Agentic IA per la Cybersecurity: 10 Casi d'Uso ed Esempi
L'Agentic IA si riferisce a sistemi di intelligenza artificiale che combinano modelli come i large language model (LLM) con flussi di lavoro automatizzati, integrazione di strumenti e supporto decisionale. Questi sistemi assistono i team di sicurezza in ambito SecOps e AppSec analizzando gli alert, automatizzando le attività ripetitive e supportando il lavoro investigativo.
Esplora casi d'uso strutturati e reali di Agentic IA nella cybersecurity, nonché cosa fanno questi agenti, come funzionano e i loro limiti pratici:
Esempi di agenti IA nella cybersecurity
- Agenti di Livello 1
- Assistono nel rilevamento iniziale e nel triage degli alert.
- Eseguono classificazione, deduplica e arricchimento degli alert.
- Forniscono contesto agli analisti per prioritizzare le minacce.
- Agenti di Livello 2
- Eseguono azioni predefinite sotto supervisione umana.
- Esempi di attività: isolamento dei sistemi compromessi, avvio di contenimento guidato da playbook.
- Agenti di Livello 3
- Supportano l'analisi avanzata delle minacce.
- Capacità tipiche: correlazione della telemetria tra i sistemi, supporto alla threat hunting, scansione delle vulnerabilità.
Gli agenti di Livello 3 non sostituiscono gli analisti umani, ma potenziano il loro flusso di lavoro.
Agentic IA per i flussi di lavoro nella cybersecurity
A differenza della semplice automazione basata su regole presente nei sistemi di sicurezza tradizionali, l'Agentic IA è in grado di orchestrare più strumenti, integrare informazioni contestuali da fonti eterogenee e supportare il processo decisionale elaborando dati non strutturati. Tuttavia, questi sistemi operano con supervisione umana o policy preconfigurate piuttosto che con apprendimento e controllo completamente autonomi negli ambienti di produzione.
L'Agentic IA sfrutta la sua capacità di apprendere dinamicamente dal proprio ambiente.1 Potenzia le attività di cybersecurity attraverso:
- Monitoraggio continuo e gestione delle minacce in tempo reale
- Automazione delle attività ripetitive del SOC con un intervento umano minimo
- Supporto decisionale contestuale
Architettura degli Agenti IA integrati con IA Inference, per la loro interazione con LLM e dati aziendali per l'automazione del SOC:
Adattato da: Cloudera2
Capacità principali degli strumenti di Agentic IA per la cybersecurity
Le principali capacità degli strumenti di Agentic IA per la cybersecurity includono:
- Triage e arricchimento intelligente degli alert: I sistemi agentic possono classificare e prioritizzare gli alert, riducendo il rumore e aiutando gli analisti SOC a concentrarsi sulle minacce significative.
- Assistenza investigativa automatizzata: Questi sistemi possono raccogliere informazioni contestuali (ad es., threat intelligence, correlazioni di log) e riepilogare i risultati per gli analisti umani.
- Contenimento ed esecuzione di playbook: L'Agentic IA può eseguire azioni di contenimento come la quarantena di un host o l'applicazione di restrizioni di accesso definite nei playbook automatizzati, nel rispetto della governance e della supervisione umana.
- Supporto alla threat hunting: Assistono gli analisti correlando gli indicatori di compromissione (IOC) tra le fonti di dati e suggerendo ipotesi investigative, sebbene rimanga necessaria una sostanziale interpretazione umana.
- Analisi e prioritizzazione delle vulnerabilità: I sistemi IA aiutano ad analizzare e classificare le vulnerabilità su larga scala per supportare la prioritizzazione delle risorse.
Esempio di flusso di lavoro: agente IA per il rilevamento delle vulnerabilità (Livello 1)
Nelle proof-of-concept di cybersecurity, gli agenti IA sono stati implementati per supportare i flussi di lavoro di scansione e triage delle vulnerabilità, interfacciandosi con API che forniscono dati sulle vulnerabilità e orchestrando attività come la creazione di ticket o la generazione di report.
Oltre ai sistemi enterprise come Dropzone IA, esistono anche implementazioni sviluppate manualmente in cui gli agenti di Livello 1 gestiscono il rilevamento iniziale e il triage di potenziali minacce alla sicurezza.
Ecco una demo per la creazione di un agente automatizzato di rilevamento delle vulnerabilità nell'ambiente sandbox DevNet:
Architettura agentic utilizzata nella demo: L'agente si interfaccia con un'interfaccia front-end (come Streamlit UI) e un agente router (ACCS), inviando API REST e comandi in una direzione e ricevendo risposte, in formato JSON o testo semplice, nell'altra direzione.
Flusso di lavoro e interazioni dell'agente
1. Prompting: L'utente inserisce un prompt, ad esempio "Il Router R1 è vulnerabile? Se sì, apri un problema in ServiceNow e invia un report via email al team di sicurezza a xyz@gmail.com."
2. Elaborazione iniziale: L'agente riceve il prompt e analizza la richiesta. Identifica che il compito è verificare la vulnerabilità del Router 1 (R1), aprire un ticket di problema in ServiceNow e inviare un report via email all'indirizzo specificato.
3. Esecuzione della query: L'agente front-end (Streamlit UI) e l'agente router (ACCS) comunicano tra loro. L'agente router interroga il sistema per lo stato del Router 1, verificando la presenza di vulnerabilità. Determina dinamicamente i comandi necessari e li esegue (ad esempio, utilizzando il comando show version per recuperare i dettagli della versione).
4. Raccolta dati: L'agente router raccoglie i dati necessari, come la versione del Router 1, e invia questi dati all'API PSIRT per verificare eventuali vulnerabilità note associate a quella versione.
5. Rilevamento delle vulnerabilità: Il sistema interroga l'API PSIRT, riceve i risultati (in formato JSON o testo semplice) ed elabora le informazioni. Identifica se sono presenti vulnerabilità ad alto rischio relative to Router 1.
6. Esecuzione delle azioni: Se vengono rilevate vulnerabilità:
- Un ticket di problema viene aperto automaticamente in ServiceNow
- L'agente invia un report sulle vulnerabilità via email al team di sicurezza.
Guarda il report email sulle vulnerabilità generato dall'agente IA:
Casi d'uso reali: Agentic IA nel SecOps
1. Triage e indagine
- Gli agenti raggruppano gli alert, rimuovono i duplicati e arricchiscono gli alert con il contesto delle minacce.
- Esempio di arricchimento: controlli IOC, informazioni su endpoint e account.
- Gli analisti umani esaminano comunque i risultati per evitare falsi positivi.
Esempio reale: agenti IA che sfruttano triage e indagine
Sfide: La configurazione di sicurezza iniziale di una compagnia assicurativa digitale richiedeva una gestione manuale degli alert, con un elevato impiego di risorse.
- Elevato volume di alert di sicurezza
- Processi dispendiosi in termini di tempo
- Necessità di monitoraggio continuo 24/7
Soluzioni: L'azienda ha implementato agenti IA per la cybersecurity e ha integrato questi agenti con i sistemi esistenti come AWS, Google Workspace e Okta.
Risultati:
- La riduzione del carico manuale ha permesso agli analisti SOC di prioritizzare attività a maggior valore.
- Report investigativi dettagliati hanno fornito un livello granulare di analisi, aumentando la visibilità sugli IOC (indicatori di compromissione).
- La riduzione dei falsi positivi ha migliorato l'accuratezza nel rilevamento delle minacce.4
2. Supporto alla threat hunting
L'Agentic IA può essere utilizzata nei sistemi di cybersecurity per rilevare e rispondere alle minacce in tempo reale.
Ad esempio, questi agenti possono identificare comportamenti di rete insoliti e isolare autonomamente i dispositivi compromessi per prevenire una compromissione senza intervento umano.
- Gli agenti aiutano gli analisti a rilevare comportamenti di rete insoliti.
- Categorizzano gli alert in base a indicatori atomici, computazionali e comportamentali.
- Correlano gli indicatori tra dati storici e in tempo reale.
- Gli analisti interpretano i passaggi investigativi suggeriti; l'IA non sostituisce il giudizio esperto.
Caso di studio reale: agenti IA che sfruttano la threat hunting
Sfide: Il Sistema Sanitario dell'Università del Kansas aveva difficoltà nel coordinare la risposta agli incidenti. Alcune delle sfide principali includevano:
- Mancanza di visibilità
- Risposta agli incidenti limitata
- Vincoli di risorse del personale
Soluzioni: L'Università ha implementato una piattaforma di sicurezza con capacità di Agentic IA per migliorare la visibilità e automatizzare la threat hunting nella risposta agli incidenti.
Risultati:
- La visibilità tra i sistemi è aumentata di oltre il 98%
- La copertura di rilevamento è migliorata del 110% in sei mesi.
- I processi automatizzati di risposta agli incidenti hanno filtrato e risolto 74.826 su 75.000 alert, inoltrandone 174 per la revisione manuale.
- I veri positivi tra gli alert inoltrati sono stati 38, riducendo il rumore e consentendo risposte mirate.5
3. Azioni di risposta
Gli agenti possono generare template infrastructure-as-code (ad es., OpenTofu, Pulumi). Possono eseguire azioni sugli endpoint o aggiornare i controlli di sicurezza sotto supervisione umana.
Esempio reale: agenti IA che sfruttano le azioni di risposta
Sfide: APi Group, un'organizzazione di distribuzione, ha affrontato le seguenti sfide di cybersecurity:
- Stack tecnologici eterogenei
- Visibilità nell'ecosistema
Soluzioni: Per affrontare le sfide sopra descritte, APi Group ha implementato la piattaforma di Agentic IA di ReliaQuest per migliorare il rilevamento delle minacce nei suoi ambienti Microsoft.
Risultati:
- Tempi di risposta ridotti del 52% grazie all'automazione e ai playbook integrati.
- Ottenuto un aumento della visibilità del 47% negli stack Microsoft 365, Cisco e Palo Alto.
- Ampliata la copertura MITRE ATT&CK del 275%.6
4. L'Agentic IA come strumento offensivo
La maggior parte della copertura dell'Agentic IA nella sicurezza si concentra sulla difesa, ma le stesse capacità sono ora documentate nelle operazioni offensive.
Esempio reale: GTG-1002
Nel novembre 2025, il team di threat intelligence di Anthropic ha riferito di aver interrotto quella che ha descritto come la prima campagna di cyber-spionaggio in gran parte orchestrata autonomamente dall'IA, attribuita a un presunto gruppo sponsorizzato dallo stato cinese tracciato come GTG-1002.7 La campagna ha coinvolto tentativi di intrusione quasi simultanei contro circa 30 obiettivi, tra cui aziende tecnologiche, istituzioni finanziarie, produttori chimici e agenzie governative, con diverse compromissioni confermate prima che l'attività venisse fermata.
Ciò che distingue questo caso dai precedenti attacchi assistiti dall'IA è il grado di autonomia. Secondo il rapporto, l'attore della minaccia ha utilizzato uno strumento di codifica agentic per eseguire circa l'80–90% delle operazioni tattiche in modo indipendente, con tassi di richiesta non raggiungibili da operatori umani. L'IA ha gestito il lavoro lungo l'intero ciclo di vita dell'intrusione:
- Ricognizione: enumerazione dei servizi interni all'interno delle reti target senza istruzioni umane passo-passo.
- Scoperta e sfruttamento delle vulnerabilità: identificazione dei punti deboli negli obiettivi selezionati dagli umani e loro sfruttamento in operazioni reali.
- Post-sfruttamento: movimento laterale, raccolta di credenziali, analisi dei dati ed esfiltrazione.
Il rapporto ha anche evidenziato dei limiti. L'IA occasionalmente allucinava credenziali o dichiarava di avere accesso a informazioni pubbliche, cosa che gli autori hanno citato come un ostacolo residuo ad attacchi completamente autonomi.
Agentic IA e operazioni di sicurezza (SecOps) spiegate
Le operazioni di sicurezza (SecOps) sono un approccio collaborativo tra i team di sicurezza IT e operazioni IT focalizzato sull'identificazione, il rilevamento e la risposta proattiva alle minacce informatiche.
Il problema:
I team SecOps affrontano un grave affaticamento poiché devono gestire enormi quantità di dati provenienti da sistemi eterogenei e minacce in rapida evoluzione, mentre navigano in strutture organizzative complesse e requisiti di conformità.
Come l'Agentic IA aiuta:
L'IA è particolarmente efficace nelle "attività di ragionamento" come l'analisi degli alert, la conduzione di ricerche predittive e la sintesi dei dati provenienti da vari strumenti.
Pertanto, gli agenti IA nel SecOps possono aiutare ad automatizzare le attività che richiedono analisi e processo decisionale in tempo reale, come phishing, malware, violazioni di credenziali, movimento laterale e risposta agli incidenti.
Ad esempio, questi strumenti possono essere addestrati sulle basi di conoscenza MITRE ATT&CK per emulare l'esperienza degli analisti umani o utilizzare i playbook di risposta agli incidenti per:
- arricchire gli alert
- rilevare i sistemi compromessi
- isolare/sottoporre a triage i sistemi infetti
- creare report sugli incidenti
Gli strumenti di Agentic IA per la cybersecurity, come Trase, possono automatizzare gran parte del lavoro di conformità per standard come SOC 2 e HIPAA.8
Fonte: SCALE9
Casi d'uso reali: Agentic IA nell'AppSec
5. Identificazione dei rischi
L'Agentic IA analizza continuamente l'ambiente per far emergere vulnerabilità nelle applicazioni e nei codebase attraverso la scoperta esterna e interna. Gli agenti IA possono eseguire la scoperta esterna e interna per identificare le minacce:
Scoperta esterna:
- archiviazione e classificazione dei dati sulle tue app e API.
- scansione dei server web esposti.
- scoperta di porte aperte su indirizzi IP rivolti a Internet.
Scoperta interna:
- Valutazione delle configurazioni di runtime, identificazione dei problemi e prioritizzazione.
- Visualizzazione dell'accessibilità e funzionalità delle API
- Visualizzazione e utilizzo app-API
- Monitoraggio agentless dei carichi di lavoro API su AWS e Azure
- Analisi del volume e dei modelli di traffico delle app
6. Creazione e adattamento dei test applicativi
Gli agenti IA generano automaticamente i test in base alle interazioni dell'utente con l'applicazione. Mentre i tester o gli sviluppatori utilizzano lo strumento per acquisire i casi di test, l'IA monitora e crea gli script di test.
Se l'interfaccia utente dell'applicazione cambia (ad esempio, cambia l'ID di un elemento o il layout), l'agente IA può identificare queste modifiche e adattare gli script di test per evitare errori.
7. Esecuzione dinamica dei test applicativi
L'Agentic IA esegue continuamente i test in contesti variabili (ad esempio, su più browser e dispositivi) senza interazione umana. Gli agenti IA possono pianificare i test e analizzare il comportamento dell'applicazione in modo autonomo per garantire una copertura completa dei test.
Possono anche personalizzare dinamicamente i parametri di test, come la variazione degli input di dati utente o la modifica delle condizioni di rete, per consentire un'analisi più approfondita dell'applicazione.
8. Reportistica autonoma e suggerimenti predittivi
Gli agenti IA possono esaminare autonomamente i dati di test delle applicazioni, individuando modelli di errore e determinando le cause principali.
Ad esempio, se numerosi test falliscono a causa dello stesso problema, l'agente IA raggrupperà i risultati e segnalerà il problema sottostante al team di sviluppo.
Sulla base dei dati di test precedenti, gli agenti IA possono prevedere potenziali fallimenti futuri e consigliare metodologie di test applicativo per affrontare questi problemi.
9. Remediation autonoma
L'Agentic IA automatizza il processo di remediation. Ad esempio, se l'agente IA rileva che alcuni test sono ridondanti o non coprono adeguatamente determinati rischi, può ottimizzare la suite di test eliminando i test superflui e prioritizzando quelli che si concentrano su aree più rilevanti.
L'agente IA può anche rilevare quando un test fallisce a causa di errori minori (come una piccola modifica dell'interfaccia utente) e "rimediare" lo script di test per adeguarlo all'applicazione modificata, eliminando i falsi positivi e richiedendo meno intervento manuale.
10. Pentesting automatizzato
L'Agentic IA automatizza il processo di penetration testing, inclusa l'identificazione delle vulnerabilità, la generazione di piani di attacco e l'esecuzione. Alcune pratiche chiave degli agenti IA nelle iniziative di pentesting includono:
Simulazione di adversary in tempo reale:
- Conduzione di simulazioni come attacchi di rete, applicativi e di ingegneria sociale.
- Esecuzione di penetration test come DAST (dynamic application security testing).
Ricognizione:
- Scansione di Internet, inclusi deep web, dark web e surface web, per rilevare asset IT esposti (ad es., porte aperte, bucket cloud mal configurati).
- Integrazione di OSINT (open-source intelligence) e threat intelligence per mappare le superfici di attacco.
Agentic IA e sicurezza applicativa (AppSec) spiegate
La sicurezza applicativa riguarda la protezione delle app durante tutto il loro ciclo di vita, dalla progettazione e sviluppo fino al deployment e alla manutenzione continua.
Il problema:
Con la crescente importanza delle app ospitate come fattori chiave di ricavo per le imprese su larga scala, la loro sicurezza è diventata altrettanto cruciale. Questo ha generato tendenze recenti come:
- L'ampio utilizzo di applicazioni Cloud e SaaS ha spostato la sicurezza più a monte nel SDLC per ridurre i rischi prima che raggiungano la produzione.
- Con l'aumento della programmazione cloud-native, si è verificata una maggiore migrazione verso piattaforme di terze parti come AWS, esponendo così la superficie di attacco delle app a un maggior numero di vulnerabilità.
Come risultato dell'aumento della superficie di attacco e del potenziale offensivo, gli attaccanti hanno sviluppato metodi nuovi e creativi per compromettere le app.
Come l'Agentic IA aiuta:
L'Agentic IA può contribuire a migliorare l'AppSec integrando e automatizzando varie fasi del ciclo di vita dell'applicazione per potenziare la sicurezza, incluso il monitoraggio delle pipeline CI/CD o l'automazione del pentesting.
Aggiungi come fonte preferitaSfide dell'Agentic IA nella cybersecurity
1. Mancanza di trasparenza e interpretabilità
- Processo decisionale opaco: Le operazioni e i sistemi di sicurezza guidati dall'IA possono essere difficili da interpretare, specialmente quando modificano autonomamente le policy di sicurezza o le decisioni. Gli ingegneri di test e gli sviluppatori potrebbero avere difficoltà a comprendere perché determinate azioni siano state intraprese o a verificare le decisioni dell'IA.
- Fiducia e affidabilità: Senza spiegazioni esplicite, potrebbe essere difficile per i team fidarsi dei consigli o delle revisioni dell'IA, generando resistenza all'implementazione di soluzioni di Agentic IA.
2. Problemi di qualità dei dati
- Dipendenza dai dati: Gli agenti IA necessitano di dati diversificati per imparare a eseguire efficacemente le azioni. Dati insufficienti o distorti possono portare ad azioni errate o previsioni scorrette.
- Casi limite nelle configurazioni di sistema: Se l'infrastruttura IT di un'organizzazione include configurazioni personalizzate o combinazioni software rare, un agente IA potrebbe interpretare comportamenti normali come anomalie o non riuscire a rilevare minacce reali.
3. Mantenere l'affidabilità
- Falsi positivi e negativi: L'Agentic IA può classificare erroneamente i dati relativi a SecOps o AppSec, generando falsi positivi (segnalare bug inesistenti) o falsi negativi (mancare di rilevare problemi reali). Questi errori possono compromettere la fiducia nel sistema e richiedere un intervento manuale per convalidare i risultati.
- Problemi di adattabilità: Sebbene l'Agentic IA sia progettata per adattarsi ai cambiamenti, alcune modifiche complesse o impreviste nell'applicazione (ad esempio, riprogettazioni sostanziali dell'interfaccia utente o modifiche all'architettura backend) potrebbero comunque causare il fallimento delle operazioni di sicurezza, rendendo necessario l'intervento umano per aggiornare i modelli dell'IA.
4. Complessità dell'implementazione
- Difficoltà nel proteggere l'integrazione delle API: Gli agenti IA si interfacciano frequentemente con sistemi esterni; pertanto, proteggere le API è fondamentale. La tokenizzazione e la validazione delle API sono tutte misure che aiutano a garantire un'interazione affidabile.
- Addestramento e deployment: I modelli di Agentic IA dovrebbero essere addestrati su grandi dataset e scenari diversificati per essere efficaci, il che può richiedere un notevole impiego di risorse e tempo.
5. Requisiti di supervisione umana
- Monitoraggio continuo: Sebbene l'Agentic IA miri a ridurre il coinvolgimento umano, richiede comunque monitoraggio e manutenzione per garantire che funzioni correttamente. I team di sicurezza devono verificare i risultati dell'IA, regolare i modelli quando necessario e intervenire quando l'IA incontra scenari complessi o imprevisti.
- Requisiti di personale altamente qualificato: La gestione dell'Agentic IA richiede competenze in IA, machine learning o sicurezza applicativa. Le organizzazioni potrebbero avere difficoltà a trovare o formare personale con le competenze necessarie.
Considerazioni finali sull'Agentic IA per la cybersecurity
L'Agentic IA ha il potenziale per potenziare le operazioni di cybersecurity migliorando i tempi di risposta e alleggerendo il carico sui team di sicurezza.
Tuttavia, sfide come la mancanza di trasparenza, i problemi di qualità dei dati e i falsi positivi/negativi possono aumentare la difficoltà complessiva di implementare efficacemente le soluzioni di Agentic IA.
Un'implementazione efficace dell'Agentic IA nelle operazioni richiede personale qualificato, monitoraggio e aggiornamenti continui, processi efficaci di convalida dei falsi positivi e attenzione ad altre sfide chiave.
Ulteriori letture
- Segnali di IA Agent Sprawl e Checklist per Gestire lo Sprawl
- Vulnerabilità degli Agenti IA
- Top 30+ Agenti IA Industriali: Panoramica da Seguire
- Trappole degli Agenti IA: 20 Incidenti Reali
Cita questa ricerca
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{dilmegani2026,
author = {Dilmegani, Cem and PhD., Ezgi Arslan,},
title = {{Agentic IA per la Cybersecurity: 10 Casi d'Uso ed Esempi}},
year = {2026},
month = jul,
howpublished = {\url{https://aimultiple.com/agentic-ai-cybersecurity}},
note = {AIMultiple. Consultato il 30 Luglio 2026}
}Collegamenti di riferimento
Il lavoro di Cem è stato citato da importanti pubblicazioni globali tra cui Business Insider, Forbes, Washington Post, aziende globali come Deloitte, HPE e ONG come il World Economic Forum e organizzazioni sovranazionali come la Commissione europea.
Nel corso della sua carriera, Cem ha lavorato come consulente tecnologico, acquirente di tecnologia e imprenditore tecnologico. Ha consigliato aziende sulle loro decisioni tecnologiche presso McKinsey & Company e Altman Solon per oltre un decennio. Ha anche pubblicato un rapporto McKinsey sulla digitalizzazione.
Ha guidato la strategia tecnologica e gli approvvigionamenti di una società di telecomunicazioni rispondendo direttamente al CEO. Ha anche guidato la crescita commerciale dell'azienda deep tech Hypatos che ha raggiunto un fatturato annuo ricorrente a 7 cifre e una valutazione a 9 cifre partendo da 0 in 2 anni. Il lavoro di Cem in Hypatos è stato trattato da importanti pubblicazioni tecnologiche come TechCrunch e Business Insider.
Cem interviene regolarmente a conferenze tecnologiche internazionali. Si è laureato in ingegneria informatica all'Università Bogazici e ha conseguito un MBA presso la Columbia Business School.
Commenti 1
Condividi i tuoi pensieri
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.
Very insightful overview of how agentic AI is moving cybersecurity from reactive alerting to autonomous, intelligence-driven operations. The real-world SecOps and AppSec examples clearly show the value of AI agents in reducing noise, accelerating response, and scaling security—while also realistically highlighting the challenges around trust, data quality, and human oversight.