Il modello tradizionale della cybersecurity mostra ormai tutti i suoi limiti. È questa la convinzione che ha guidato Sophos a realizzare di Sophos Fusion, il nuovo sistema di difesa informatica nativo per l’intelligenza artificiale.
Il messaggio lanciato da Sophos è chiaro: il problema della sicurezza informatica non è più la mancanza di strumenti, ma la loro frammentazione. Nel corso degli anni, ogni nuova minaccia ha generato una nuova categoria di prodotti. Il phishing ha portato alla diffusione di soluzioni dedicate alla protezione della posta elettronica, la migrazione al cloud ha richiesto piattaforme specifiche per il nuovo ambiente, la crescita del ransomware ha favorito nuovi sistemi di rilevamento e risposta. Il risultato è un ecosistema estremamente complesso nel quale, secondo i dati citati da Sophos, un Security Operations Center utilizza mediamente quasi undici console differenti e una grande impresa arriva a gestire oltre quarantacinque strumenti di sicurezza distinti.
Aumenta la spesa in cybersecurity ma non l’efficacia
Tale proliferazione non si è però tradotta in una maggiore efficacia. A fronte di una spesa globale per la cybersecurity che ha raggiunto circa 240 miliardi di dollari all’anno, il numero degli attacchi continua infatti a crescere, così come aumentano i costi economici delle violazioni.
“Per circa quarant’anni la cybersecurity è stata costruita un prodotto alla volta – ha precisto il Ceo di Sophos Joe Levy –. Ogni nuova minaccia produceva un nuovo strumento e spesso anche un nuovo fornitore. Oggi abbiamo più prodotti, più dashboard e più vendor che in qualsiasi altro momento della storia, eppure le violazioni continuano ad aumentare in frequenza e in impatto economico”.
Per Levy, il problema è ulteriormente aggravato dalla carenza di competenze. L’azienda stima che nel mondo esistano circa 359 milioni di organizzazioni, ma meno di 35 mila Chief Information Security Officer operino a tempo pieno. In pratica esiste un CISO ogni diecimila organizzazioni, una sproporzione che rende evidente come la maggior parte delle imprese non disponga delle risorse necessarie per definire una strategia di sicurezza efficace, scegliere le tecnologie più appropriate, configurarle correttamente e misurarne concretamente i risultati.
L’arrivo dell’intelligenza artificiale ha ulteriormente accelerato questa trasformazione. Levy ha individuato nel novembre 2025 il momento in cui i modelli di AI sono passati dall’essere semplici strumenti di supporto a veri e propri agenti autonomi in grado di eseguire attività articolate. Una capacità che rappresenta al tempo stesso un’enorme opportunità per chi difende le infrastrutture e un potente acceleratore per i criminali informatici. “Per noi difensori questa è la tecnologia più potente che abbiamo mai avuto per colmare il divario di competenze e portare un giudizio di livello CISO in sistemi che operano alla velocità delle macchine. Gli attaccanti, però, hanno a disposizione la stessa potenza, senza alcuna delle tradizionali limitazioni”.
Sophos Fusion, la difesa nativa per l’AI
Da questa riflessione nasce Sophos Fusion, che l’azienda definisce non come un’ulteriore piattaforma ma come un vero e proprio sistema di difesa. L’obiettivo non è aggiungere un altro prodotto a un’infrastruttura già affollata, bensì creare un ambiente nel quale tutte le componenti condividano dati, contesto e capacità decisionali, permettendo alle informazioni provenienti da endpoint, firewall, posta elettronica, identità digitale e cloud di essere correlate automaticamente.
Il cuore operativo di Fusion è rappresentato dall’integrazione completa tra Sophos e SecureWorks, acquisita nel 2024, che consentirà di unificare le capacità analitiche della piattaforma Taegis con l’ecosistema Sophos Central. “Non abbiamo acquisito SecureWorks per aggiungere un altro prodotto al catalogo – ha sottolineato Raja Patel, Chief product officer –. L’abbiamo fatto per fondere due architetture leader in un unico sistema nel quale l’intelligenza artificiale rappresenta il tessuto connettivo che permette a endpoint, firewall, e-mail, cloud e identità di ragionare e agire come un unico organismo”.
Evolve il servizio MDR
Il nuovo Sophos Fusion comprende anche un’evoluzione del servizio Managed Detection and Response (MDR), che oggi protegge oltre quarantamila clienti nel mondo. Secondo Patel, il 52% degli incidenti viene già gestito attraverso workflow agentici, mentre il tempo medio di risposta è sceso a 89 secondi grazie all’automazione supportata dall’intelligenza artificiale e al lavoro del team di ricerca X-Ops.
Tra le novità che introduce Sophos Fusion figura, inoltre, una piattaforma SIEM di nuova generazione, progettata per offrire conservazione dei dati a lungo termine, funzionalità di compliance e analisi avanzata attraverso un modello di licensing basato sul numero di utenti e server, anziché sul volume dei dati elaborati, con l’obiettivo di rendere più prevedibili i costi operativi.
Una parte significativa della strategia riguarda anche la protezione dell’intelligenza artificiale stessa. Sophos AI Defense è stato sviluppato per offrire visibilità sugli strumenti AI adottati dalle organizzazioni, individuare fenomeni di Shadow AI e controllare i rischi derivanti dall’utilizzo di modelli generativi all’interno delle reti aziendali. Parallelamente, Sophos CISO Advantage punta a mettere a disposizione delle imprese prive di un responsabile della sicurezza competenze assimilabili a quelle di un Chief Information Security Officer, attraverso valutazioni continue del rischio, mappatura della conformità e benchmarking.
L’AIconnette l’intero ecosistema
Alla base di Sophos Fusion c’è un principio architetturale preciso: l’intelligenza artificiale non rappresenta una funzionalità aggiuntiva, ma costituisce il livello che connette l’intero ecosistema. Tutti i segnali raccolti confluiscono in un unico contesto condiviso, consentendo una risposta sincronizzata che può coinvolgere simultaneamente endpoint, firewall, identità digitale e posta elettronica. Il sistema è inoltre progettato per operare in autonomia entro limiti definiti dagli analisti, mantenendo il controllo umano sulle decisioni più critiche. Ogni nuova minaccia osservata presso uno dei 625 mila clienti contribuisce infine ad arricchire il patrimonio informativo condiviso, migliorando automaticamente la protezione dell’intera base installata.
Secondo Sophos, questo approccio coincide con la nuova categoria di mercato individuata da Gartner, che ha annunciato la creazione di un Magic Quadrant dedicato agli Integrated Security Operations Center Systems, cioè sistemi progettati fin dall’origine come un’unica architettura anziché come un insieme di prodotti integrati successivamente.
Gli attaccanti puntano sempre più sulla velocità
Alex Rose, Director, Threat Research di Sophos ha illustrato il panorama attuale della cybercriminalità. Oggi gli attacchi non sono più eventi isolati ma campagne coordinate che coinvolgono contemporaneamente identità digitali, posta elettronica, endpoint e rete. L’intelligenza artificiale, ha spiegato, non sta ancora creando forme completamente nuove di attacco, ma sta riducendo drasticamente il tempo necessario per adattare e perfezionare tecniche già conosciute.
“L’AI non sta cambiando le regole del gioco, lo sta velocizzando – ha osservato Rose –. Attività che prima richiedevano settimane oggi possono essere completate in pochi giorni, ore o addirittura minuti”.
Il ransomware continua a rappresentare la principale minaccia per aziende di qualsiasi dimensione. Gli attori criminali, ha ricordato Rose, non scelgono necessariamente uno specifico settore industriale, ma cercano le opportunità più semplici per ottenere un accesso iniziale e monetizzare rapidamente l’attacco. Accanto ai gruppi ransomware cresce il ruolo degliInitial Access Broker e degli Info Stealer, specializzati nel furto e nella vendita di credenziali, mentre lo sfruttamento delle vulnerabilità rimane stabilmente tra i principali vettori di compromissione.
L’identità digitale alla base degli attacchi ransomware
Secondo lo State of Ransomware Report, realizzato da Sophos attraverso un’indagine condotta su oltre 2.100 organizzazioni colpite da ransomware in diciassette Paesi, dopo diversi anni le vulnerabilità non rappresentano il principale vettore di accesso. Al primo posto si collocano infatti le e-mail malevole, responsabili del 26% degli incidenti, seguite dal phishing con il 24% e dalle credenziali compromesse con il 23%. Nel complesso, il 79% degli attacchi ransomware inizia con un compromesso dell’identità digitale.
Un altro dato significativo riguarda il ruolo dei firewall. Nel 61% degli incidenti analizzati questi dispositivi sono riusciti a individuare comportamenti sospetti prima dell’esecuzione del ransomware, ma la sola capacità di rilevamento non è sufficiente: in metà dei casi i dati sono stati comunque cifrati. Quando invece mancava qualsiasi segnale proveniente dal firewall, la percentuale di organizzazioni che ha subito la cifratura dei dati è salita al 71%, confermando l’importanza di correlare tempestivamente le informazioni provenienti da tutti gli strumenti di sicurezza.
Crescono gli attacchi diretti all’AI
Un’altra indagine, l’AI Security Report, ha evidenziato invece come gli attaccanti utilizzino già agenti di intelligenza artificiale per sviluppare malware e tecniche di evasione in tempi estremamente ridotti. In uno dei casi analizzati dai ricercatori, un gruppo criminale aveva creato all’interno della rete della vittima una sorta di laboratorio di sviluppo software basato su una dozzina di agenti AI, riuscendo a produrre circa ottanta moduli malware e oltre settanta tecniche di evasione nel giro di pochi giorni. Parallelamente cresce il numero di attacchi rivolti direttamente ai sistemi di intelligenza artificiale, attraverso il furto di credenziali e token di accesso, mentre la diffusione degli agenti AI nelle grandi organizzazioni procede molto più rapidamente rispetto all’adozione di adeguati modelli di governance.
