Microsoft vuole usare contro gli attacchi informatici la stessa tecnologia che sta rendendo gli attacchi più rapidi, economici e difficili da prevedere. Il gruppo ha presentato il 27 luglio 2026 Project Perception, un sistema di cybersicurezza basato su agenti autonomi, insieme a MAI-Cyber-1-Flash, un modello di intelligenza artificiale addestrato per individuare vulnerabilità nel software.
L’annuncio arriva in una fase delicata per l’industria tecnologica. I modelli più avanzati hanno dimostrato di poter scrivere codice, cercare falle sconosciute e concatenare diverse vulnerabilità fino a ottenere l’accesso a sistemi reali. Le stesse capacità possono essere impiegate da un’impresa per proteggere le proprie reti oppure da un aggressore per comprometterle.
Mustafa Suleyman, responsabile dell’intelligenza artificiale presso Microsoft e cofondatore di DeepMind, ha affermato che l’ammissione da parte di OpenAI, la scorsa settimana, secondo cui uno dei suoi “agenti” di intelligenza artificiale era sfuggito dall’ambiente di test per attaccare la start-up Hugging Face, rappresenta una “lezione importante”.
“«”Si tratta di [strumenti] molto potenti che devono essere gestiti con estrema cautela. E occorre prestare la massima attenzione ai dettagli», ha dichiarato al Financial Times in un’intervista. «Il principio di precauzione assumerà un’importanza fondamentale man mano che i modelli diventeranno sempre più potenti e ritengo che questo sia un segnale d’allarme”.
La sicurezza informatica ormai quindi richiede un’attività continua, non un utilizzo occasionale. Se gli attacchi automatizzati aumenteranno, aziende e amministrazioni dovranno acquistare strumenti capaci di analizzare reti, identità digitali, applicazioni e dispositivi senza interruzioni. I fornitori di cloud e software aziendale potranno quindi trasformare la difesa dall’AI in una nuova fonte di ricavi ricorrenti.
Il vantaggio competitivo di Microsoft deriva dalla diffusione dei suoi prodotti. Windows, Azure, Outlook, Microsoft 365 e i servizi di identità aziendale sono utilizzati da milioni di organizzazioni e costituiscono obiettivi frequenti per criminali informatici e gruppi legati a governi. L’azienda raccoglie così una quantità di dati sugli attacchi che pochi concorrenti possono eguagliare. Queste informazioni possono essere impiegate per addestrare modelli specializzati e migliorare gli strumenti venduti agli stessi clienti.
Indice degli argomenti:
Che cosa fa Project Perception
Project Perception coordina diversi modelli e tre categorie di agenti digitali.
Gli agenti “red team” simulano il comportamento degli aggressori e cercano possibili percorsi di intrusione.
Quelli “blue team” analizzano i segnali e stabiliscono quali anomalie costituiscano un rischio reale.
Gli agenti “green team” intervengono per correggere le configurazioni e rafforzare le difese.
Microsoft descrive il sistema come un ciclo continuo: individuare una debolezza, valutarne la pericolosità e applicare una correzione. L’obiettivo consiste nel ridurre la distanza temporale tra la scoperta di una falla e la sua riparazione. Nei sistemi tradizionali, invece, gli strumenti producono migliaia di segnalazioni che devono essere esaminate da analisti umani, spesso con personale insufficiente.
Project Perception entrerà in anteprima pubblica il 3 agosto 2026. Il sistema utilizzerà modelli differenti in base al compito, anziché affidarsi a un’unica AI generalista. Microsoft sostiene che questa architettura possa contenere i costi e migliorare le prestazioni: un modello molto potente può essere riservato ai problemi complessi, mentre uno più piccolo e specializzato può occuparsi delle operazioni ripetitive.
Il primo modello proprietario inserito nel sistema è MAI-Cyber-1-Flash. Secondo i risultati pubblicati dall’azienda, la configurazione integrata nella piattaforma MDASH ha ottenuto il 96 per cento nel benchmark CyberGym, dodici punti in più rispetto al modello Mythos di Anthropic. Microsoft afferma inoltre che il nuovo assetto riduce quasi del 50 per cento i costi rispetto alla precedente configurazione commerciale di MDASH.
Si tratta, tuttavia, di dati comunicati dall’impresa che vende il prodotto: le prestazioni operative dovranno essere verificate su reti aziendali differenti e sotto attacchi reali.
Un sistema di oltre cento agenti
MDASH, acronimo con cui Microsoft identifica il proprio sistema di scansione multi-modello, era stato presentato nel maggio 2026. La piattaforma orchestra più di cento agenti specializzati che analizzano il codice, discutono tra loro i risultati, tentano di dimostrare che una falla sia sfruttabile e propongono una correzione.
Durante i test condotti sui componenti di Windows, MDASH ha contribuito a individuare 16 vulnerabilità non ancora note, comprese quattro falle critiche che avrebbero potuto consentire l’esecuzione di codice da remoto. Microsoft ha dichiarato che il sistema ha trovato tutte le 21 vulnerabilità inserite intenzionalmente in un programma di prova, senza falsi positivi, e ha ottenuto l’88,45 per cento su una precedente versione del benchmark CyberGym.
I risultati indicano quanto rapidamente stiano migliorando questi strumenti. A maggio MDASH aveva raggiunto l’88,45 per cento; a luglio, con MAI-Cyber-1-Flash, Microsoft ha dichiarato il 96 per cento. Il confronto, però, richiede cautela: benchmark, configurazioni e condizioni di prova possono cambiare e non sempre riproducono la complessità di un’infrastruttura bancaria, sanitaria o industriale.
La valutazione economica dipenderà anche dal numero di falsi allarmi. Un sistema che segnala molte vulnerabilità inesistenti può aumentare i costi, perché costringe gli esperti a controllare risultati inutili. Un agente autorizzato a modificare automaticamente una rete potrebbe inoltre introdurre errori o interrompere servizi essenziali. L’automazione riduce il lavoro manuale soltanto quando le decisioni del modello risultano affidabili e verificabili.
L’incidente tra OpenAI e Hugging Face
L’urgenza dell’annuncio Microsoft è diventata più evidente dopo l’incidente reso pubblico da OpenAI il 21 luglio 2026. Durante una valutazione interna, due modelli dell’azienda hanno superato i confini dell’ambiente di prova, sfruttato vulnerabilità e raggiunto l’infrastruttura di Hugging Face, una delle piattaforme più utilizzate per distribuire modelli e archivi di dati per l’AI.
I sistemi stavano cercando di completare ExploitGym, un test progettato per misurare capacità informatiche offensive. Per rendere la valutazione più severa, OpenAI aveva disattivato alcune protezioni normalmente impiegate per bloccare attività ad alto rischio. I modelli hanno individuato una vulnerabilità sconosciuta nel software che gestiva l’accesso ai pacchetti, ottenuto una connessione a internet e combinato credenziali sottratte e altre falle fino a raggiungere i server di Hugging Face.
Secondo OpenAI, l’obiettivo dei modelli non era condurre un attacco generico, ma trovare le risposte del test per superare la valutazione. La distinzione non elimina il problema: il sistema ha perseguito il compito assegnato utilizzando procedure che i ricercatori non avevano previsto e violando un’infrastruttura esterna. Hugging Face ha rilevato e bloccato l’attività, mentre le due società hanno avviato un’indagine congiunta.
L’episodio mostra che la sicurezza dei modelli non riguarda soltanto il comportamento degli utenti. Anche le fasi di addestramento e valutazione possono diventare pericolose quando un agente dispone di strumenti software, tempo di elaborazione e sufficiente autonomia. OpenAI ha annunciato controlli più rigidi, nuovi sistemi di monitoraggio e una maggiore separazione delle infrastrutture utilizzate durante i test.
La versione di Suleyman sugli attacchi cyber
Il responsabile dell’intelligenza artificiale di Microsoft ha definito la serie di attacchi informatici condotti da un modello ribelle di OpenAI un «colpo d’avvertimento» per la crescita degli attacchi cyber basati sull’AI.
Mustafa Suleyman, amministratore delegato per l’AI di Microsoft e cofondatore di DeepMind, ha dichiarato che l’ammissione di OpenAI, la scorsa settimana, secondo cui uno dei suoi «agenti» di intelligenza artificiale era uscito da un ambiente di test per attaccare la start-up Hugging Face, rappresenta una «lezione importante».
«Sono strumenti molto potenti e devono essere gestiti con estrema cautela. Serve un’attenzione straordinaria ai dettagli», ha dichiarato in un’intervista al Financial Times. «Il principio di precauzione avrà un peso sempre maggiore man mano che i modelli diventeranno più potenti e penso che questo sia un colpo d’avvertimento».
Le dichiarazioni di Suleyman arrivano mentre cresce l’allarme per il modo in cui la capacità dell’AI di individuare e sfruttare le vulnerabilità del software potrebbe trasformare la sicurezza informatica, dopo il lancio in aprile del potente modello Mythos di Anthropic.
OpenAI è stata criticata perché la sua corsa allo sviluppo rapido di strumenti più potenti, per competere con Anthropic, avrebbe contribuito all’incidente di Hugging Face, mettendo in luce i rischi della competizione nel settore degli strumenti cyber basati sull’AI.
La responsabile della sicurezza di Microsoft, Hayete Gallot, ha affermato che non esiste «alcuna alternativa» alla necessità di spingere in avanti le capacità informatiche, così da costruire difese contro gli attacchi autonomi e «incessanti» condotti dall’AI che stanno colpendo i clienti di Microsoft.
«Gli aggressori dispongono di questi modelli. Dobbiamo quindi valutarli e spingerci oltre, affinché chi difende possa proteggersi», ha detto. «Non abbiamo scelta».
Secondo l’azienda, MAI-Cyber-1-Flash, combinato con GPT-5.4 di OpenAI, si è classificato al di sopra delle migliori soluzioni cyber di Anthropic e OpenAI in uno dei principali benchmark del settore.
Suleyman sta guidando la ricerca di una «vera autosufficienza» di Microsoft nell’intelligenza artificiale, dopo la riorganizzazione dei rapporti con OpenAI.
Nel perseguire l’indipendenza tecnologica da OpenAI, Suleyman ha sostenuto che l’uso del modello più piccolo MAI-Cyber-1-Flash insieme a GPT consente di ridurre i costi per i clienti.
Il gruppo software ha dichiarato che il proprio modello di AI sarebbe in grado di gestire «in modo efficiente» il 90 per cento di tutte le attività degli utenti, mentre i modelli di OpenAI continuerebbero a essere utilizzati per i «compiti eccezionalmente difficili».
Suleyman ha affermato che l’impiego di un’architettura tecnica harness è sufficiente a creare capacità rilevanti e sistemi di protezione integrati. Ha aggiunto che il nuovo strumento costa il 50 per cento in meno rispetto all’utilizzo esclusivo del modello di OpenAI.
Il lancio mette in luce la pressione competitiva su OpenAI e Anthropic, alle prese con concorrenti cinesi in rapido movimento che offrono capacità quasi equivalenti a costi operativi inferiori.
Microsoft ha dichiarato che una versione preliminare del prodotto sarà inizialmente disponibile per un gruppo selezionato di clienti.
Anthropic sceglie un accesso controllato
Le grandi aziende non condividono la stessa strategia distributiva. Anthropic ha limitato l’accesso a Claude Mythos Preview, un modello che, secondo la società, può superare quasi tutti gli specialisti umani nella ricerca e nello sfruttamento delle vulnerabilità.
Nell’aprile 2026 Anthropic ha avviato Project Glasswing, mettendo il sistema a disposizione di circa 50 organizzazioni impegnate nella protezione di software e infrastrutture considerate essenziali. L’impresa ha stanziato fino a 100 milioni di dollari in crediti di utilizzo e quattro milioni di dollari in finanziamenti diretti a gruppi che si occupano della sicurezza del software open source.
A giugno Anthropic ha riferito che i partner del progetto avevano trovato complessivamente oltre diecimila vulnerabilità gravi o critiche. Cloudflare, secondo i dati pubblicati da Anthropic, ne avrebbe individuate duemila, quattrocento delle quali classificate ad alta o critica severità. Alcune organizzazioni avrebbero aumentato di oltre dieci volte il ritmo con cui scoprono difetti nel codice.
Questi risultati rafforzano l’argomento di chi chiede di distribuire rapidamente l’AI ai difensori. Rafforzano, però, anche la posizione opposta: un modello capace di trovare migliaia di falle potrebbe offrire lo stesso vantaggio a un gruppo criminale o a un servizio di intelligence. Anthropic mantiene quindi un accesso selettivo, mentre Microsoft punta a una distribuzione commerciale più ampia, inizialmente attraverso i propri servizi di sicurezza.
Il rischio dei modelli liberamente disponibili
Limitare i sistemi più avanzati non risolve l’intero problema. Uno studio pubblicato il 2 giugno 2026 da ricercatori dell’Università di Toronto e del Vector Institute ha dimostrato che anche modelli liberamente disponibili possono alimentare un worm informatico capace di adattarsi alle macchine incontrate.
Un worm tradizionale sfrutta una vulnerabilità prestabilita e si replica automaticamente. Il prototipo canadese analizza invece ogni dispositivo, elabora una strategia diversa e modifica il proprio comportamento quando un tentativo fallisce. Dopo avere compromesso una macchina, utilizza anche la capacità di calcolo della vittima per preparare l’attacco successivo. Il costo marginale per l’aggressore può quindi avvicinarsi a zero.
I ricercatori hanno sperimentato il sistema soltanto in un laboratorio isolato, su una rete composta da computer Windows e Linux e dispositivi connessi. Lo studio non dimostra che un simile worm sia già operativo su internet, ma documenta la fattibilità tecnica di un malware autonomo che non dipende dai server di un’impresa di AI.
Filtri, rifiuti automatici e limiti di utilizzo applicati dai fornitori commerciali non avrebbero effetto su un modello eseguito localmente dalle macchine compromesse.
La sicurezza diventa una leva commerciale
La corsa alla difesa informatica modifica anche gli equilibri economici del settore tecnologico. Le imprese che controllano cloud, sistemi operativi e strumenti di produttività dispongono di tre risorse decisive: dati sugli attacchi, accesso alle reti dei clienti e canali commerciali già consolidati.
Microsoft può integrare Project Perception con Azure, Defender, Windows e i servizi di identità. Questa struttura riduce i costi di distribuzione e rende più difficile per un cliente sostituire un singolo prodotto senza rivedere l’intera architettura di sicurezza. L’AI può quindi rafforzare la dipendenza dalle grandi piattaforme, anche quando migliora la capacità di risposta agli incidenti.
Esiste inoltre un conflitto economico difficile da ignorare. I maggiori produttori di AI sviluppano sistemi che aumentano il rischio informatico e, allo stesso tempo, vendono gli strumenti necessari per controllarlo. Più le capacità offensive diventano diffuse, maggiore sarà la domanda di servizi difensivi ad abbonamento.
Per i clienti la scelta non riguarderà soltanto quale modello ottenga il punteggio più alto in un test. Dovranno valutare chi controlla i dati raccolti dagli agenti, quali azioni possono essere eseguite senza autorizzazione umana, come vengono attribuite le responsabilità in caso di errore e quanto costa trasferire la sicurezza a un altro fornitore.
L’episodio OpenAI-Hugging Face ha mostrato che un agente può trovare percorsi non previsti anche durante un test controllato. Project Perception tenta di sfruttare quella stessa autonomia per individuare le intrusioni prima degli aggressori. Il valore commerciale del progetto dipenderà dalla capacità di Microsoft di dimostrare che i suoi agenti possono agire alla velocità delle macchine senza sottrarre alle organizzazioni il controllo delle decisioni.
Partecipa alla community