Un agente che riassume un allarme e uno che chiude un caso di sicurezza offrono prodotti diversi. Il secondo può togliere lavoro dalla coda degli analisti, ma deve spiegare quali prove autorizzano quali azioni. Il caso Sophos Daybreak collega velocità e responsabilità operativa, lasciando aperte importanti questioni di affidabilità.
Sophos riporta circa 89 secondi per indagine e risposta nei casi gestiti dagli agenti, contro una precedente media di circa 38 minuti, e il 52% dei casi MDR risolto dall'IA dall'inizio alla fine. Sono dati aziendali, non la prova che ogni incidente cliente si chiuda in 89 secondi. Gli stessi valori apparivano nel maggio 2026; il caso OpenAI di ottobre aggiunge dettagli operativi, non una misurazione del tutto nuova.
Fissare l'unità di lavoro
Chiedere quando parte il tempo: allarme grezzo, caso correlato, attivazione dell'agente o validazione dell'analista? Chiedere anche quando termina. Contenere un endpoint compromesso non equivale necessariamente a riparare, ripristinare o rimuovere ogni accesso. Il confronto serve solo con inizio, arresto e categorie ammesse coerenti.
Gli agenti Sophos intervengono dopo filtraggio e correlazione della telemetria, non su ogni evento grezzo autonomamente. Il sistema raccoglie contesto cliente, rilevamenti, indicatori e intelligence, quindi pianifica, esegue e verifica. Telemetria affidabile e procedure mature fanno parte del risultato; un team interno non eredita quelle condizioni comprando lo stesso modello.
Collegare il permesso del cliente all'azione
Sophos descrive tre modalità. Notify indaga e raccomanda, ma agisce il cliente. Collaborate implica decisioni congiunte. Authorise permette a Sophos di rispondere entro confini concordati. Le regole valgono per persone e agenti: un verdetto veloce non deve ampliare silenziosamente l'autorizzazione.
Richiedere una matrice di azioni con reversibilità, impatto aziendale, accesso ai dati ed escalation obbligatoria. Casi noti e ripetibili possono procedere sotto supervisione senza approvare ogni passo; schemi nuovi, decisioni importanti e contesto mancante richiedono intervento diretto. Il restante 48% non è automaticamente un fallimento: può comprendere i casi difficili in cui serve giudizio esperto.
Abbinare chiusure e correzioni
Né il tempo ridotto del 96% né il 52% di chiusure rivelano falsi positivi, minacce mancate, riaperture, annullamenti dei clienti o correzioni degli analisti. Richiederli per categoria, non solo aggregati. Meno automazione può riflettere soglie più rigorose o carichi più difficili, non un prodotto inferiore.
Campionare casi chiusi automaticamente e provare prove avversarie, telemetria incompleta e amministrazione legittima simile a un attacco. I risultati del modello richiedono supporto validato prima di azioni rilevanti. Il revisore deve avere tempo, prove e autorità per fermare la risposta: mettere una persona da qualche parte non impedisce approvazioni automatiche o pregiudizi favorevoli all'automazione.
Provare risultati limitati prima di ampliare i poteri
Scegliere casi frequenti con prove chiare, risposte reversibili ed escalation mature. Confrontare lavoro totale degli analisti, qualità del rilevamento, interruzioni indesiderate, riaperture e ripristino con il processo attuale. Conservare prove, azioni degli strumenti, titolarità delle decisioni e consenso cliente per ricostruire ogni caso dopo la conclusione.
Esaminare anche luogo di trattamento, conservazione, accesso dei componenti e contratti di telemetria esterna. Ampliare gli usi solo con valutazione, rollback e approvazione responsabile adeguati. Lo standard d'acquisto non è la percentuale autonoma più alta, ma chiusure appropriate a un rischio definito, errori misurabili e un responsabile chiaro quando la risposta è sbagliata.