Modelli AI per la cybersecurity: quali sono, quali scegliere

Un modello di intelligenza artificiale può scoprire una vulnerabilità nascosta nel codice, un secondo può verificare in laboratorio se sia realmente sfruttabile, un terzo può correlare gli allarmi di una rete aziendale. La cybersecurity sta diventando uno dei primi settori in cui la specializzazione dell’AI produce strumenti diversi per lavori diversi.

Non sorprende, dato che lo sviluppo codice è l’attività dove gli LLM riescono meglio e il nesso diretto tra sviluppo codice e cybersecurity.

La scelta di un modello cyber incide sul tempo necessario a correggere un software, sulle capacità di un centro operativo di sicurezza e anche su dove finiscono dati e sorgenti sensibili.

Google ha annunciato il 28 ottobre Gemini 4 Carbon, particolarmente potente nella ricerca e nella correzione delle falle. Ma è soltanto il tassello più recente di un’offerta ormai articolata: Google dispone anche di Gemini 3.8 Flash Cyber, OpenAI ha sviluppato GPT-5.6-Cyber e Codex Security, Anthropic propone Claude Mythos 5.1 e Claude Security, Cisco distribuisce un modello cyber di dimensioni contenute e fornitori come Microsoft e Trend Micro integrano l’AI nelle piattaforme di difesa. I sistemi condividono alcuni compiti, ma presentano differenze decisive di addestramento, strumenti, accesso e controllo operativo.

Modelli AI per la cybersecurity: differenze di funzione e disponibilità

Fonti: documentazione ufficiale di Google, Gemini 4 Carbon, OpenAI, Anthropic, Cisco, Microsoft e Trend Micro, ottobre 2026. Le funzioni descritte non implicano che le soluzioni siano direttamente confrontabili nei benchmark.

La prima distinzione riguarda ciò che significa «modello specializzato». Gemini 3.8 Flash Cyber e GPT-5.6-Cyber sono versioni adattate o addestrate per attività cyber; Claude Mythos 5.1 concentra capacità avanzate in un modello utilizzabile anche in altri domini; Gemini 4 Carbon è un modello di frontiera generalista che raggiunge risultati elevati nei test di sicurezza. Codex Security e Security Copilot sono invece prodotti che combinano modelli, accesso agli strumenti, contesto e interfacce. Confondere questi livelli porta a confrontare un motore con un’intera officina.

Modelli AI per la cyber, che cosa cambia rispetto agli scanner tradizionali

Uno scanner tradizionale può riconoscere librerie vulnerabili, configurazioni rischiose e flussi di dati sospetti attraverso regole e analisi strutturate. Alcuni strumenti ricostruiscono già percorsi di attacco complessi. La difficoltà cresce quando la falla dipende dal comportamento congiunto di più componenti e richiede prove successive. Si immagini un portale aziendale nel quale un utente autenticato possa accedere, attraverso una sequenza di richieste, ai documenti riservati di un altro cliente. Per individuare quel difetto serve ricostruire chi può fare cosa, quali controlli intervengono e come interagiscono le applicazioni.

I modelli moderni possono leggere porzioni estese del repository, formulare un’ipotesi sul percorso di attacco, utilizzare strumenti per provarla in un ambiente autorizzato e proporre la correzione. L’efficacia dipende anche da quanto l’agente conosce del software, dei permessi e dell’ambiente di esecuzione. Senza test riproducibili e verifica della patch, una spiegazione convincente resta un’ipotesi. Per questo la qualità del modello conta insieme ai connettori, alle sandbox, ai processi di approvazione e ai dati di contesto.

Google: Gemini 3.8 Flash Cyber per la scala, Carbon per i problemi difficili

Il caso Google mostra bene due strategie. Con Gemini 3.8 Flash Cyber, annunciato il 2 settembre, l’azienda ha pubblicato una versione del modello Flash sottoposta a post-addestramento specifico per la sicurezza informatica. La presentazione ufficiale descrive un sistema destinato alla scoperta di vulnerabilità e alla produzione di patch con un’attenzione particolare alla rapidità e al costo di iterazione. Google riporta risultati sui benchmark CyberGym e su test interni; fra questi, il team Chrome dichiara un numero di patch corrette 2,6 volte superiore rispetto al miglior modello commerciale di confronto. Sono misure del produttore, da verificare su carichi reali comparabili. La presentazione di Google spiega anche perché il modello è riservato a difensori affidabili.

La scheda di Google Cloud specifica che Flash Cyber è accessibile su approvazione tramite il programma Fairwind. Lo indica come generalmente disponibile per gli account ammessi, ma segnala l’assenza di funzioni native di function calling e di esecuzione del codice: chi vuole usarlo in un agente che testa e modifica software dovrà verificare come integrare gli strumenti esterni. È una differenza concreta rispetto a un servizio già dotato di flusso di scansione, validazione e revisione.

Con Gemini 4 Carbon, annunciato il 28 ottobre, Google punta invece su un modello di frontiera capace di affrontare compiti di ingegneria che durano anche giorni. Nei test pubblicati dalla società Carbon registra 88,2% su SEC-bench Pro per la ricerca di vulnerabilità, 54,8% su ExploitGym per la verifica dello sfruttamento e 71% su CWE-bench per le correzioni. Le tre metriche misurano prove distinte, non un tasso universale di successo in produzione. Anche Carbon entra inizialmente nelle mani di un gruppo selezionato di difensori. Google ha annunciato per il futuro un listino introduttivo di 2 dollari per milione di token in ingresso e 10 in uscita, ancora distinto da una disponibilità commerciale aperta.

Google distribuisce inoltre una variante di Gemini 4 Argon denominata Cyber Permissive, con controlli adatti a ricerche autorizzate su vulnerabilità ed exploit. La sua documentazione cloud indica un vincolo rilevante per l’Europa: per questa variante le regioni selezionabili sono global e us, mentre per Argon generale compare anche eu. Un CISO italiano deve verificare la localizzazione effettiva del trattamento prima di scegliere la variante cyber; il nome dello stesso modello e la presenza di una regione UE per la versione standard non bastano a garantire condizioni equivalenti.

OpenAI: GPT-5.6-Cyber è un modello, Codex Security è il flusso di lavoro

OpenAI separa altrettanto nettamente il modello dall’applicazione. GPT-5.6-Cyber, introdotto nell’agosto 2026, è addestrato per attività specialistiche come la scoperta di vulnerabilità sconosciute, la verifica di exploit e la costruzione di catene di attacco in contesti autorizzati. La documentazione distingue Daybreak Blue, rivolto ai lavori difensivi ordinari con modelli generalisti, da Daybreak Red, che richiede un’approvazione aggiuntiva per le capacità di ricerca offensiva controllata. GPT-5.6-Cyber è la versione con accesso più vincolato: la scheda del modello indica un prezzo API di 12,50 dollari per milione di token in ingresso e 75 in uscita, subordinato all’approvazione. La tabella ufficiale degli accessi chiarisce che Blue da solo non abilita i modelli cyber specializzati.

Per chi sviluppa software, la proposta immediatamente più concreta è Codex Security, in anteprima di ricerca per utenti ChatGPT Enterprise, Edu, Business e Pro. Collegandosi a un repository GitHub, il sistema ricostruisce il modello delle minacce dell’applicazione, analizza il codice, tenta di riprodurre le vulnerabilità in un ambiente isolato e prepara una patch per la revisione umana. La patch non viene applicata automaticamente. Per un team DevSecOps questo è un vantaggio operativo verificabile: il risultato entra nella normale gestione delle richieste di modifica, insieme alle prove e alle persone responsabili della pubblicazione.

OpenAI riferisce che tra il lancio della versione cloud e giugno Codex Security aveva analizzato oltre 30 milioni di commit su più di 30.000 basi di codice; oltre 70.000 segnalazioni erano state contrassegnate manualmente come corrette e più di 500.000 determinate automaticamente come risolte. Sono dati d’utilizzo dichiarati dall’azienda, non una misurazione indipendente del numero di vulnerabilità critiche eliminate. Nel comunicato del 22 giugno OpenAI riporta anche, per GPT-5.5-Cyber, un punteggio dell’85,6% su CyberGym contro l’81,8% del modello generale GPT-5.5: il confronto è utile perché avviene sullo stesso test, pur restando un risultato pubblicato dal produttore.

Anthropic: Claude Mythos e la ricerca sulle catene di attacco

Per Anthropic la distinzione più importante passa dalle capacità del modello al livello di autorizzazione. Claude Mythos 5.1, presentato a settembre, è destinato anche alla ricerca di sicurezza avanzata. Anthropic precisa che Mythos 5.1 e il modello generalmente disponibile Fable 5.1 condividono la stessa base, con salvaguardie differenti per le attività a doppio uso. La funzione di ricerca delle falle Claude Code Security, presentata a febbraio, offre analisi dei repository e proposte di patch sottoposte a revisione; Claude Security utilizza ora Mythos 5.1. Per gli utenti comuni, invece, alcune richieste di penetration test o generazione di exploit vengono bloccate o indirizzate verso modelli meno permissivi.

Il Cyber Verification Program comprende tre livelli. Il primo consente attività difensive e risposta agli incidenti; il secondo aggiunge red teaming e penetration test autorizzati; il terzo, riservato a un numero limitato di organizzazioni, copre test su sistemi particolarmente critici come reti elettriche, telecomunicazioni e infrastrutture finanziarie. Il tipo di lavoro e l’identità del soggetto richiedente determinano quindi le capacità concretamente disponibili. Per Mythos 5.1 Anthropic indica un prezzo iniziale da 10 dollari per milione di token in ingresso e 50 in uscita, con una politica standard di conservazione dei dati per 30 giorni a fini di monitoraggio della sicurezza e condizioni particolari per determinati programmi approvati.

La capacità di questi sistemi va compresa alla luce della ricerca pubblicata da Anthropic il 27 ottobre: un modello sperimentale interno non distribuito ha contribuito a costruire cinque catene di attacco su software reale, inclusi browser e sistemi operativi, nell’ambito di una ricerca con comunicazione coordinata delle vulnerabilità ai produttori. Sarebbe scorretto attribuire automaticamente queste prove a Mythos 5.1: l’azienda presenta un modello interno differente, senza identificarlo come una versione commerciale. La dimostrazione conferma però il rischio che accompagna l’accelerazione della ricerca automatizzata sulle falle.

Cisco: il valore di un modello cyber piccolo e installabile internamente

La quarta strada è rappresentata dai modelli open-weight, i cui pesi possono essere scaricati. Cisco ha pubblicato a gennaio Foundation-sec-8B-Reasoning, un modello da 8 miliardi di parametri progettato per collegare informazioni su minacce, configurazioni, permessi e sistemi. Può essere installato in sede, in un cloud privato o in laboratori senza connessione esterna, e offre una finestra di contesto di 32.000 token. Questo permette a un’organizzazione di tenere i dati in un ambiente sotto il proprio controllo, assumendosi però il lavoro di ospitare, aggiornare, monitorare e integrare il modello.

La specializzazione qui riguarda soprattutto il ragionamento sull’intelligence e sugli eventi di sicurezza, e non la generazione di catene di exploit complesse. Nel confronto pubblicato da Cisco, Foundation-sec-8B-Reasoning ottiene 0,753 sul test CTI-RCM contro 0,672 di GPT-5-Nano e 0,531 di Llama 3.1 8B. Ma su CTI-Reasoning GPT-5-Nano prevale per 0,431 a 0,411. Il vantaggio di un modello adattato a un dominio dipende dunque dal compito e dal metodo di prova: «specializzato» non significa vincente in ogni scenario.

Un modello da 8 miliardi di parametri installabile localmente è interessante, ad esempio, per un gestore di servizi essenziali che debba correlare dati di configurazione e incidenti all’interno di una rete riservata. Questo vantaggio di controllo non certifica la qualità della risposta in un test di intrusione: l’organizzazione dovrà valutare separatamente accuratezza, aggiornamento delle conoscenze, rischi di allucinazione e capacità di collegare i dati ai sistemi operativi. Inoltre open-weight indica la disponibilità dei pesi secondo una licenza, e non l’assenza di costi di implementazione o l’apertura di ogni componente del prodotto.

Microsoft e Trend Micro: l’AI che lavora sugli incidenti del SOC

La ricerca delle falle nel codice rappresenta soltanto una parte del lavoro dei responsabili della sicurezza. Un centro operativo di sicurezza (SOC) deve capire se una successione di eventi — un accesso da un paese insolito, una modifica di privilegi, un download massiccio — indichi davvero una compromissione. In questo caso conta soprattutto la capacità di collegare segnali provenienti da endpoint, identità, posta, cloud e reti, mantenendo traccia delle prove.

Microsoft Security Copilot nasce per questo impiego: combina modelli OpenAI ospitati in Azure con informazioni contestuali e collegamenti a Defender, Sentinel, Entra, Intune, Purview e prodotti di terzi. La documentazione di Microsoft chiarisce che il valore specifico della cybersecurity deriva in larga misura dai dati e dagli strumenti integrati durante l’uso, anziché dall’impiego di un singolo modello linguistico addestrato esclusivamente per la cyber. L’analista riceve ipotesi di indagine e spiegazioni legate alla telemetria dell’azienda.

Trend Cybertron segue un’impostazione di prodotto diversa: combina modelli linguistici cyber, informazioni sulle minacce, algoritmi e agenti dentro Trend Vision One per valutare l’esposizione, correlare eventi e suggerire risposte. Trend Micro precisa che Cybertron non si acquista come servizio separato dalla piattaforma. L’azienda ha rilasciato anche modelli e dati di ricerca con il nome Cybertron Primus, ma la versione di ricerca non contiene tutti i dataset e le componenti proprietarie impiegate nel prodotto commerciale. Un confronto con Security Copilot deve quindi misurare qualità e copertura delle integrazioni effettive, anziché cercare una classifica astratta dei rispettivi LLM.

I benchmark: perché i numeri di Google, OpenAI, Anthropic e Cisco non fanno una classifica unica

Le percentuali diffuse dai produttori sono importanti per individuare progressi e limiti, ma misurano lavori che richiedono competenze diverse. CyberGym valuta la ricerca di vulnerabilità, ExploitGym la convalida di exploit, CWE-bench la produzione di correzioni, mentre i test CTI usati da Cisco riguardano attività di analisi dell’intelligence e ragionamento. Anche quando il nome del benchmark coincide, modello, strumenti disponibili, filtri di sicurezza, tempo assegnato e scelta degli esempi possono cambiare.

Un acquisto aziendale ha bisogno perciò di una prova con un campione rappresentativo del software o degli incidenti da gestire. Nel lavoro sul codice, andrebbero misurati vulnerabilità confermate, falsi positivi, capacità di riprodurre il problema in sandbox, tempo fino a una patch verificata e regressioni introdotte. Per un SOC, il criterio dovrebbe spostarsi sul tempo di indagine, sul numero di alert effettivamente prioritizzati, sulla copertura delle fonti di telemetria e sulla possibilità di ricostruire perché l’agente ha suggerito un’azione. Confrontare solo i punteggi generali dei modelli farebbe perdere il risultato che interessa all’azienda.

Quale modello AI cyber scegliere in Italia: i vincoli che possono cambiare la decisione

Per un’azienda che sviluppa software e usa GitHub, Codex Security offre già un percorso di verifica e proposta di patch; per una realtà che vuole condurre ricerca cyber avanzata, i modelli Gemini Cyber, GPT-Cyber e Mythos richiedono invece accessi approvati e responsabilità definite. Per chi deve lavorare in un ambiente isolato, Cisco offre un’alternativa installabile localmente. Se il problema prioritario è l’indagine sugli incidenti, conta la scelta della piattaforma SOC e dei connettori disponibili: qui si collocano soprattutto Security Copilot e Cybertron.

Tre condizioni possono cambiare la convenienza anche quando un benchmark appare eccellente. La prima è l’accesso effettivo: una demo di ricerca o una lista di partner selezionati non garantisce disponibilità immediata. La seconda è la localizzazione e conservazione dei dati: oltre al caso della variante Argon Cyber Permissive, il programma Anthropic prevede condizioni specifiche di monitoraggio e conservazione. La terza è il costo complessivo: ai prezzi per token, quando pubblici, si aggiungono esecuzione dei test, integrazione degli strumenti, revisione umana e gestione dei falsi positivi. Una tariffa API più bassa non assicura un costo inferiore per vulnerabilità effettivamente corretta.

Resta poi la questione del controllo. Un agente che prova exploit o scrive patch deve operare su sistemi e repository espressamente autorizzati, con ambienti di test isolati, permessi limitati, registri verificabili e approvazione delle modifiche. La misura utile del progresso è il tempo che l’organizzazione riesce a togliere al percorso fra una falla scoperta e una correzione sicura distribuita. I modelli cyber stanno ampliando enormemente le possibilità di questo lavoro; la differenza fra i fornitori emergerà nella capacità di trasformarle in sicurezza operativa verificabile.