Cisco porta l’IA nella cyberdifesa

Un’intervista su IA, rischi e il futuro della sicurezza informatica

Project Glasswing offre una prospettiva concreta su come sta cambiando la sicurezza informatica nell’era della Frontier AI. In questa intervista, Cisco racconta cosa è emerso dalla collaborazione con i principali modelli di IA, perché le classiche valutazioni delle vulnerabilità stanno mostrando i loro limiti e perché identità, automazione e difesa continua avranno un ruolo sempre più centrale. Cisco spiega inoltre quali misure concrete dovrebbero adottare le aziende e perché partner come NTS sono indispensabili per mettere in pratica le nuove strategie di sicurezza.

Gli aspetti più interessanti di Project Glasswing

Che cosa vi ha maggiormente sorpreso nell’utilizzo dei modelli Frontier sui vostri stessi prodotti? E che cosa avete imparato, al di là dei risultati? Avete trovato casi in cui vulnerabilità singolarmente poco gravi, e quindi non prioritarie, diventavano critiche se considerate nel loro insieme?

Ciò che ci ha particolarmente sorpreso è la capacità “cognitiva” del modello. Mentre gli scanner IA tradizionali individuano vulnerabilità isolate, i modelli Frontier comprendono il contesto. Sono in grado di riconoscere che una configurazione non sicura, combinata con una libreria non aggiornata e all’assenza di segmentazione, può aprire un percorso verso un server critico. La lezione è stata chiara: il vero rischio sta nella combinazione dei diversi elementi, non nei singoli elementi presi isolatamente.

Frontier AI nel concreto

Che cosa è cambiato nel vostro approccio allo sviluppo dei prodotti da quando avete accesso ai modelli Frontier? C’è un esempio recente che possa rendere più concreto questo cambiamento?

Abbiamo portato il principio “Shift Left” a un livello superiore. Durante il progetto CodeGuard, abbiamo addestrato gli agenti IA che supportano lo sviluppo software ad applicare le regole “Secure by Default”. In altre parole, cerchiamo di prevenire le vulnerabilità già nell’IDE (Integrated Development Environment), anziché limitarci a rilevarle con una scansione dopo la compilazione.

Volumi vs. valori

Entrambi i vendor sottolineano che il numero di vulnerabilità rilevate dice poco. Cisco parla di “actionable precision at scale, not the count of vulnerabilities alone”, mentre Palo Alto Networks valuta la sfruttabilità e l’impatto sul business, non il numero di CVE. Come può un cliente capire se il risultato di una scansione richiede un intervento?

Cisco ha abbandonato la logica del semplice conteggio delle CVE. Un punteggio CVE dice poco del rischio reale. Noi utilizziamo Cisco IQ per verificare se una funzione vulnerabile di un dispositivo sia effettivamente raggiungibile. Se il dispositivo non è più connesso a Internet o la funzione interessata è stata disattivata, la priorità scende. In questo modo risparmiamo risorse e i team non vengono sommersi dagli alert.

3 passaggi chiave

Quali sono le tre priorità su cui i responsabili IT dovrebbero concentrarsi nei prossimi 90 giorni per prepararsi a un attacco basato sull’IA?

I 3 passaggi chiave per i prossimi 90 giorni:

1. Mappare gli asset: senza una “Single Source of Truth” che offra una visione completa di tutti gli asset, compresa la shadow IT, è impossibile difendersi.
2. Segmentare la rete: se non è possibile applicare subito tutte le patch, bisogna ridurre la superficie di attacco con la segmentazione (controllo del traffico East-West), in modo che un eventuale hacker non possa muoversi ulteriormente nella rete.
3. Rendere il patching una routine: il più possibile “noioso” e prevedibile. Grazie ai 7 giorni di preavviso di Cisco, i clienti possono pianificare con precisione le finestre di manutenzione.

L’identità è la nuova linea del fronte

Entrambi i vendor investono molto sulla sicurezza delle identità per persone, macchine e agenti IA (Cisco/WideField, Palo Alto Networks/CyberArk). Perché oggi è proprio l’identità a fare la differenza, e non il classico patching?

Perché l’identità? Perché gli hacker oggi utilizzano attacchi “Living off the Land”. Non utilizzano malware, ma credenziali legittime. Una volta dentro, si muovono con permessi validi. Proteggere le identità, soprattutto quelle non umane come i service account e gli agenti IA, è l’unico modo per impedire questi movimenti.

L’IA come arma a doppio taglio

Gli hacker usano la stessa tecnologia. Secondo voi, quali sono oggi le principali convinzioni errate dei clienti sulle minacce legate all’IA?

Le minacce sono ormai note (phishing, SQL injection, credential stuffing), ma l’IA ha aumentato di 100 volte la velocità e la qualità con cui vengono eseguiti gli attacchi. Non abbiamo bisogno di una nuova difesa, ma di accelerare e automatizzare quella attuale. “You can’t outpace AI-era threats using legacy processes or legacy technology. What’s needed is a continuous operating rhythm […] patching becomes an ongoing rhythm instead of a fire drill.”

Nuove dimensioni, nuove finestre temporali

Le sfide attuali per i clienti hanno raggiunto nuove dimensioni. Conoscere e proteggere la propria superficie di attacco, applicare tempestivamente le patch, proteggersi in caso di emergenze (Incident Response/SOC): il tutto in una finestra temporale incredibilmente breve. Quale ruolo possono svolgere gli integratori di sistemi come NTS per portare queste innovazioni ai clienti nei tempi e con le modalità giuste?

La complessità dell’architettura Cisco (Cloud Control, Splunk, ISE, Firewalls, …) ha bisogno di esperti che sappiano comporre bene ogni elemento del puzzle. NTS diventa qui un “partner operazionale” e assicura che i dati forniti da Cisco (Cisco IQ) vengano effettivamente tradotti in workflow automatizzati (SOAR), che i clienti possono verificare, e soprattutto, gestire. Cisco incoraggia partner come NTS a sviluppare servizi continuativi di valutazione, hardening e validazione, utilizzando Foundry Security Spec come base. Come abbiamo sottolineato più volte, “A partner bridges the gap between identifying a risk and neutralizing it.” NTS assume il ruolo di “Unified Defender” e non si limita a fornire hardware, ma garantisce un’applicazione coerente delle policy di sicurezza nell’intero ambiente multivendor e coordina i workflow “Access, Act, Optimize”.

Prospettive future

Che cosa possiamo aspettarci da qui al prossimo anno? La situazione si allenterà o si aggraverà? E che ruolo avrà NTS in questo scenario?

No, sarà piuttosto intensa. Stiamo entrando nell’era della “difesa continua”. La collaborazione con partner come NTS andrà oltre la semplice fornitura di hardware, per arrivare a un modello di “Managed Security Service” in cui la sicurezza dell’infrastruttura viene gestita direttamente dal partner, lasciando ai clienti la possibilità di concentrarsi sul proprio core business.

“8 anni di Security Research in 8 settimane”

Che cosa significa concretamente? E che cosa ha fatto Cisco nell’ambito di Project Glasswing, in termini di attività, approccio e modelli utilizzati? Quali risultati ne sono emersi?

È stato un vero tour de force. Non abbiamo solo scansionato codice, ma abbiamo anche allenato i modelli in modo che potessero comprendere i framework Cisco. Facendo lavorare i modelli in parallelo, abbiamo ridotto drasticamente il tempo che un team umano avrebbe impiegato per svolgere la stessa analisi manualmente. Il risultato è “Foundry Security Spec”, che rappresenta un modello di riferimento per l’intero settore.

Dai risultati alla prioritizzazione

Cosa emerge da questi risultati e quali sono le priorità che ne derivano? Live Protect ne è un esempio. Più in generale, come si riflettono gli insegnamenti di Project Glasswing sulla vostra roadmap di prodotto nel breve termine?

Oggi la roadmap segue una logica “basata sul rischio”. Investiamo molto nell’automazione della validazione. Quando troviamo una vulnerabilità, il sistema deve verificare automaticamente se i meccanismi di difesa, come firewall e segmentazione, stanno già funzionando. In caso contrario, la vulnerabilità viene automaticamente portata in cima alle priorità.

Live Proect è un ponte, non una patch

Avete detto chiaramente che “Live Protect is not a patch”, ma uno scudo temporaneo e mirato, integrato direttamente nel kernel NX-OS. Che cosa cambia, per i clienti, rispetto ai normali cicli di patching? Sostituisce la necessità di applicare rapidamente le patch o, al contrario, rende ancor più importante intervenire comunque nel lungo periodo?

Live Protect è un “controllo compensativo” (compensating control), non una classica patch software. Nel campo della sicurezza informatica, questa distinzione è sostanziale. Mentre una patch elimina o corregge definitivamente un codice difettoso nel programma, Live Protect inserisce uno scudo mirato nel kernel (ad es. su NX-OS negli switch Nexus 9000)

Perché è un “ponte” e non un sostituto?

1. Colma il gap fino all’exploit: la finestra temporale tra il rilevamento di una vulnerabilità e il suo sfruttamento da parte di un attacco basato sull’IA si è ridotta a poche ore. Un ciclo di patching tradizionale (test, validazione, deployment) dura solitamente giorni o settimane. Live Protect risolve tempestivamente questa lacuna, senza dover riavviare o interrompere il servizio.
2. Mitigazione temporanea, non soluzione permanente: Cisco lo dice chiaramente: “Live Protect is not a patch.” Si tratta di una misura temporanea. Una volta applicata e verificata la patch ufficiale e permanente, lo scudo viene automaticamente rimosso. Lasciare attivo lo scudo senza applicare la patch creerebbe un “debito tecnico” e renderebbe il sistema più esposto alla deriva della configurazione.
3. Evita uno stato di emergenza continuo: Live Protect riduce la pressione sui team IT, che non devono entrare in modalità emergenza ogni volta che viene segnalata una nuova vulnerabilità. I clienti possono neutralizzare immediatamente le vulnerabilità e applicare le patch seguendo il loro regolare processo di manutenzione (ed es. il primo e il terzo mercoledì del mese).

Una nuova strategia per il patching

Con Live Protect cambia radicalmente il modo di considerare i tempi del patching:

• Da reattivo a controllato: i clienti non devono più interrompere ogni attività al primo avviso. Lo scudo garantisce protezione, mentre il processo di applicazione delle patch procede in modo scorrevole e sicuro.
• Ciclo di vita automatizzato: la documentazione descrive un processo per la gestione dello scudo che comprende le fasi di “monitor, enforce, disable, and retire”. Cisco non si limita quindi a fornire protezione, ma aiuta anche a rimuoverla quando non è più necessaria.
• Estensione dell’architettura: Live Protect è oggi disponibile per i Nexus 9000 (NX-OS), ma il piano per il 2027 prevede di estendere la tecnologia anche agli switch Catalyst, a Identity Service Engine (ISE) e a Secure Firewall. Sarà un componente centrale dei “Resilient Infrastructure Services”.

Live Protect è lo strumento che permette di tenere il passo con la velocità degli attacchi automatizzati senza compromettere la stabilità dell’IT aziendale. È la “cintura di sicurezza” che vi protegge mentre intervenite sulla vostra infrastruttura per applicare le patch, ma non sostituisce la manutenzione vera e propria.

Due partner Frontier insieme (Glasswing e Daybreak)

Perché Cisco lavora sia con Anthropic che con OpenAI? Cosa offre uno rispetto all’altro? Un approccio multi-modello potrebbe essere una soluzione valida per i clienti?

Tutti i modelli IA hanno dei “punti ciechi”. Anthropic (Mythos) e OpenAI (GPT-5.5 Cyber) utilizzano dati di addestramento diversi e seguono logiche distinte. Utilizzando entrambi i modelli otteniamo una copertura più elevata. Per questo consigliamo ai clienti di proteggere l’infrastruttura non tramite un’unica fonte IA, ma attraverso un ecosistema che convalidi diversi approcci.

Volete saperne di più su Cisco e Project Glasswing?

Contattate i nostri esperti per fissare un appuntamento: sales@nts.eu.