservizi per agire nel SOC
Durante la fase di sviluppo della piattaforma per il SOC, la sovrapposizione delle funzionalità rischiava di generare un codice fragile e rigido. La tendenza a sovraccaricare il sistema con l’intelligenza artificiale ha mostrato che l’accumulo di moduli in un unico repository produceva una struttura assimilabile a un “mostro di Frankenstein”, difficile da aggiornare o migliorare.
Per superare questa fragilità, l’approccio ingegneristico è stato ripensato dividendo le responsabilità operative in microservizi specializzati. Ogni microservizio gestisce un compito ben definito e comunica con gli altri attraverso la propria documentazione. Questa scomposizione consente di attivare ed eseguire in parallelo fino a circa 30 agenti differenti su attività verticali, garantendo che ogni componente rimanga focalizzato su una nicchia specifica senza disperdere la capacità di elaborazione.
I risultati del SOC automatizzato con l’AI: il caso studio Adobe
L’ispirazione per l’architettura investigativa in-house è scaturita dall’osservazione delle dinamiche di una competizione Capture the Flag (CTF), in cui i problemi venivano risolti rapidamente fornendo all’intelligenza artificiale uno spazio di lavoro (workspace) da cui leggere i dati tramite terminale. La piattaforma così concepita è stata messa alla prova sul campo in occasione di un repentino incremento nelle segnalazioni di sicurezza inviate al team.
I dati prestazionali registrati durante le prime fasi di operatività della piattaforma evidenziano l’impatto quantitativo dell’automazione guidata da agenti nel moderno SOC:
- Oltre 140 rilevamenti elaborati e analizzati in sole 3 ore e 40 minuti.
- Tasso di successo qualitativo delle analisi prodotte compreso tra l’80% e l’85%.
Nonostante la velocità di elaborazione superiore rispetto a quella umana, Gillis precisa che lo strumento non sostituisce la memoria a lungo termine e l’esperienza pluriennale degli analisti senior nelle attività di threat hunting. L’intelligenza artificiale assorbe il carico di lavoro seriale che genera burnout, liberando risorse per l’intuito e la valutazione delle minacce inedite.
Nelle sue considerazioni conclusive, Eddings ha rimarcato la differenza di fondo tra l’automazione tradizionale e il nuovo paradigma: «Il SOAR poteva fare solo ciò che avevi inserito espressamente nei flussi d’automazione… Il sistema sviluppato da John è differente. Ha la capacità di ragionare attraverso le investigazioni. Non deve essere istruito esplicitamente su ogni singolo passaggio per gestire un’investigazione».
La struttura del SOC nei prossimi tre anni e l’impatto offline
Proiettando l’evoluzione dei sistemi di sicurezza su un orizzonte triennale, la configurazione dei Security Operations Center è destinata a subire una trasformazione progressiva a livello micro e macro. La tendenza vede la coesistenza di modelli proprietari a crescita parabolica e modelli open source coordinati secondo strutture gerarchiche.
Gillis ipotizza un’architettura in cui sistemi di intelligenza artificiale su scala macro supervisioneranno una rete di agenti di minori dimensioni e potenza, eseguiti direttamente su hardware locale aziendale. Il punto d’arrivo ideale di questo impianto infrastrutturale risiede nella capacità di operare in isolamento dalla rete esterna. Come dichiarato da Gillis: «L’idea brillante sarebbe: dovrei poter spegnere internet, ma con i miei agenti che continuano comunque a lavorare».
In quest’ottica, la scalabilità dell’analisi di sicurezza dipenderà dalla gestione efficiente delle risorse hardware e del consumo energetico, spostando la capacità di calcolo all’interno dei data center aziendali o direttamente sulle postazioni di lavoro.
Le competenze chiave per gli analisti del SOC nel 2026 e oltre
Il ridimensionamento delle mansioni di triage primario (Tier 1) impone una ridefinizione del percorso professionale dei tecnici operativi all’interno del SOC. Rispondendo a un quesito posto da Eddings sulle competenze fondamentali da acquisire per il 2026 e gli anni successivi, Gillis individua tre direttrici essenziali per chi lavora nella sicurezza:
- Imparare a individuare e vedere chiaramente i problemi.
- Diventare maestri nell’apprendimento assistito dall’intelligenza artificiale.
- Mettere in pratica le nozioni per sviluppare una mentalità ingegneristica orientata alla risoluzione dei problemi.
Secondo Gillis: «Devi essere in grado di imparare a individuare i problemi e diventare un maestro nell’apprendimento assistito dall’AI. Se porterai questa mentalità nella nuova era del mondo tecnologico, te la caverai decisamente bene». L’approccio suggerito richiama direttamente la mentalità originaria degli hacker, caratterizzata dalla curiosità e dall’ossessione per il problema anziché dal semplice utilizzo passivo degli strumenti tecnologici.
Partecipa alla community