SentinelOne racconta di aver ridotto da quattro–sei settimane a circa otto ore il tempo necessario per ottenere un’analisi approfondita di malware con OpenAI Daybreak. Il dato compare in un caso di studio pubblicato da OpenAI il 14 ottobre e viene attribuito a Gregor Stewart, Chief AI Officer di SentinelOne. È una testimonianza aziendale, non un benchmark indipendente: il risultato descrive l’esperienza presentata dal fornitore e dal suo cliente, senza dimostrare che lo stesso guadagno valga per ogni campione o organizzazione.
Il reverse engineering come collo di bottiglia
Studiare un malware sofisticato significa ricostruire il comportamento del software, interpretarne i componenti e tornare sulle ipotesi iniziali quando emergono nuovi elementi. Secondo Stewart, questo lavoro può impegnare anche un ricercatore esperto per diverse settimane. Nel racconto di SentinelOne, Daybreak porta invece a risultati definiti di livello umano in circa otto ore.
Il servizio mette a disposizione dei difensori modelli OpenAI per attività di cybersecurity. SentinelOne li impiega per il reverse engineering, cioè per comprendere come funziona il codice analizzato. La conseguenza descritta non è soltanto una consegna più rapida della singola analisi: liberare tempo permette ai ricercatori di investigare più campioni, ampliando il numero di minacce sulle quali possono lavorare in profondità.
Più campioni per riconoscere le connessioni
In precedenza, spiega Stewart, il team doveva riservare le indagini approfondite a una piccola parte del software individuato, selezionando soprattutto le minacce più interessanti o importanti. Questa limitazione restringeva anche la possibilità di confrontare i risultati. Analizzare pochi campioni significa infatti avere meno elementi per riconoscere componenti condivisi e relazioni tra minacce apparentemente separate.
Il caso di studio propone un esempio concreto di questa opportunità: un componente presente in due malware che sembrano indipendenti può diventare una pista da approfondire durante un’indagine per un cliente. È una possibilità investigativa, non una prova automatica che le minacce abbiano la stessa origine. Secondo Stewart, una visione più ampia dei collegamenti consentirebbe di anticipare meglio le attività difensive e seguire l’evoluzione del panorama malware.
Automazione più ampia, responsabilità umana
La maggiore velocità non elimina la responsabilità del team. Stewart distingue tra interventi circoscritti, potenzialmente più adatti all’automazione, e decisioni che modificano l’architettura del software, sulle quali ritiene necessario mantenere un controllo umano. L’accesso a competenze prima scarse starebbe inoltre permettendo a più persone in SentinelOne di investigare problemi senza dipendere esclusivamente da un ristretto gruppo di specialisti.
Il dirigente indica anche una direzione futura: integrare queste capacità nella creazione del codice, così che gli sviluppatori possano affrontare i problemi di sicurezza mentre costruiscono il software. La fonte presenta questa integrazione come un obiettivo, non come una funzionalità già documentata in tutti i processi di sviluppo dell’azienda.
In sintesi: il valore descritto da SentinelOne è una maggiore capacità investigativa, oltre alla riduzione dei tempi. Per leggere correttamente il caso occorre tenere insieme il risultato dichiarato, la natura promozionale della fonte e il mantenimento della responsabilità umana: accelerare l’analisi non equivale a delegare automaticamente le decisioni di sicurezza.
Lascia un commento