0x2a - L'AI come acceleratore nella sicurezza informatica

In questa puntata torniamo sul tema degli LLM applicati alla cybersecurity, questa volta con un focus specifico sulla detection. Partendo da esperimenti personali — uno sull'uso di agenti per analizzare anomalie in infrastrutture complesse, l'altro nato da un approfondimento sui paper più recenti — smontiamo l'idea che gli LLM possano fare da oracolo a cui dare in pasto enormi moli di log grezzi sperando che trovino da soli le minacce. Raccontiamo perché questo approccio è economicamente insostenibile e perché funziona molto meglio la combinazione tra detection rules deterministiche e contesto mirato fornito da un analista, lasciando all'LLM il compito di interpretare in modo probabilistico ciò che il piano deterministico non riesce a risolvere. Parliamo di falsi positivi, di regole disattivate troppo alla leggera, di un possibile diario di bordo testuale per aiutare gli agenti a discriminare eventi reali, e di casi in cui il probabilistico funziona davvero bene — come il riconoscimento di header HTTP anomali o la valutazione del tono di un'email in ottica anti-phishing. Non manca una riflessione più ampia sui limiti pratici della tecnologia: l'incoerenza di stile tra un output e l'altro, gli agenti che evadono il prompt bruciando token su strade sbagliate, e il tema ancora acerbo dell'addestramento on-prem e dei modelli specializzati per contesto. Un episodio che prova a distinguere, con metodo e senza hype, dove gli LLM danno davvero valore alla detection e dove invece conviene ancora affidarsi al buon vecchio approccio deterministico.Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

In questa puntata di Info Sec. Unplugged, Andrea Dainese e Rocco Sicilia riflettono su un problema ricorrente osservato nelle simulazioni di attacco: molti attacchi, anche rumorosi, passano inosservati ai servizi SOC/MDR. Partendo dalla critica a un approccio alla detection troppo centrato sugli IOC statici, i due analizzano le cause strutturali del problema — dal filtraggio degli eventi basato sulla severity deci4sa dai vendor, alla scelta delle fonti di log dettata più dalla sostenibilità economica del servizio che dagli scenari di minaccia da coprire. Discutono di come un SOC dovrebbe partire dagli use case e dai threat da rilevare per poi definire le fonti necessarie, invece di adattare le detection alla tecnologia già acquistata. Toccano poi il tema, spesso trascurato, del collaudo dei servizi SOC, il valore del threat hunting come pratica di miglioramento continuo, i rischi architetturali legati a punti di raccolta log non ridondati, e il problema delle fonti che smettono silenziosamente di trasmettere. Chiudono con una riflessione sull'importanza di rendere il cliente consapevole dei limiti reali di un servizio SOC, sfatando l'idea che sia una soluzione infallibile.Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

In questa puntata riprendiamo il tema dell'utilizzo dei modelli linguisticinel mondo della sicurezza informatica, concentrandoci stavolta sul red teaming.Partendo da un'analisi critica fase per fase — ricognizione, analisi dei dati,phishing, scrittura di codice e payload, analisi delle vulnerabilità — proviamoa capire dove gli LLM danno un contributo reale e dove invece è meglio risparmiarei token. Tra output incompleti nella raccolta dati, regex bypassate in pochi secondi,payload custom costruiti al volo e CVE che non piovono dal cielo, emerge un quadroonesto e poco incline all'hype: lo strumento esiste, accelera alcune cose inmodo significativo, ma richiede giudizio su quando usarlo e quando no.Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

In questo episodio di InfoSec Unplugged, Andrea Dainese e Rocco Sicilia esplorano il controllo ISO 27001 8.30 dedicato allo sviluppo affidato all'esterno, scoprendo però che il tema va molto più in profondità di quanto sembri. Partendo dalla convinzione diffusa che molte aziende "non sviluppino nulla internamente", i due arrivano a smontare questo mito caso dopo caso: script non censiti, micro integrazioni con credenziali esposte, plugin di IDE installate senza controllo, librerie open source compromesse. Il dialogo si allarga poi al mondo OT, dove la scarsa consapevolezza dei rischi cyber, unita a pratiche storiche mai messe in discussione, crea una superficie d'attacco ampia e spesso invisibile. Una conversazione concreta, diretta e ricca di esempi tratti dal campo.Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

In questo episodio di Info Sec. Unplugged, Andrea Dainese e Rocco Sicilia riprendono il loro percorso attraverso i controlli della ISO 27001 e si concentrano sul punto 8.3, dedicato alla limitazione degli accessi alle informazioni. Quello che in apparenza potrebbe sembrare un tema secondario si rivela invece uno dei nodi più critici e trascurati nella sicurezza aziendale: chi può accedere a cosa, perché, e con quali conseguenze in caso di compromissione. Tra esempi tratti dal campo, storie dell'orrore reali e riflessioni tecniche su log, threshold e DLP, i due host costruiscono un ragionamento chiaro e concreto su come il principio del privilegio minimo — se applicato davvero — cambia radicalmente la capacità di rilevare e contenere un attacco.Link aggiuntivi:Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

In questo episodio di InfoSec Unplugged, Andrea Dainese e Rocco Sicilia ragionano su un tema che torna ciclicamente alla ribalta ogni volta che un datacenter va offline: perché le aziende continuano a essere colte di sorpresa? Partendo da un recente incendio in un datacenter olandese, i due host esplorano le radici culturali e organizzative di una lacuna diffusa nella gestione del rischio fisico e infrastrutturale. Dal mito del cloud "sempre disponibile" alla scarsa consapevolezza dei servizi critici, passando per i DR fatti negli sgabuzzini e il ruolo inaspettato delle assicurazioni come alleate del business, la conversazione mescola esperienza sul campo, esempi concreti e qualche provocazione necessaria. Una puntata per chi si occupa di IT, ma anche per chi in azienda prende le decisioni di budget.Link aggiuntivi:Link all'episodio30/04/2026 - Amazon Web Services (attentato)05/12/2025 - Cloudflare (errore di configurazione)06/11/2025 - Microsoft Azure (alimentazione)18/11/2025 - Cloudflare (errore di configurazione)19/10/2023 - Amazon Web Services (errore di configurazione)30/10/2024 - OVH (errore di configurazione)25/04/2023 - Google (allagamento/incendio)16/06/2023 - Microsoft Azure (errore di configurazione)12/06/2023 - Amazon Web Services (bug)09/06/2023 - Microsoft Azure (DDoS)25/01/2023 - Microsoft Azure (errore di configurazione)09/12/2022 - Rackspace (ransomware)25/08/2022- Google (errore di configurazione)18/07/2022 - Google (errore di configurazione)22/05/2021 - Akamai (bug)08/06/2021 - Fastly (bug)10/03/2021 - OVH (incendio)Supportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

In questa seconda puntata on the road di Info Sec. Unplugged, Andrea Dainese e Rocco Sicilia riprendono il filo lasciato aperto e si addentrano nel tema della detection: quanto funziona davvero, dove si inceppa, e in che misura i modelli linguistici possono dare una mano concreta. La conversazione parte dalle fondamenta — regole, SIEM, EDR, falsi positivi — per arrivare a casi pratici come l'analisi di 6000 regole di firewall o l'interpretazione dei flussi di rete. Non mancano le riflessioni più critiche: i rischi legati all'invio di dati sensibili verso sistemi cloud, le implicazioni GDPR, e la prospettiva di modelli on-prem verticali come risposta ai problemi di governance. Un episodio tecnico e concreto, che non cerca risposte definitive ma invita a sperimentare con metodo e consapevolezza.Link aggiuntivi:Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

Preferisci puntate frequenti anche on-the-road o per te la qualità audio è essenziale? Aiutaci a prendere una decisione e vota il sondaggio!In questa puntata on the road di Info Sec. Unplugged, Andrea Dainese e Rocco Sicilia si confrontano sull'impatto reale dei modelli di linguaggio nel mondo della sicurezza informatica. Partendo da un video del canale YouTube di Rev3rse Security, i due esplorano tre grandi ambiti applicativi: la scrittura e revisione del codice, la detection di attività malevole e le attività offensive. La conversazione non si ferma ai casi d'uso tecnici, ma affronta anche le questioni più spinose: i costi crescenti e la sostenibilità economica di questi sistemi, i rischi legati all'uso di agenti con privilegi eccessivi, la natura statistica degli LLM e le sue implicazioni pratiche, fino alle ripercussioni in ambito assicurativo e normativo. Un episodio denso, critico e concreto, pensato per chi vuole capire davvero dove finisce l'hype e dove comincia l'utilità reale.Link aggiuntivi:Link all'episodioBug Bounty è MORTO? L'AI ha già sostituito i Pentester (Rev3rse)Un tiro di dati (DataKnightmare)Supportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

In questa puntata Andrea e Rocco affrontano una delle domande più frequenti che ricevono da chi si avvicina al mondo della sicurezza informatica: da dove si comincia? Partendo dalla propria esperienza sul campo, i due discutono di percorsi formativi, mentalità, fondamenta tecniche imprescindibili e dell'importanza di trovare un mentore. Si confrontano su tre grandi ambiti del settore — offensivo, difensivo ed enterprise — e riflettono su cosa significhi davvero costruire competenze solide in un campo in continua evoluzione. Spazio anche al ruolo dell'intelligenza artificiale, al valore della curiosità e alla necessità di sapere quando è il momento di lasciare andare una specializzazione per abbracciarne un'altra.Link aggiuntivi:Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.

Andrea Dainese e Rocco Sicilia tornano con una puntata densa e concreta, che prende spunto dalla vulnerabilità zero-click di Telegram — scoperta e quasi subito ridimensionata — per aprire una riflessione più ampia su come il settore gestisce (spesso male) la comunicazione delle vulnerabilità. Si parla di eco mediatica, responsible disclosure, score CVE gonfiati, abuso dell'AI nel bug bounty e del ruolo sempre più centrale degli smartphone come vettore di rischio aziendale. Tra aneddoti di pen test, esperienze dirette con i vendor e qualche amara ironia sul mestiere dell'IT manager nel 2026, i due ospiti disegnano un quadro lucido delle contraddizioni della cybersecurity contemporanea.Link aggiuntivi:Link all'episodioSupportato da NTS. Seguici su LinkedIn, Telegram, Reddit.