L'ultimo rapporto difensivo di Microsoft descrive una combinazione scomoda: gli aggressori preparano più rapidamente parti di un'intrusione, mentre identità e strumenti collegati compromessi raggiungono una quota maggiore dell'organizzazione. L'IA accelera metodi noti prima che gli attacchi completamente autonomi diventino abituali. Il problema immediato è quindi sia una finestra di risposta più breve sia una rete più ampia di accessi fidati.
Pubblicato il 1 ºottobre, il Digital Defense Report 2026 esamina attività da luglio 2025 a giugno 2026. Microsoft colloca l'IA in ricognizione, ingegneria sociale, ricerca di vulnerabilità, sviluppo di malware e analisi successive alla compromissione. Le osservazioni non dimostrano che agenti senza supervisione dominino gli attacchi. Le persone controllano ancora la maggioranza delle campagne; la ricerca sull'orchestrazione emergente va distinta dall'attività consolidata.
Che cosa misurano i numeri
Microsoft segnala furto di dati nel 63% delle intrusioni osservate e oltre 46 milioni di attacchi basati sull'impersonificazione di contatti commerciali nei 12 mesi precedenti. Tra intrusioni con account validi, il 52,2% ha portato ad altri furti di credenziali. Una sola identità rubata può aprire altri account, documenti cloud e strumenti amministrativi fidati, invece di restare un accesso isolato.
Dati geografici e settoriali hanno denominatori e periodi distinti. I clienti statunitensi rappresentavano il 25,5% dell'attività osservata da gennaio 2025 a giugno 2026. Enti e servizi governativi costituivano il 27% della misurazione settoriale 2026 contro il 17% nel 2025; l'IT il 17%, ricerca e università il 14%. Sono quote nel campo visivo di Microsoft, non un censimento mondiale né la probabilità d'attacco di una singola organizzazione.
Il phishing rappresentava il 23% delle intrusioni osservate nel 2026 contro il 7% nel 2025. Non si può attribuire automaticamente l'aumento all'IA. Un'analisi di aprile riportava separatamente un tasso di clic del 54% per phishing assistito dall'IA contro circa il 12% per campagne tradizionali. È un rapporto di 4,5 volte, non un incremento relativo del 450%. Disegno della campagna, selezione dei destinatari e popolazione misurata limitano l'interpretazione: non è una previsione universale per ogni casella.
L'IA riduce comunque i costi per adattare esche al ruolo, tradurre, imitare il linguaggio lavorativo e correggere messaggi inefficaci. Aiuta anche a creare personaggi, falsificare documenti, impostare script, correggere malware, eludere il rilevamento e riassumere file rubati. Questi miglioramenti contano anche senza nuovi exploit o un aggressore-macchina indipendente.
Meno di un giorno è un avviso, non un orologio universale
Microsoft afferma che l'intervallo mediano dalla scoperta sul campo di una vulnerabilità alla sua trasformazione in strumento d'attacco è sceso ben sotto 24 ore. Può includere exploit, scansioni o un più ampio flusso d'intrusione. Il riepilogo pubblico non fornisce ore esatte, campione completo, distribuzione o metodologia dettagliata. Non giustifica un conto alla rovescia uguale per ogni CVE.
Il confronto riguarda organizzazioni che possono impiegare 30–60 giorni per correggere falle critiche esposte esternamente. Neppure questo è un tempo universale. Un operatore cloud può mitigare presto, mentre servizi regolamentati, industriali o clinici richiedono verifiche di compatibilità e interruzioni pianificate. Individuazione degli asset, responsabilità degli appaltatori, test, finestre di manutenzione e autorizzazioni spiegano parte del ritardo senza eliminare l'esposizione.
Il confronto delle patch assistito dall'IA analizza codice aggiornato e vulnerabile, individua funzioni modificate e propone input che raggiungano il percorso difettoso. Gli aggressori organizzano anche impronte software, documenti pubblici e credenziali trapelate su molti bersagli. Possono accettare tentativi falliti e passare oltre; i difensori devono mantenere operativo ogni sistema. Pubblicare una patch avvia quindi la difesa ma informa anche l'avversario sul difetto.
I due resoconti indicano volumi diversi: uno prevede 72.000 vulnerabilità divulgate nel 2026; l'altro segnala quasi 40.000 CVE nel primo semestre ed estrapola circa il doppio per l'anno. Non vanno uniti tacitamente in una previsione riconciliata. Più segnalazioni possono riflettere una migliore scoperta di vecchi difetti, non un crollo improvviso della qualità software.
Rispondere in base all'esposizione affronta l'asimmetria meglio del numero di patch. Un gateway d'identità sfruttato e raggiungibile da internet può essere più urgente di una falla tecnicamente più grave dietro controlli robusti. Isolamento temporaneo, accesso pubblico limitato, rotazione delle credenziali e nuovi rilevamenti riducono il rischio prima dell'aggiornamento definitivo. Il catalogo CISA offre prove di sfruttamento, ma attendere ogni conferma esterna può lasciare aperto un percorso plausibile.
Gli agenti collegano i rischi, non li sostituiscono
Il rapporto distingue usare l'IA contro sistemi tradizionali dall'attaccare i sistemi IA stessi. Prompt, dati del modello, infrastruttura di servizio, informazioni dell'utente, output, strumenti e identità degli agenti possono essere ingressi o ponti. I soli test di rifiuto del modello non dimostrano la sicurezza dell'applicazione circostante.
Microsoft distingue manipolazione dei prompt, esposizione di dati sensibili, compromissione d'identità, eccessiva capacità d'azione e danni all'integrità operativa. L'eccesso d'azione può nascere quando strumenti autorizzati singolarmente vengono concatenati in un'azione non approvata. L'integrità comprende prompt, memoria, configurazione, dati d'addestramento, dipendenze e log: modificarli può deviare comportamenti futuri senza compromettere il modello.
Un documento ostile può ordinare a un agente di ricerca di divulgare informazioni o invocare un altro strumento. Se i dati manipolati entrano in memoria, possono influire su compiti successivi. Il confine cruciale separa leggere contenuti dall'attribuire loro autorità per causare azioni. Responsabile e ambito di recupero contano nelle basi di conoscenza interne come negli altri archivi sensibili.
Il legame con l'identità emerge anche nelle operazioni nordcoreane di lavoratori IT remoti monitorate come Jasper Sleet e Coral Sleet. L'IA aiuta curricula, personaggi falsi, comunicazioni in altre lingue e prove tecniche. Le credenziali decisive arrivano ancora dal datore di lavoro dopo un'assunzione fraudolenta. È abuso di un rapporto commerciale fidato, non semplicemente malware generato.
Gli operatori provano anche prompt di ruolo, richieste riformulate e istruzioni distribuite in più interazioni per aggirare le protezioni. Output apparentemente innocui si possono assemblare fuori dal modello. Restano problemi di affidabilità: codice non funzionante, esche inefficaci e comportamenti automatici che rivelano l'aggressore.
L'affermazione di autonomia ha un limite importante
Microsoft descrive in sei mesi una progressione dall'assistenza alla guida e al completamento autonomo di parti degli attacchi. Cita anche una valutazione controllata in cui un sistema IA ha completato una sequenza di 32 fasi. Dimostra orchestrazione in condizioni definite, non intrusioni affidabili in imprese arbitrarie e difese.
Gli ambienti reali introducono informazioni mancanti, dipendenze inattese, interferenze difensive e percorsi non documentati che richiedono ancora esperienza umana. La valutazione più ampia delle tattiche Microsoft descrive l'attuale uso malevolo soprattutto come generazione di testo, codice e media, con esperimenti agentici avanzati non ancora su larga scala. Le affermazioni convivono se automazione parziale non significa autonomia completa.
I difensori affrontano un vincolo analogo. La precedente struttura di scansione multimodello di Microsoft cerca vulnerabilità e assiste la correzione, con il piano annunciato di trasformare la capacità interna in prodotto. Un'indagine separata riferiva che i risultati arrivavano più rapidamente di quanto alcuni team Microsoft potessero gestire. Individuare più falle plausibili aiuta solo se riproduzione, priorità, riparazione, test e distribuzione tengono il passo.
L'azienda afferma che alcuni utenti di Security Copilot completano riepiloghi delle minacce 60–70% più rapidamente. Si misura un'attività dell'analista, non necessariamente contenimento o correzione sicura. Falsi positivi, abbinamenti errati degli asset e modifiche automatiche dannose restano contrappesi importanti alle narrazioni ottimistiche sulla produttività.
Il rilevamento collegato deve essere responsabile
Si consideri un phishing con reverse proxy che cattura credenziali e token di sessione autenticata. Una sessione successiva accede a posta e cloud, copia documenti finanziari e aggiunge un metodo d'autenticazione per persistere. Sistemi di posta, browser, identità e applicazioni possono vedere solo frammenti. Relazioni di tempo, dispositivo, utente e accesso costruiscono una cronologia investigabile.
L'IA raggruppa avvisi e riassume schemi noti, lasciando agli analisti i percorsi sconosciuti. Ma un agente difensivo con ampi privilegi è a sua volta un ingresso. Servono identità distinte e revocabili, un responsabile identificato, credenziali limitate, autenticazione, approvazioni delle azioni e contesto verificabile. Leggere un record non deve autorizzare automaticamente modifiche, invio o esecuzione delle istruzioni contenute.
Microsoft registra tempi di permanenza degli aggressori crescenti in più settori, nonostante risposte migliori dopo il rilevamento. Agire più rapidamente dopo aver capito l'intrusione non equivale a riconoscerla prima. Conta dimostrare che la correlazione scopre prima di un singolo prodotto, riduce il tempo dall'accesso iniziale al contenimento e conserva prove verificabili, non soltanto più telemetria.
Una visione ampia resta una visione particolare
Microsoft dichiara di elaborare mediamente ogni giorno oltre 165 mila miliardi di segnali di sicurezza,31 milioni di rilevamenti di rischio d'identità e 5,2 miliardi di email. La scala è preziosa, ma composizione dei clienti, adozione regionale, impostazioni e variazioni nella copertura influenzano la visibilità. Le percentuali osservate non misurano tutto internet.
L'azienda vende anche prodotti integrati per identità, cloud, endpoint e sicurezza IA. L'interesse commerciale non invalida le osservazioni, ma correlare non richiede acquistare ogni livello da un solo fornitore. Identificatori condivisi, log normalizzati, standard aperti e disciplina nella gestione degli incidenti collegano le prove; la concentrazione può invece estendere un guasto a più livelli. La collaborazione pubblico-privata aggiunge contesto purché protegga dati sensibili di clienti e indagini.
Il quadro NIST sul rischio IA offre una prospettiva di progettazione, distribuzione, misurazione e governance, non sostituisce i controlli informatici. Le prossime prove utili sono definizioni e distribuzioni trasparenti del tempo di preparazione degli exploit, autonomia verificata fuori dal laboratorio, minore esposizione e permanenza e meno modifiche fallite. La lezione immediata è concreta: l'IA riduce lo sforzo dell'attaccante; i difensori devono collegare identità, azioni degli agenti e asset vulnerabili abbastanza presto da interrompere l'accesso senza rompere i sistemi protetti.
Fonti e letture correlate
Digital Defense Report di Microsoft · Risultati del rapporto di ottobre · IA nel ciclo dell'attacco · Confini di accesso alle basi di conoscenza · Ricerca sulle tattiche con IA · Quadro NIST sul rischio IA · Analisi del panorama delle minacce · Scansione e difesa con IA · Indagine sulle correzioni Microsoft · Catalogo CISA delle vulnerabilità sfruttate · Registro della notizia principale · Registro della notizia complementare