Il colosso tecnologico Cisco ha condotto un esperimento innovativo per verificare se l’intelligenza artificiale possa essere utilizzata efficacemente nella redazione di report sugli incidenti di sicurezza informatica. I risultati, pubblicati in un post sul blog aziendale, mostrano un quadro ambivalente: significativi risparmi di tempo accompagnati da rischi che richiedono ancora supervisione umana.
L’esperimento di Cisco Talos sull’AI per la sicurezza
Nate Pors, senior incident commander del team Cisco Talos Incident Response, ha guidato la ricerca testando le capacità dei modelli linguistici di grandi dimensioni (LLM) nella stesura di report basati su esercitazioni di risposta agli incidenti di sicurezza.
L’analisi preliminare ha evidenziato che quando gli LLM vengono impiegati per generare contenuti tecnici approfonditi, tendono a produrre “imprecisioni significative, conclusioni insolite e stili di scrittura incoerenti”. Questo comportamento deriva dalla natura stessa degli LLM, che funzionano essenzialmente come sistemi avanzati di completamento automatico basati su previsioni statistiche.
Le quattro principali criticità degli LLM nella redazione tecnica
Secondo Pors, i modelli di intelligenza artificiale commettono errori in quattro modalità specifiche quando si tratta di produrre documentazione tecnica di sicurezza. Sebbene il post originale non dettagli esplicitamente tutte e quattro le categorie, i ricercatori hanno identificato pattern ricorrenti di problematiche.
La soluzione: istruzioni granulari e controllo delle fonti
Per mitigare questi problemi, il team Cisco ha sviluppato un approccio basato su specifiche tecniche precise:
- Istruzioni granulari e focalizzate: fornire all’AI comandi dettagliati concentrati su porzioni specifiche e limitate del report
- Riduzione delle allucinazioni: limitando il campo d’azione si diminuisce il rischio di contaminazione incrociata tra sezioni
- Definizione delle fonti: indicare esplicitamente quali documenti l’AI deve consultare
- Regole di stile e formato: stabilire linee guida chiare per l’output desiderato
I risultati: tempi dimezzati ma supervisione necessaria
Applicando queste tecniche, Cisco ha registrato una riduzione del 50% dei tempi necessari per redigere una bozza di report di incidente basata su esercitazioni teoriche.
Un test cieco condotto durante il processo di controllo qualità ha dimostrato che la qualità complessiva della scrittura non presentava cali evidenti. I revisori professionali, ignari dell’origine AI del documento, hanno espresso commenti positivi, notando addirittura una minore incidenza di errori grammaticali e refusi rispetto ai report standard redatti da esseri umani.
Le problematiche persistenti: contaminazione e incoerenza
Nonostante i risultati incoraggianti, il team Talos ha scoperto limiti importanti. Durante l’elaborazione di più report all’interno della stessa sessione, si è verificata una contaminazione incrociata del contenuto: informazioni provenienti dal materiale di un report si trasferivano in altri, anche dopo aver eliminato i documenti di riferimento originali.
La raccomandazione dei ricercatori è quindi di avviare una nuova sessione e reinserire i prompt per ciascun nuovo report di incidente, un procedimento che inevitabilmente riduce i guadagni di efficienza.
Il controllo ortografico AI: un fallimento sorprendente
In un tentativo di automatizzare ulteriormente il processo, i ricercatori hanno sviluppato un prompt specifico per il controllo ortografico e grammaticale. I risultati sono stati deludenti:
- Allucinazioni di numerosi errori grammaticali inesistenti
- Mancata identificazione di problemi reali
- Tasso di successo inferiore al 50%
- Comportamento inconsistente nella rilevazione degli errori
Pors ha concluso che questa funzionalità risulta “attualmente inadatta all’uso in produzione”.
Raccomandazioni finali e applicabilità futura
Nonostante le sfide, Cisco ritiene che l’approccio sviluppato “possa essere adattato a qualsiasi caso d’uso di reportistica sulla cybersecurity con input standardizzati e output prevedibili”. Tuttavia, l’azienda sottolinea con forza che gli autori devono “assumersi la responsabilità di ogni singola parola del report finale”.
Durante i test, gli LLM hanno generato raccomandazioni duplicate, irrilevanti o non attuabili. Se utilizzati in ambiente di produzione senza controlli manuali, potrebbero produrre suggerimenti di bassa qualità nei report finali.
La complessità del mondo reale
È importante notare che questi problemi sono emersi in un contesto relativamente semplice: un’esercitazione teorica. Gli incidenti reali richiedono l’analisi di file di log provenienti da sistemi multipli, una complessità che potrebbe amplificare ulteriormente le difficoltà riscontrate.
L’esperimento di Cisco rappresenta un passo significativo nell’integrazione dell’intelligenza artificiale nei processi di sicurezza informatica, evidenziando sia le opportunità che i limiti attuali della tecnologia nel campo della documentazione tecnica specializzata.
