Agentic IA per la Cybersecurity: 10 Casi d'Uso ed Esempi
IA agentica si riferisce a sistemi di IA che combinano modelli come i modelli linguistici di grandi dimensioni (LLMs) con flussi di lavoro automatizzati, integrazione di strumenti e supporto decisionale. Questi sistemi assistono i team di sicurezza in SecOps e AppSec analizzando gli alert, automatizzando le attività di routine e supportando il lavoro investigativo.
Esplora casi d'uso strutturati e reali dell'IA agentica nella cybersecurity, nonché cosa fanno questi agenti, come funzionano e le loro limitazioni pratiche:
Esempi di agenti IA nella cybersecurity
- Agenti di livello 1
- Assistono nel rilevamento iniziale e nella classificazione degli alert.
- Eseguono la classificazione, deduplicazione e arricchimento degli alert.
- Forniscono contesto per consentire agli analisti di dare priorità alle minacce.
- Agenti di livello 2
- Eseguono azioni predefinite sotto supervisione umana.
- Attività di esempio: isolamento dei sistemi interessati, avvio del contenimento basato su playbook.
- Agenti di livello 3
- Supportano l'analisi avanzata delle minacce.
- Capacità di esempio: correlazione della telemetria tra i sistemi, assistenza alla caccia alle minacce, scansione delle vulnerabilità.
Agenti di livello 3 non sostituiscono gli analisti umani ma ne potenziano il flusso di lavoro.
IA agentica per i flussi di lavoro della cybersecurity
A differenza della semplice automazione basata su regole presente nei sistemi di sicurezza tradizionali, l'IA agentica può orchestrare più strumenti, integrare informazioni contestuali da diverse fonti e supportare il processo decisionale elaborando dati non strutturati. Tuttavia, questi sistemi operano con supervisione umana o politiche preconfigurate piuttosto che con apprendimento e controllo completamente autonomi negli ambienti di produzione.
L'IA agentica sfrutta la sua capacità di apprendere dinamicamente dal suo ambiente.1 Migliora le attività di cybersecurity attraverso:
- Monitoraggio continuo e gestione delle minacce in tempo reale
- Automatizzazione delle attività ripetitive del SOC con un intervento umano minimo
- Offerta di supporto decisionale contestuale
Architettura degli agenti IA integrati con l'Inferenza IA, per la loro interazione con LLMs e i dati aziendali per l'automazione del SOC:
Adattato da: Cloudera2
Capacità fondamentali degli strumenti di cybersecurity con IA agentica
Le principali capacità degli strumenti di cybersecurity con IA agentica includono:
- Triage intelligente e arricchimento degli alert: I sistemi agentici possono classificare e dare priorità agli alert, riducendo il rumore e aiutando gli analisti SOC a concentrarsi sulle minacce significative.
- Assistenza automatizzata alle indagini: Questi sistemi possono raccogliere informazioni contestuali (ad es. threat intelligence, correlazioni dei log) e riassumere i risultati per gli analisti umani.
- Contenimento ed esecuzione dei playbook: L'IA agentica può eseguire azioni di contenimento come mettere in quarantena un host o applicare restrizioni di accesso definite nei playbook automatizzati, soggette a governance e supervisione umana.
- Supporto alla caccia alle minacce: Assiste gli analisti correlando gli indicatori di compromissione (IOC) tra le fonti di dati e suggerendo ipotesi investigative, sebbene sia ancora necessaria una sostanziale interpretazione umana.
- Analisi e prioritizzazione delle vulnerabilità: I sistemi IA aiutano ad analizzare e valutare le vulnerabilità su larga scala per supportare la prioritizzazione delle risorse.
Flusso di lavoro di esempio: agente IA per il rilevamento delle vulnerabilità (Livello 1)
Nelle proof-of-concept di cybersecurity, sono stati implementati agenti IA per supportare i flussi di lavoro di scansione e triage delle vulnerabilità, interfacciandosi con APIs che forniscono dati sulle vulnerabilità e orchestrando attività come la creazione di ticket o la generazione di report.
Oltre ai sistemi aziendali come Dropzone IA, esistono anche implementazioni costruite a mano in cui gli agenti di livello 1 gestiscono il rilevamento iniziale e il triage delle potenziali minacce alla sicurezza.
Ecco una demo per la creazione di un agente di rilevamento automatico delle vulnerabilità nell'ambiente sandbox DevNet:
Architettura agentica utilizzata nella demo: L'agente si interfaccia con un'interfaccia front-end (come Streamlit UI) e un agente router (ACCS), inviando API REST e comandi in una direzione e ricevendo risposte, sia in JSON che in testo grezzo, nell'altra direzione.
Flusso di lavoro e interazioni tra gli agenti
1. Richiesta: L'utente inserisce un prompt, ad esempio “R1 è vulnerabile? Se sì, apri un problema in ServiceNow e invia un report al team di sicurezza a xyz@gmail.com.”
2. Elaborazione iniziale: L'agente riceve il prompt e analizza la richiesta. Identifica che il compito è verificare la vulnerabilità del Router 1 (R1), aprire un ticket di problema in ServiceNow e inviare un report via email all'indirizzo specificato.
3. Esecuzione della query: L'agente front-end (Streamlit UI) e l'agente router (ACCS) comunicano tra loro. L'agente router interroga il sistema per lo stato del Router 1, verificando la presenza di vulnerabilità. Determina dinamicamente i comandi necessari e li esegue (ad esempio, utilizzando il comando show version per recuperare i dettagli della versione).
4. Raccolta dati: L'agente router raccoglie i dati necessari, come la versione del Router 1, e invia questi dati all'API PSIRT per verificare eventuali vulnerabilità note associate a quella versione.
5. Rilevamento delle vulnerabilità: Il sistema interroga l'API PSIRT, riceve i risultati (in formato JSON o testo grezzo) ed elabora le informazioni. Identifica se sono presenti vulnerabilità ad alto rischio relative a to Router 1.
6. Esecuzione dell'azione: Se vengono rilevate vulnerabilità:
- Un ticket di problema viene automaticamente aperto in ServiceNow
- L'agente invia via email un report sulle vulnerabilità al team di sicurezza.
Visualizza il report via email sulle vulnerabilità generato dall'agente IA:
Casi d'uso reali: IA agentica in SecOps
1. Triage e indagine
- Gli agenti raggruppano gli alert, rimuovono i duplicati e arricchiscono gli alert con il contesto delle minacce.
- Esempio di arricchimento: controlli IOC, informazioni sugli endpoint e sugli account.
- Gli analisti umani esaminano comunque i risultati per evitare falsi positivi.
Esempio reale: agenti IA che sfruttano triage e indagine
Sfide: La configurazione di sicurezza iniziale di un'azienda assicurativa digitale richiedeva una gestione manuale degli alert, che era dispendiosa in termini di risorse.
- Elevato volume di alert di sicurezza
- Processi che richiedono molto tempo
- Necessità di monitoraggio continuo 24/7
Soluzioni: L'azienda ha implementato agenti IA per la cybersecurity e li ha integrati con sistemi esistenti come AWS, Google Workspace e Okta.
Conseguenze:
- Riduzione del carico manuale ha consentito agli analisti SOC di dare priorità ad attività di maggior valore.
- Report di indagine dettagliati hanno fornito un livello granulare di analisi, aumentando la visibilità degli IOC (indicatori di compromissione).
- Riduzione dei falsi positivi ha migliorato l'accuratezza nel rilevamento delle minacce.4
2. Supporto alla caccia alle minacce
L'IA agentica può essere utilizzata nei sistemi di cybersecurity per rilevare e rispondere alle minacce in tempo reale.
Ad esempio, questi agenti possono identificare comportamenti di rete insoliti e isolare autonomamente i dispositivi colpiti per prevenire una compromissione senza intervento umano.
- Gli agenti aiutano gli analisti a rilevare comportamenti di rete insoliti.
- Classificano gli alert in base a indicatori atomici, calcolati e comportamentali.
- Correlano gli indicatori tra dati storici e in tempo reale.
- Gli analisti interpretano i passaggi investigativi suggeriti; l'IA non sostituisce il giudizio degli esperti.
Caso di studio reale: agenti IA che sfruttano la caccia alle minacce
Sfide: La University of Kansas Health System aveva difficoltà nel coordinare la risposta agli incidenti; alcune delle sfide principali includono:
- Mancanza di visibilità
- Risposta agli incidenti limitata
- Vincoli di risorse dei dipendenti
Soluzioni: L'Università ha implementato una piattaforma di sicurezza con capacità di IA agentica per migliorare la visibilità e automatizzare la caccia alle minacce nella risposta agli incidenti.
Conseguenze:
- Visibilità sui sistemi aumentata di oltre il 98%
- La copertura del rilevamento è migliorata del 110% in sei mesi.
- I processi di risposta agli incidenti automatizzati hanno filtrato e risolto 74,826 dei 75,000 alert, inoltrando 174 per la revisione manuale.
- Veri positivi tra gli alert inoltrati hanno totalizzato 38, riducendo il rumore e consentendo risposte mirate.5
3. Azioni di risposta
Gli agenti possono generare template Infrastructure-as-Code (ad es. OpenTofu, Pulumi). Possono eseguire azioni sugli endpoint o aggiornare i controlli di sicurezza sotto supervisione umana.
Esempio reale: agenti IA che sfruttano le azioni di risposta
Sfide: APi Group, un'organizzazione di distribuzione, ha affrontato le seguenti sfide di cybersecurity:
- Stack tecnologici diversificati
- Visibilità sull'ecosistema
Soluzioni: Per affrontare le sfide di cui sopra, APi Group ha implementato la piattaforma di IA agentica di ReliaQuest per migliorare il rilevamento delle minacce per i suoi ambienti Microsoft.
Conseguenze:
- Tempi di risposta ridotti del 52% grazie all'automazione e ai playbook integrati.
- Ottenuto un aumento della visibilità del 47% sugli stack Microsoft 365, Cisco e Palo Alto.
- Ampliata la copertura MITRE ATT&CK del 275%.6
4. IA agentica come strumento per gli attaccanti
La maggior parte della copertura dell'IA agentica nella sicurezza si concentra sulla difesa, ma le stesse capacità sono ora documentate nelle operazioni offensive.
Esempio reale: GTG-1002
Nel novembre 2025, il team di threat intelligence di Anthropic ha riferito di aver interrotto quella che ha descritto come la prima campagna di spionaggio informatico orchestrata in gran parte in modo autonomo dall'IA, attribuita a un sospetto gruppo sponsorizzato dallo stato cinese tracciato come GTG-1002.7 La campagna ha comportato tentativi di intrusione quasi simultanei contro circa 30 obiettivi, tra cui aziende tecnologiche, istituti finanziari, produttori chimici e agenzie governative, con diverse compromissioni confermate prima che l'attività fosse interrotta.
Ciò che distingue questo attacco dai precedenti attacchi assistiti dall'IA è il grado di autonomia. Secondo il rapporto, l'attore della minaccia ha utilizzato uno strumento di codifica agentica per eseguire una stima dell'80–90% delle operazioni tattiche in modo indipendente, a tassi di richiesta non raggiungibili da operatori umani. L'IA ha gestito il lavoro lungo il ciclo di vita dell'intrusione:
- Ricognizione: enumerazione dei servizi interni all'interno delle reti bersaglio senza indicazioni umane passo-passo.
- Scoperta e sfruttamento delle vulnerabilità: identificazione dei punti deboli nei bersagli selezionati dall'uomo e sfruttamento in operazioni live.
- Post-sfruttamento: movimento laterale, raccolta di credenziali, analisi dei dati ed esfiltrazione.
Il rapporto ha anche evidenziato dei limiti. L'IA occasionalmente allucinava credenziali o dichiarava di avere accesso a informazioni pubbliche, il che è stato citato dagli autori come un ostacolo residuo ad attacchi completamente autonomi.
IA agentica e operazioni di sicurezza (SecOps) spiegate
Le operazioni di sicurezza (SecOps) sono un approccio collaborativo tra i team di sicurezza IT e di operazioni IT incentrato sull'identificazione, il rilevamento e la risposta proattiva alle minacce informatiche.
Il problema:
I SecOps affrontano una grave fatica poiché i team gestiscono enormi quantità di dati da sistemi diversi e minacce in rapida evoluzione, mentre navigano in strutture organizzative complesse e requisiti di conformità.
Come l'IA agentica aiuta:
L'IA è particolarmente efficace nei “compiti di ragionamento” come l'analisi degli alert, la conduzione di ricerche predittive e la sintesi dei dati provenienti dagli strumenti.
Pertanto, gli agenti IA in SecOps possono aiutare ad automatizzare compiti che richiedono analisi e decisioni in tempo reale, come phishing, malware, violazioni di credenziali, movimento laterale e risposta agli incidenti.
Ad esempio, questi strumenti possono essere addestrati sulle knowledge base MITRE ATT&CK per imitare l'esperienza degli analisti umani o utilizzare playbook di risposta agli incidenti per:
- arricchire gli alert
- rilevare i sistemi impattati
- isolare/classificare i sistemi infetti
- creare report sugli incidenti
Gli strumenti di cybersecurity con IA agentica, come Trase, possono automatizzare gran parte del lavoro di conformità per standard come SOC 2 e HIPAA.8
Fonte: SCALE9
Casi d'uso reali: IA agentica in AppSec
5. Identificazione dei rischi
L'IA agentica analizza continuamente l'ambiente per far emergere vulnerabilità nelle applicazioni e nei codebase attraverso la scoperta esterna e interna. Gli agenti IA possono eseguire la scoperta esterna e interna per identificare le minacce:
Scoperta esterna:
- archiviazione e classificazione dei dati sulle tue app e le APIs.
- scansione dei server web esposti.
- scoperta delle porte aperte sugli indirizzi IP esposti su Internet.
Scoperta interna:
- Valutazione delle configurazioni di runtime, identificazione dei problemi e prioritizzazione.
- Visualizzazione dell'accessibilità & funzionalità delle API
- Visualizzazione e utilizzo App-API
- Monitoraggio dei carichi di lavoro AWS senza agenti & Azure API
- Analisi del volume e dei pattern del traffico delle app
6. Creazione e adattamento dei test delle applicazioni
Gli agenti IA generano test automaticamente in base alle interazioni dell'utente con l'applicazione. Mentre i tester o gli sviluppatori utilizzano lo strumento per acquisire casi di test, l'IA monitora e crea script di test.
Se l'interfaccia utente dell'applicazione subisce modifiche (ad esempio, l'ID di un elemento cambia o il layout cambia), l'agente IA può identificare tali modifiche e personalizzare gli script di test per evitare errori.
7. Esecuzione dinamica dei test delle applicazioni
L'IA agentica esegue continuamente test in contesti vari (ad esempio, su più browser e dispositivi) senza interazione umana. Gli agenti IA possono pianificare test e analizzare il comportamento dell'applicazione in modo autonomo per garantire una copertura completa dei test.
Possono anche personalizzare dinamicamente i parametri di test, come la copia di diversi input di dati utente o la modifica delle condizioni di rete, per consentire un'analisi più approfondita dell'applicazione.
8. Reportistica autonoma e suggerimenti predittivi
Gli agenti IA possono esaminare autonomamente i dati dei test delle applicazioni, individuando i modelli di errore e determinandone le cause principali.
Ad esempio, se numerosi test falliscono a causa dello stesso problema, l'agente IA combinerà i risultati e segnalerà il problema sottostante al team di sviluppo.
Sulla base dei dati di test precedenti, gli agenti IA possono prevedere potenziali guasti futuri e raccomandare metodologie di test delle applicazioni per affrontare tali problemi.
9. Rimedio autonomo
L'IA agentica automatizza il processo di rimedio; ad esempio, se l'agente IA rileva che alcuni test sono ridondanti o non coprono adeguatamente rischi specifici, può ottimizzare la suite di test eliminando i test non correlati e dando priorità a quelli che si concentrano su aree più rilevanti.
L'agente IA può anche rilevare quando un test fallisce a causa di errori minori (come una piccola modifica dell'interfaccia utente) e “rimediare” lo script di test per conformarsi all'applicazione rivista, eliminando i falsi positivi e richiedendo meno coinvolgimento manuale.
10. Pentesting automatizzato
L'IA agentica automatizza il processo di penetration testing, inclusa l'identificazione delle vulnerabilità, la generazione di piani di attacco e l'esecuzione. Alcune pratiche chiave degli agenti IA nelle iniziative di pentesting includono:
Simulazione avversaria in tempo reale:
- Esecuzione di simulazioni come attacchi di rete, alle applicazioni e di ingegneria sociale.
- Esecuzione di test di penetrazione come DAST (test di sicurezza dinamico delle applicazioni).
Ricognizione:
- Scansione di Internet, inclusi il deep web, il dark web e il surface web, per rilevare risorse IT esposte (ad esempio, porte aperte, bucket cloud mal configurati).
- Integrazione di OSINT (intelligence open source) e threat intelligence per mappare le superfici di attacco.
IA agentica e sicurezza delle applicazioni (AppSec) spiegata
La sicurezza delle applicazioni implica la protezione delle app durante tutto il loro ciclo di vita, dalla progettazione e sviluppo fino alla distribuzione e alla manutenzione continua.
Il problema:
Poiché le applicazioni ospitate sono diventate sempre più importanti come fattori chiave di ricavo per le aziende su scala pubblica, lo è anche la loro sicurezza. Ciò ha creato tendenze recenti come:
- L'ampio utilizzo di applicazioni Cloud e SaaS ha spostato la sicurezza più a monte nel SDLC per ridurre al minimo i rischi prima che raggiungano la produzione.
- Con l'aumento della programmazione cloud-native, si è verificata una maggiore migrazione verso piattaforme di terze parti come AWS, quindi la superficie di attacco per le app diventa più esposta alle vulnerabilità.
Come risultato dell'aumento della superficie di attacco e del potenziale, gli attaccanti hanno sviluppato nuovi e ingegnosi metodi per compromettere le app.
Come l'IA agentica aiuta:
L'IA agentica può aiutare a migliorare l'AppSec integrando e automatizzando varie fasi del ciclo di vita delle applicazioni per migliorare la sicurezza, incluso il monitoraggio delle pipeline CI/CD o l'automazione del penetration testing.
Aggiungi come fonte preferitaSfide dell'IA agentica nella cybersecurity
1. Mancanza di trasparenza e interpretabilità
- Processo decisionale opaco: Le operazioni e i sistemi di sicurezza guidati dall'IA possono essere difficili da interpretare, soprattutto quando modificano autonomamente le politiche di sicurezza o le decisioni. Gli ingegneri dei test e gli sviluppatori potrebbero avere difficoltà a comprendere il motivo di determinate azioni o a confermare le decisioni dell'IA.
- Fiducia e affidabilità: Senza spiegazioni esplicite, potrebbe essere difficile per i team fidarsi delle raccomandazioni o delle revisioni dell'IA, portando a resistenze nell'implementazione di soluzioni di IA agentica.
2. Problemi di qualità dei dati
- Dipendenza dai dati: Gli agenti IA hanno bisogno di dati diversificati per imparare ad eseguire azioni in modo efficace. Dati insufficienti o distorti possono portare ad azioni errate o previsioni errate.
- Casi limite nelle configurazioni di sistema: Se l'infrastruttura IT di un'organizzazione include configurazioni personalizzate o combinazioni software rare, un agente IA potrebbe interpretare erroneamente comportamenti normali come anomalie o non riuscire a rilevare minacce autentiche.
3. Mantenimento dell'affidabilità
- Falsi positivi e negativi: L'IA agentica può classificare erroneamente i dati relativi a SecOps o AppSec, producendo falsi positivi (segnalazione di bug inesistenti) o falsi negativi (mancata rilevazione di problemi reali). Questi errori possono compromettere la fiducia nel sistema e richiedere un intervento manuale per convalidare i risultati.
- Problemi di adattabilità: Sebbene l'IA agentica sia progettata per adattarsi ai cambiamenti, alcuni cambiamenti complessi o imprevisti nell'applicazione (ad esempio, importanti riprogettazioni dell'interfaccia utente o modifiche all'architettura backend) possono comunque causare il fallimento delle operazioni di sicurezza, rendendo necessario l'intervento umano per aggiornare i modelli dell'IA.
4. Complessità dell'implementazione
- Difficoltà nel proteggere l'integrazione delle API: Gli agenti IA interagiscono frequentemente con sistemi esterni; pertanto, proteggere le API è fondamentale. La tokenizzazione e la validazione delle API sono tutte misure che aiutano a garantire un'interazione affidabile.
- Addestramento e implementazione: I modelli di IA agentica dovrebbero essere addestrati su grandi dataset e scenari diversificati per essere efficaci, il che può richiedere molte risorse e tempo.
5. Requisiti di supervisione umana
- Monitoraggio continuo: Sebbene l'IA agentica miri a ridurre il coinvolgimento umano, richiede comunque monitoraggio e manutenzione per garantire il corretto funzionamento. I team di sicurezza devono verificare i risultati dell'IA, regolare i modelli secondo necessità e intervenire quando l'IA incontra scenari complessi o imprevisti.
- Requisiti di personale altamente qualificato: La gestione dell'IA agentica richiede competenze in IA, machine learning o sicurezza delle applicazioni. Le organizzazioni potrebbero avere difficoltà a trovare o formare personale con le competenze richieste.
Considerazioni finali sull'IA agentica per la cybersecurity
L'IA agentica ha il potenziale per migliorare le operazioni di cybersecurity migliorando i tempi di risposta e alleviando il carico sui team di sicurezza.
Tuttavia, sfide come la mancanza di trasparenza, le preoccupazioni sulla qualità dei dati e i falsi positivi/negativi possono aumentare la difficoltà complessiva di implementare efficacemente soluzioni di IA agentica.
Un'implementazione di successo dell'IA agentica nelle operazioni richiede personale qualificato, monitoraggio e aggiornamenti continui, processi efficaci di convalida dei falsi positivi e attenzione ad altre sfide chiave.
Ulteriori letture
- Segnali di proliferazione degli agenti IA e checklist per gestirla
- Vulnerabilità degli agenti IA
- Panoramica dei principali 30+ agenti IA industriali da tenere d'occhio
- Trappole degli agenti IA: 20 incidenti reali
Cita questa ricerca
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{dilmegani2026,
author = {Dilmegani, Cem},
title = {{Agentic IA per la Cybersecurity: 10 Casi d'Uso ed Esempi}},
year = {2026},
month = may,
howpublished = {\url{https://aimultiple.com/agentic-ai-cybersecurity}},
note = {AIMultiple. Consultato il 20 Maggio 2026}
}Collegamenti di riferimento
Commenti 1
Condividi i tuoi pensieri
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.
Very insightful overview of how agentic AI is moving cybersecurity from reactive alerting to autonomous, intelligence-driven operations. The real-world SecOps and AppSec examples clearly show the value of AI agents in reducing noise, accelerating response, and scaling security—while also realistically highlighting the challenges around trust, data quality, and human oversight.