Swimlane ha colmato una lacuna critica nella difesa basata sull’intelligenza artificiale aggiungendo alla sua piattaforma Turbine funzioni di rilevamento personalizzabili da parte dei clienti. Grazie a queste novità, i team di sicurezza possono applicare la propria logica ai dati operativi e inviare direttamente le allerte generate a Swimlane AI SOC per l’indagine.
Rilevamento definito dal cliente e logica di automazione
La versione rilasciata il 28 ottobre introduce il supporto bidirezionale del Model Context Protocol (MCP) e l’agent Hero AI Application Builder. Insieme, queste caratteristiche ampliano le capacità della piattaforma di automatizzare tre compiti complementari: determinare quali attività meritano un’indagine, connettere gli agenti agli strumenti e creare le applicazioni che supportano i processi di sicurezza.
Swimlane dichiara che le nuove funzioni sono generalmente disponibili e si integrano con le infrastrutture di sicurezza esistenti, quali sistemi di gestione di informazioni e eventi di sicurezza (SIEM), soluzioni di rilevamento e risposta su endpoint (EDR) e piattaforme di sicurezza cloud.
Controllo totale sugli elementi scatenanti
Molti prodotti SOC basati su IA si concentrano sul triage, l’indagine e la risposta una volta che un sistema di rilevamento ha identificato un comportamento sospetto. Questa separazione delle responsabilità diventa più complessa quando le organizzazioni introducono rapidamente nuovi agenti, copiloti, modelli locali e server MCP, superando la capacità dei sistemi di rilevamento tradizionali di gestirli.
Esempi tipici includono:
- Trasmissione di informazioni sensibili a un servizio IA non autorizzato
- Uso imprevisto di un modello locale
- Disabilitazione di un meccanismo di salvaguardia
- Consumo di risorse da parte di un agente oltre il budget previsto
Queste situazioni dipendono da politiche e ambienti specifici dell’organizzazione, piuttosto che da firme universali predefinite.
Come funziona la logica di rilevamento personalizzata
Le nuove funzionalità di Turbine consentono ai team di eseguire la propria logica di rilevamento sui dati accessibili dalla piattaforma. Una singola azione di elaborazione di big data può valutare decine di migliaia di record su nodi di calcolo paralleli e poi indirizzare un’avviso verso AI SOC per un’indagine e una risposta strutturate.
Questa architettura avvicina la logica di rilevamento all’automazione che sfrutta i risultati. Invece di individuare separatamente una situazione e assemblare manualmente le fasi successive, un team può collegare la propria regola personalizzata a un processo di indagine esistente.
«Da due anni il settore della sicurezza dibatte su quanto l’IA possa gestire un’avviso in modo autonomo, ma ciò ignora una domanda più fondamentale: da dove proviene l’avviso?», ha affermato Cody Cornell, cofondatore e CEO di Swimlane.
Rilevamenti assistiti dall’IA
Swimlane descrive anche la creazione di rilevamenti assistiti dall’IA. Le squadre possono descrivere la rilevazione desiderata e sfruttare le capacità di generazione di procedure di Turbine per costruirla. Tuttavia, la generazione della logica e la verifica della sua affidabilità rimangono attività distinte: le regole devono tenere conto di dati, autorizzazioni e condizioni ambientali.
AI‑Driven Detection & Response (AIDR)
Swimlane qualifica questi scenari come AI‑Driven Detection and Response (AIDR), dove il sistema IA stesso è oggetto dell’incidente. Questo approccio differisce dall’uso di un modello IA semplicemente per riassumere un avviso classico di phishing o malware.
Esempi di minacce AIDR includono:
- Injection of malicious prompts nei contenuti processati da un agente
- Aumento imprevisto dei costi operativi dovuto a un agente mal configurato
- Comportamenti anomali rilevati tramite metriche operative personalizzate
L’iniezione di prompt, ad esempio, può introdurre istruzioni esterne che alterano il comportamento dell’agente. Un’indagine efficace richiede l’analisi delle entrate dell’agente, dell’uso degli strumenti e delle azioni conseguenti, piuttosto che la semplice ricerca di indicatori di malware conosciuti.
Swimlane sottolinea che la capacità di elaborazione dichiarata è una specifica aziendale e non una garanzia di rilevamento di ogni forma di injection o uso non autorizzato dell’IA. In pratica, fornisce un ulteriore mezzo per trasformare osservazioni interne in casi d’uso sfruttabili.
Supporto MCP bidirezionale
Il Model Context Protocol (MCP) offre un’interfaccia comune per le applicazioni IA che utilizzano strumenti esterni. La versione di ottobre supporta entrambe le direzioni di connessione.
Come host MCP, Turbine permette a Hero AI di collegarsi a server MCP terzi e di utilizzare i loro strumenti durante indagini e procedure, garantendo autenticazione e controlli di accesso centralizzati.
Come server MCP, Turbine espone funzioni di automazione a client IA esterni. L’annuncio cita Claude, ChatGPT, Cursor, Gemini CLI e Microsoft Copilot come esempi di client in grado di invocare componenti Turbine, incluse procedure multi‑step, sfruttando i controlli di accesso basati sui ruoli.
Implicazioni operative
Questa doppia modalità consente:
- Un agente Swimlane di contattare sistemi esterni tramite MCP
- Un assistente IA esterno di avviare workflow Turbine approvati
Collegando un assistente a uno scenario di intervento esistente, le organizzazioni possono riutilizzare automazioni e autorizzazioni già in uso, evitando la ricreazione di processi in ciascun client IA.
In ambienti misti, dove solo alcuni sistemi supportano MCP, Turbine può combinare il protocollo con API tradizionali, facilitando integrazioni graduali senza la necessità di riscrivere tutte le connessioni.
Hero AI Application Builder con validazione umana
L’agente Hero AI risponde a una necessità di configurare strutture di registrazione, layout e workflow per nuovi casi d’uso di sicurezza. Gli utenti descrivono i requisiti in linguaggio naturale e l’agente genera o modifica l’applicazione corrispondente.
Le modifiche generate non vengono salvate fino a quando un operatore umano non le verifica. Esse vengono evidenziate, consentendo agli utenti di accettare o rifiutare le proposte prima del salvataggio definitivo. Questa fase di validazione è cruciale, poiché la struttura di un’applicazione influenza la raccolta delle prove, il passaggio dei ticket tra le fasi e la gestione dell’intervento.
Integrazione nella suite Hero AI
L’agent si inserisce nella più ampia offerta Hero AI, fornendo un livello di automazione guidata dall’IA con supervisione umana. Ciò permette alle organizzazioni di accelerare lo sviluppo di nuove soluzioni di sicurezza mantenendo il controllo sulla qualità e sulla conformità.
In sintesi, l’aggiornamento di Turbine amplia le capacità di Swimlane, permettendo alle squadre di sicurezza di definire regole di rilevamento su misura, integrare agenti IA tramite MCP in entrambe le direzioni e creare applicazioni di sicurezza con un processo di revisione umano, consolidando così una difesa più adattabile e reattiva in un panorama digitale in rapida evoluzione.