Un sabato sera, una pizza e un allarme Spamhaus

Come otto mesi di lavoro sugli agenti AI ci hanno permesso di affrontare un incidente informatico direttamente dal cellulare

È sabato sera e sono in fila per ritirare le pizze.

Mentre aspetto, ricevo sul telefono un’e-mail di Spamhaus, inoltrata dal team Trust & Safety del nostro provider. La segnalazione è seria: uno degli indirizzi IP della nostra infrastruttura risulterebbe associato al comando e controllo di una botnet.

Non sono in ufficio e non ho con me il portatile. Ho soltanto il cellulare.

Dal telefono apro GPT Work, collegato al mio PC, e attivo l’agente dedicato alla macchina virtuale interessata.

Gli assegno un obiettivo preciso: analizzare il server, raccogliere le evidenze, individuare l’origine della segnalazione e contenere l’eventuale rischio, evitando interruzioni alle applicazioni in produzione.

Non è stata un’improvvisazione

Potrebbe sembrare un intervento nato sul momento, ma ciò che è successo quella sera è il risultato di un progetto durato circa otto mesi.

In Netlab abbiamo creato agenti AI dedicati alle singole macchine virtuali e ai VPS che gestiamo.

Ogni agente conosce il contesto tecnico del sistema al quale è assegnato: ruolo della macchina, servizi presenti, applicazioni collegate, procedure di controllo e criticità da verificare.

Questi agenti non dispongono di un accesso indiscriminato all’infrastruttura. Operano entro confini precisi, con privilegi prevalentemente di lettura e con un insieme limitato di controlli e azioni autorizzate.

Le attività più delicate richiedono sempre la supervisione e l’autorizzazione di una persona.

L’obiettivo non è sostituire il tecnico, ma permettergli di intervenire più rapidamente, disponendo già del contesto e delle informazioni necessarie.

L’indagine sulla macchina virtuale

L’agente ha iniziato verificando:

• processi e servizi attivi;
• connessioni di rete;
• porte esposte;
• eventuali meccanismi di persistenza;
• file sospetti;
• configurazioni delle applicazioni;
• log del server e del web server.

Le verifiche non hanno evidenziato la presenza di un server di comando e controllo attivo riconducibile al malware indicato nella segnalazione.

L’indagine, però, ha fatto emergere un’altra vulnerabilità concreta.

Un file di configurazione di un’applicazione web risultava accessibile pubblicamente. Al suo interno erano presenti informazioni riservate relative al collegamento con il database.

L’analisi dei log ha inoltre mostrato che quel file era già stato richiesto da diversi scanner automatici.

La segnalazione ricevuta e il problema effettivamente individuato non coincidevano perfettamente. L’allarme, tuttavia, ci aveva portato a scoprire una superficie d’attacco reale che doveva essere chiusa immediatamente.

L’intervento

Dopo aver raccolto le evidenze, abbiamo:

• impedito l’accesso pubblico ai file di configurazione sensibili;
• ristretto l’accesso al database ai soli server autorizzati;
• eliminato una regola di accesso eccessivamente permissiva;
• verificato il corretto funzionamento delle applicazioni collegate;
• controllato che l’intervento non producesse interruzioni dei servizi;
• predisposto le verifiche successive necessarie per chiudere formalmente l’incidente.

La vulnerabilità immediata è stata contenuta senza fermare le applicazioni in produzione.

Agenti che controllano l’infrastruttura ogni mattina

Gli agenti AI non vengono utilizzati soltanto quando arriva un’emergenza.

Ogni mattina eseguono una verifica puntuale delle principali criticità dell’infrastruttura Netlab. I controlli comprendono, tra le altre cose:

• lo stato delle singole macchine virtuali e dei VPS;
• la disponibilità dei servizi;
• eventuali anomalie tecniche;
• il rispetto delle policy di backup;
• la presenza e la regolarità dei backup previsti;
• le situazioni che richiedono un approfondimento umano.

Questo ci permette di individuare prima le anomalie, rendere più sistematici i controlli e ridurre il tempo necessario per ricostruire il contesto quando si presenta un problema.

Il risultato è anche un aumento della qualità del servizio offerto ai clienti: le verifiche non dipendono esclusivamente dall’arrivo di una segnalazione, ma vengono effettuate con continuità.

L’intelligenza artificiale non ha fatto tutto da sola

Non è la storia di un’AI che ha risolto autonomamente un incidente informatico.

La differenza l’ha fatta il sistema costruito nei mesi precedenti: competenze umane, procedure, conoscenza dell’infrastruttura, privilegi limitati e agenti specializzati.

Io ho definito l’obiettivo, le priorità e i limiti dell’intervento. L’agente dedicato alla macchina ha eseguito i controlli autorizzati, raccolto le informazioni e contribuito a collegare rapidamente le evidenze.

Le decisioni e le operazioni più delicate sono rimaste sotto supervisione umana.

Tutto questo mentre ero ancora in fila per ritirare le pizze.

Dalla chatbot all’intelligenza operativa

L’intelligenza artificiale diventa davvero interessante quando smette di essere soltanto una finestra nella quale scrivere domande.

Il suo valore cresce quando viene inserita in un processo operativo progettato con attenzione, nel quale ogni agente:

• conosce il proprio ambito;
• dispone soltanto dei privilegi necessari;
• esegue controlli definiti;
• documenta ciò che rileva;
• coinvolge una persona quando è necessario prendere una decisione.

La tecnologia, da sola, non sostituisce l’esperienza. Può però amplificarla, renderla disponibile più velocemente e aiutare le persone a intervenire anche quando non si trovano fisicamente davanti alla console.

Quella sera non abbiamo assistito a una magia improvvisa. Abbiamo visto il risultato concreto di otto mesi di lavoro.

La messa in sicurezza immediata è stata completata. Il monitoraggio successivo e la verifica formale della reputazione dell’indirizzo completeranno la chiusura dell’incidente, perché un problema di sicurezza non si considera risolto sulla base di una sensazione, ma attraverso evidenze verificabili.

Da questa esperienza nasce AI sul campo — Storie vere da Netlab, una serie nella quale racconteremo come stiamo utilizzando concretamente l’intelligenza artificiale nel nostro lavoro quotidiano.

Niente dimostrazioni costruite: problemi reali, decisioni reali, risultati misurabili e lezioni imparate sul campo.