Così Microsoft usa gli agenti e l’Ai per abbattere i costi di cybersecurity

MAI-Cyber-1-Flash il suo primo modello di intelligenza artificiale specializzato nella cybersecurity Accanto nasce Project Perception un nuovo sistema di sicurezza agentico.

Microsoft ha presentato il suo primo modello di intelligenza artificiale specializzato nella cybersecurity. Si chiama MAI-Cyber-1-Flash.

Il nome sembra quello di un supereroe minore della Marvel. Il compito è invece piuttosto concreto: leggere grandi quantità di codice, capire dove si nascondono le vulnerabilità, verificarle e aiutare a correggerle.

Accanto al modello arriva Project Perception, un sistema di sicurezza composto da squadre di agenti autonomi. L’obiettivo è trasformare la cybersecurity da una sequenza di allarmi, spesso ignorati, in un ciclo continuo: osservare, ragionare, intervenire.

La differenza è quella che passa tra una telecamera di sorveglianza e una centrale operativa. La prima vede. La seconda collega gli indizi, decide quali contano e manda qualcuno sul posto.

MAI-Cyber-1-Flash è un modello compatto, molto orientato al codice e derivato dalla famiglia MAI-Thinking-1, sviluppata internamente da Microsoft.

È stato addestrato e ottimizzato per un perimetro più stretto: analizzare software complesso e individuare vulnerabilità difficili da riconoscere.

In termini semplici, un normale modello linguistico ha frequentato un’enorme biblioteca. MAI-Cyber-1-Flash ha passato molto più tempo nel reparto manuali tecnici, rapporti sugli incidenti, patch, exploit e analisi del codice.

Microsoft sostiene di poter sfruttare decenni di esperienza nella sicurezza, oltre **100.000 miliardi di segnali al giorno** provenienti da identità, dispositivi, reti, cloud e applicazioni, insieme alle informazioni operative generate da **1,6 milioni di clienti**. È questo patrimonio, più ancora della sola architettura del modello, a costituire il vantaggio competitivo rivendicato dall’azienda.

Il modello non viene però lasciato libero di passeggiare nei sistemi aziendali con un piede di porco digitale. È inserito dentro MDASH, l’infrastruttura multi-agente di Microsoft per trovare, validare e correggere le vulnerabilità.

Il funzionamento può essere descritto in quattro passaggi.

Il primo è la costruzione del contesto. Il sistema osserva il codice sorgente, le dipendenze software, la configurazione dell’applicazione e le relazioni tra i diversi componenti. Una vulnerabilità, infatti, raramente vive da sola. È più simile a una crepa in un ponte: diventa pericolosa in base al punto in cui si trova, al carico e alle altre crepe vicine.

Il secondo passaggio è la ricerca. Diversi agenti formulano ipotesi sui possibili difetti: errori nella gestione della memoria, controlli di autorizzazione incompleti, input non filtrati, configurazioni deboli o combinazioni impreviste fra componenti.

Il terzo è la verifica. Il sistema prova a capire se la vulnerabilità è realmente sfruttabile. È il momento decisivo, perché i tradizionali scanner di sicurezza producono spesso lunghe liste di possibili problemi. Molti sono rumore. Una specie di antifurto che suona anche quando passa il gatto.

Il quarto passaggio è la correzione. Gli agenti possono suggerire una patch, verificare che non rompa altre funzioni e preparare le informazioni necessarie agli sviluppatori.

MDASH coordina più di 100 agenti e utilizza modelli differenti. MAI-Cyber-1-Flash dovrebbe gestire fino al 90% delle attività. Per il 10% dei problemi più complessi entra in campo un modello più grande, nell’attuale configurazione GPT-5.4.

È una logica simile a quella di un pronto soccorso. I casi ordinari vengono gestiti rapidamente. Il primario viene chiamato quando la radiografia comincia a sembrare un quadro di Picasso.

La sicurezza informatica è un’attività continua. Ogni riga di codice analizzata, ogni ipotesi verificata e ogni agente attivato consuma token e capacità di calcolo.

Usare sempre il modello più grande sarebbe come consegnare ogni pacco con un elicottero. Funziona, ma il conto diventa rapidamente interessante per il direttore finanziario.

Secondo Microsoft, la combinazione di MAI-Cyber-1-Flash e GPT-5.4 dentro MDASH raggiunge circa il 96% su CyberGym, un benchmark che misura la capacità di individuare vulnerabilità in grandi basi di codice. Il risultato dichiarato è di circa 12 punti superiore a Mythos, con un risparmio vicino al 50% rispetto alla precedente configurazione di MDASH, basata su GPT-5.4, GPT-5.4 mini e GPT-5.3 Codex.

Qui serve una nota a margine scritta con un pennarello grosso. Il 96% riguarda il sistema completo, non MAI-Cyber-1-Flash preso da solo. Nel motore lavorano il modello Microsoft, GPT-5.4, gli agenti, gli strumenti e l’orchestrazione di MDASH.

È quindi un confronto fra automobili complete, non soltanto fra motori.

Inoltre, i dati sono pubblicati da Microsoft. Sono significativi, ma per stabilire un primato stabile serviranno valutazioni indipendenti e confronti condotti a parità di strumenti, budget di calcolo e accesso al codice.

La novità è il passaggio dal chatbot che suggerisce una correzione al sistema che osserva l’infrastruttura, simula gli attacchi, valuta il rischio, sceglie il modello adatto e propone o applica una contromisura. La battaglia della cybersecurity basata sull’AI si sta quindi spostando. La prima fase era: chi possiede il modello più intelligente? La seconda sarà: chi riesce a collegare meglio modelli, dati, strumenti, permessi e procedure?

Microsoft parte con un vantaggio evidente nell’ultimo chilometro