10 ott 2026
Google ha ridotto da 30 minuti a 60 secondi il tempo di analisi di un alert grazie agli agenti AI: una svolta che riguarda anche le PMI italiane, a patto di gestire bene fiducia e verifica delle decisioni automatizzate.
AI
Agenti
Automation
Parte 1
Il momento in cui gli agenti AI iniziano a rendere davvero
Nel 2026 la velocità è diventata il vero terreno di scontro della sicurezza informatica, e i numeri del report M-Trends 2026 di Mandiant lo confermano senza ambiguità. Il tempo mediano che intercorre tra l’accesso iniziale di un attaccante e il passaggio dell’accesso a un secondo gruppo criminale è sceso da oltre 8 ore nel 2022 a soli 22 secondi nel 2025. Gli initial access broker preinstallano ormai malware e tunnel di rete già durante la prima infezione, lasciando ai team di sicurezza una finestra di reazione praticamente nulla.
Allo stesso tempo, il tempo di permanenza mediano di un attaccante in rete, il cosiddetto dwell time, è salito a 14 giorni, in aumento rispetto agli 11 del 2024. Alcune famiglie di minacce, come la backdoor BRICKSTORM, restano nascoste per periodi vicini ai 400 giorni, ben oltre la finestra di conservazione log standard di 90 giorni adottata da molte aziende.
È in questo scenario che gli agenti AI stanno trovando il loro impiego più concreto, come leva per colmare un divario di velocità che nessun team umano, per quanto preparato, può più colmare da solo lavorando a mano ogni singolo alert. Questa automazione rappresenta un’opportunità concreta per innalzare il livello di difesa senza moltiplicare l’organico.
Parte 2
I numeri dell’adozione reale
I dati sul campo mostrano un’adozione già reale e misurabile, non solo annunci. Alcuni numeri chiave:
Il Triage and Investigation agent di Google Security Operations, basato su Gemini, ha analizzato oltre 5 milioni di alert portando il tempo di un’analisi tipica da 30 minuti a circa 60 secondi, mantenendo il controllo umano sulle azioni ad alto impatto.
Secondo il sondaggio State of AI in Security Operations 2026 di Prophet Security, il 40% dei team di sicurezza usa già l’AI quotidianamente nelle operazioni, un altro 56% è in fase di valutazione o pilot, e il 72% di chi la usa segnala una riduzione di almeno il 25% nei tempi di indagine.
Gartner, nel suo Hype Cycle for Security Operations 2026, colloca gli agenti AI per il SOC nella fase di Peak of Inflated Expectations e prevede che entro il 2028 il 70% dei grandi SOC avvierà pilot con agenti AI, ma solo il 15% otterrà miglioramenti misurabili senza una valutazione strutturata del fornitore e del caso d’uso.
Il divario tra il 70% che sperimenta e il 15% che ottiene risultati concreti è esattamente ciò che distingue le aziende che impostano bene il progetto da quelle che si fermano al proof of concept. Come spiega anche TLDR nel suo blog tecnico, la velocità dell’agente ormai si dà per acquisita: a fare la differenza è la capacità di rendere verificabili le sue conclusioni.
Parte 3
Renderli affidabili, anche senza un SOC interno
l punto di partenza è costruire un livello di contesto condiviso, in cui ogni informazione viene etichettata come osservata dalla telemetria, approvata da una persona con responsabilità chiara, oppure derivata dal sistema stesso. Tutte le chiamate dell’agente passano poi da un unico punto di accesso controllato, con limiti di tempo e di chiamate, permessi definiti per ogni indagine e log completi di ogni azione.
L’autonomia dell’agente va concessa gradualmente, per tipo di azione, lasciando la supervisione umana sulle operazioni a maggiore impatto, come l’isolamento di un dispositivo o la revoca di un accesso. Per capire se il sistema sta funzionando davvero, conviene monitorare ogni mese pochi indicatori semplici: quante volte l’agente e l’analista sono in disaccordo, quante volte un verdetto viene annullato, quante indagini vanno in timeout e quante chiusure richiedono comunque l’intervento umano.
Il messaggio è incoraggiante: basta iniziare da un perimetro limitato, per esempio il triage degli alert di primo livello, misurare i risultati con criterio e ampliare l’autonomia dell’agente solo quando i dati confermano che le sue decisioni sono affidabili. Un approccio che unisce velocità e controllo, e trasforma l’automazione in un reale vantaggio competitivo invece che in un rischio da gestire. Anche un presidio minimo, se ben impostato fin dall’inizio, mette un’azienda in condizione di reagire in minuti e non in giorni, con un controllo chiaro su chi decide cosa.