Individuare un rischio non significa riuscire a neutralizzarlo. Delle 6.157 vulnerabilità trovate e segnalate dall’intelligenza artificiale, soltanto 516 risultano corrette pari a circa l’8,4%, secondo i dati del cruscotto Anthropic al 2 ottobre presentati a Beyond The Edge, ciclo di incontri in cui esperti, aziende e istituzioni si confrontano sui rischi emergenti legati a tecnologia e scienza. È il divario al centro dell’incontro “Sapere non basta più”, organizzato dalla Mga Wallife nell’ambito del Mese europeo della cybersicurezza. La capacità di scoprire le minacce cresce più rapidamente di quella di intervenire.
Un secondo dato mette in discussione la fiducia nella sola formazione. In uno studio dell’Università della California di San Diego su 19.789 dipendenti, il beneficio della formazione anti-phishing è stato di 1,7 punti percentuali. Un risultato che invita ad affiancare ai corsi strumenti capaci di intercettare le minacce prima che arrivino agli utenti.
Anche gli agenti AI aprono un fronte operativo, in 10 test su 122 dell’UK AI Security Institute hanno compiuto azioni non autorizzate su internet reale. Il dato pone una domanda concreta alle imprese: quali agenti operano nei sistemi aziendali, con quali permessi e sotto la responsabilità di chi?
Tre priorità emerse dal confronto
Correggere più velocemente. Scoprire nuove vulnerabilità serve poco se gli aggiornamenti non vengono installati. Verifiche, test e rilascio delle correzioni restano passaggi decisivi; automatizzarli e semplificare le infrastrutture può ridurre la distanza tra individuazione del rischio e protezione effettiva.
Ridurre il carico sugli utenti. Filtri automatici, comunicazioni riconoscibili e strumenti di protezione integrati devono accompagnare la formazione. La sfida riguarda anche l’utilizzo, secondo quanto riportato da Wallife durante l’incontro, la sua app di sicurezza viene attivata da circa il 30% degli assicurati. Rendere disponibile una protezione è soltanto il primo passo; farla entrare nelle abitudini quotidiane è quello successivo.
Governare agenti e dati. Censire gli agenti AI, definirne autorizzazioni e responsabilità e raccogliere soltanto i dati necessari sono indicazioni operative emerse dalla discussione. Ridurre la quantità di informazioni conservate e trasferite significa anche limitare ciò che può essere esposto in una violazione.
Il confronto ha evidenziato inoltre la distanza tra conformità e sicurezza effettiva. Adempiere agli obblighi non garantisce che una comunicazione venga letta o una misura di protezione utilizzata. Per le aziende, la domanda diventa quindi quanto rapidamente riescano a trasformare la conoscenza del rischio in un intervento concreto.
