L’integrazione tra AI e cybersecurity rappresenta oggi uno dei punti di svolta più significativi per la resilienza digitale delle imprese. Durante il convegno “Cybersecurity: immaginare l’imprevedibile”, organizzato dall’Osservatorio Cybersecurity & Data Protection presso gli Osservatori Digital Innovation del Politecnico di Milano, Alessandro Piva, Direttore dell’Osservatorio, ha delineato una panoramica complessa su come l’intelligenza artificiale stia ridefinendo i perimetri della sicurezza informatica. La relazione tra queste due tecnologie non è univoca: si muove lungo un’asse che vede l’intelligenza artificiale agire simultaneamente come strumento di difesa, moltiplicatore di minacce e, infine, come una nuova superficie di attacco che le aziende devono imparare a governare con urgenza.
Indice degli argomenti
L’intelligenza artificiale come moltiplicatore di attacchi sofisticati
Il primo fronte analizzato riguarda l’evoluzione delle minacce. La percezione del rischio è estremamente elevata tra i professionisti del settore: secondo i dati presentati, il 71% dei Chief Information Security Officer (CISO) ritiene che l’intelligenza artificiale possa acuire sensibilmente il livello di rischio a cui le organizzazioni sono esposte. Alessandro Piva sottolinea che questo dato potrebbe persino essere interpretato con una punta di ottimismo, poiché implica che un CISO su tre (il 29%) non consideri ancora l’AI un elemento di ulteriore pericolosità.
L’aspetto più critico di questa evoluzione risiede nella capacità dell’intelligenza artificiale di fungere da «moltiplicatore della capacità di poter perpetrare attacchi sempre più sofisticati e sempre più numerosi».
Non si tratta solo di una questione di scala, ma di autonomia.
Sta emergendo con forza il tema della Agentic AI (AI agentica), ovvero lo sviluppo di agenti capaci di operare in modo autonomo e proattivo all’interno di processi complessi. Piva cita uno studio di Anthropic che evidenzia un dato allarmante: gli agenti intelligenti sono già in grado di coprire tra l’80% e il 90% delle fasi di un attacco cyber.
Queste fasi includono la ricognizione, l’individuazione delle vulnerabilità, il movimento laterale all’interno delle reti, fino all’esfiltrazione dei dati e al reporting finale.
Sebbene l’essere umano rimanga l’elemento di innesco iniziale del processo, la logica dell’Agentic AI suggerisce che nel prossimo futuro queste tecnologie svolgeranno in autonomia attività sempre più articolate. Questa tendenza, definita come evidente per i prossimi mesi, sposta l’ago della bilancia verso una minaccia che non ha più bisogno di una supervisione costante per causare danni strutturali.
La difesa aumentata: il ruolo dell’AI nelle strategie di protezione
Nonostante i rischi, il binomio AI e cybersecurity offre opportunità fondamentali per chi deve proteggere le infrastrutture critiche. Piva evidenzia che l’utilizzo di queste tecnologie per la difesa è diventato ormai «un’opportunità, quasi una necessità per le imprese».
La ricerca mostra una dinamica di adozione vivace: il 56% delle aziende italiane utilizza già forme di intelligenza artificiale per supportare i propri processi di difesa.
All’interno di questo perimetro, si osserva una crescita significativa dell’intelligenza artificiale generativa. Se nel 2024 solo il 9% delle aziende dichiarava di utilizzarla per le strategie di difesa, questa percentuale è balzata al 19%, segnando di fatto un raddoppio nel giro di un anno. Molte organizzazioni scelgono un approccio ibrido, combinando l’AI tradizionale con quella generativa per massimizzare l’efficacia delle contromisure.
Un punto centrale dell’analisi di Piva riguarda l’impatto sul mercato del lavoro e sulle competenze. Contrariamente ai timori di una sostituzione tecnologica, l’integrazione dell’AI nella sicurezza informatica sta generando un effetto di augmentation. I dati indicano che la stragrande maggioranza delle imprese non ha ridotto la propria forza lavoro nel comparto sicurezza. Al contrario, gli operatori della security si stanno specializzando ulteriormente per gestire strumenti che richiedono competenze sempre più verticali e difficili da reperire sul mercato. L’automazione si affianca all’uomo per gestire attività ripetitive e permette agli esperti di concentrarsi su compiti a maggior valore.
Shadow AI e il gap di governance nelle imprese
Il terzo pilastro del rapporto tra AI e cybersecurity è rappresentato dall’allargamento della superficie d’attacco. L’introduzione massiccia di tool basati su intelligenza artificiale all’interno dei flussi di lavoro aziendali ha generato un problema di Shadow AI. Si tratta dell’utilizzo non autorizzato o non monitorato di strumenti di intelligenza artificiale da parte dei dipendenti, spesso al di fuori del controllo del dipartimento IT o del CISO.
I numeri relativi alla governance sono descritti come preoccupanti dallo stesso direttore dell’Osservatorio:
- Il 21% delle aziende non ha adottato alcuna misura specifica di sicurezza o governance per gestire l’introduzione dell’AI.
- Soltanto il 13% delle organizzazioni dispone di un inventario centralizzato dei sistemi di intelligenza artificiale in uso.
- Appena il 24% delle imprese ha istituito un comitato interfunzionale che preveda la presenza stabile del CISO nella struttura di governance.
Il rischio è particolarmente accentuato per quanto riguarda l‘intelligenza artificiale generativa. Per la maggior parte delle imprese, questi strumenti non sono ancora integrati negli ambienti enterprise sicuri. Ciò significa che i dipendenti utilizzano spesso licenze di tipo consumer per scopi professionali, «esponendo dati personali e delle organizzazioni a soggetti terzi che li possono utilizzare per addestrare i sistemi». Questa pratica trasforma la diffusione dell’AI in un’amplificazione della superficie d’attacco.
La discrepanza tra adozione tecnologica e policy aziendali
L’analisi conclusiva di Piva mette in luce un paradosso: l’adozione dell’intelligenza artificiale, specialmente quella generativa, viaggia a una velocità molto superiore rispetto alla capacità delle aziende di comprenderla e controllarla. Esiste un ritardo marcato nella definizione di policy di utilizzo chiare e nell’introduzione di software certificati per uso professionale.
Al momento, una policy aziendale specifica è presente solo nel 51% dei casi, mentre la limitazione o il divieto formale di software non certificati riguarda appena il 48% delle organizzazioni. Ancora più grave è l’assenza di meccanismi di controllo: anche laddove le policy esistono, mancano spesso strumenti per verificarne l’effettivo rispetto da parte dei collaboratori.
L’intelligenza artificiale agisce attualmente più come un «assistente rispetto a una serie di attività», ma la sua rapida evoluzione richiede un cambio di passo immediato nella governance, per colmare il gap crescente tra la capacità di difesa e la sofisticazione delle minacce esterne.
