L'AI sostituirà gli analisti di cybersecurity?

Risposta breve: no, ma il lavoro per il quale verrai assunto tra cinque anni non assomiglierà al lavoro pubblicato oggi. L'AI sta già facendo una parte di quello che gli analisti SOC junior passano il turno a fare, e fingere il contrario non aiuta nessuno a pianificare una carriera.

Cosa l'AI sta già facendo nel SOC

Strumenti come Microsoft Security Copilot, CrowdStrike Charlotte AI e vari assistenti LLM integrati in SIEM stanno gestendo il triage degli alert, scrivendo i riepiloghi iniziali degli incidenti e correlando i dati dei log tra le fonti più velocemente di un umano che scannerizza manualmente le query Splunk. Se hai lavorato in una postazione Tier 1, sai che la maggior parte della giornata è spesso ripetitiva: questo login da un nuovo paese è una minaccia reale o una misconfiguration VPN, questa esecuzione PowerShell è un'attività amministrativa normale o l'inizio di una catena di movimento laterale. Quel lavoro di triage, il pattern matching contro il noto malvagio e il noto buono, è esattamente quello in cui i modelli di machine learning sono bravi.

Le piattaforme EDR usano il rilevamento delle anomalie basato su ML da anni prima che "AI" diventasse il termine di marketing preferito. Quello che è cambiato di recente è l'aggiunta di AI generativa in cima, così invece di limitarsi a segnalare un'anomalia, lo strumento può redigere una spiegazione leggibile di cosa è successo e suggerire i prossimi step. È un guadagno di produttività reale per un team oberato.

Cosa l'AI ancora non riesce a fare in modo affidabile

I modelli allucinano, e in un contesto SOC una causa radice allucinata manda un analista a inseguire la pista sbagliata durante un incidente attivo. L'AI inoltre manca di contesto organizzativo: non sa che il traffico outbound strano della divisione finanza ogni venerdì è un lavoro di backup legacy, non un'esfiltratura, a meno che qualcuno non abbia addestrato quel contesto, e persino allora i casi limite lo mettono in difficoltà.

La pressione avversariale è un problema più grande di quanto la maggior parte delle demo dei vendor ammettono. Gli attaccanti stanno già testando l'iniezione di prompt contro gli strumenti di difesa assistiti da AI e creando payload specificamente per eludere i classificatori ML addestrati sui campioni di malware dell'anno scorso. Un modello è solo buono quanto i dati che ha visto, e gli attori delle minacce lo sanno e si adattano più velocemente dei cicli di riaddestramento in molti ambienti.

Infine, la risposta agli incidenti comporta decisioni con conseguenze legali e aziendali: mettiamo offline questo server durante le ore di picco aziendale, notifichiamo i clienti, paghiamo il riscatto. Questi non sono problemi di classificazione. Richiedono qualcuno responsabile, e le aziende non lasceranno che un modello prenda questa decisione senza supervisione.

Il ruolo si sta spostando, non scomparendo

Confrontalo con quello che è successo nell'ingegneria di rete quando l'automazione e l'infrastructure-as-code si sono maturate. Nessuno sta più configurando manualmente i VLAN su switch individuali in uno shop moderno, ma gli ingegneri di rete non sono scomparsi, si sono spostati più in alto nella stack verso architettura e policy. Gli analisti di sicurezza stanno andando nella stessa direzione. Il faticoso triage a livello entry-level si sta automatizzando, il che significa che il lavoro entry-level stesso sta diventando più difficile da trovare nella sua forma attuale. Quello che sta crescendo è la domanda di persone che riescono a mettere a punto le regole di detection, convalidare i risultati generati dall'AI, scrivere regole Sigma personalizzate per i gap che gli strumenti automatizzati mancano, e gestire i casi ambigui che hanno bisogno di un ragionamento effettivo su intento e impatto aziendale.

La threat hunting è un buon esempio di disciplina che diventa più preziosa, non meno, man mano che l'automazione migliora. I threat hunter cercano quello che i sistemi automatizzati non hanno segnalato: il meccanismo di persistenza che rimane quieto per mesi, la minaccia interna che assomiglia a un accesso normale sulla carta. È intrinsecamente un'attività basata su ipotesi umane.

Cosa effettivamente fare al riguardo

Se stai entrando nel campo o sei già dentro, non evitare gli strumenti AI per paura che ti sostituiscano. Impara a usarli e impara i loro modi di fallire. Prendi esperienza pratica con un SIEM (Splunk, Microsoft Sentinel o Elastic) e pratica a scrivere tu stesso la logica di detection prima di affidarti a un assistente AI per generarla, così puoi notare quando è sbagliata. Costruisci competenze di scripting in Python per il parsing dei log e l'automazione, perché gli analisti che salgono sono quelli che automatizzano il loro stesso lavoro ripetitivo invece di aspettare che il vendor lo faccia per loro.

Capire come i modelli stessi falliscono conta anche. Leggi informazioni sul machine learning avversariale e sull'iniezione di prompt contro gli strumenti di sicurezza; quella conoscenza sta diventando altrettanto rilevante per i blue team quanto sapere come funzionano i phishing kit. Gli analisti che rimangono preziosi sono quelli che trattano l'AI come un moltiplicatore di forza che controllano, non come una scatola nera in cui fidano ciecamente.

Korra Studio ha lab hands-on che coprono i fondamentali dei SIEM, l'ingegneria della detection e la threat hunting se vuoi costruire le competenze che stanno sopra il livello di automazione piuttosto che competere con esso.