Proofpoint ha annunciato il 7 settembre SOC Analyst Agent, una funzionalità di intelligenza artificiale agentica progettata per affiancare i team di sicurezza nelle indagini sulle minacce. La soluzione integra i modelli OpenAI Daybreak nei flussi investigativi dell’azienda e permette agli analisti di formulare domande in linguaggio naturale, ottenendo evidenze strutturate, riconducibili ai dati di origine e accompagnate da raccomandazioni sui passi successivi.
L’obiettivo dichiarato da Proofpoint è accelerare il passaggio dall’esame degli avvisi alla definizione delle azioni da intraprendere, mantenendo agli specialisti il controllo delle decisioni critiche. Il prodotto è attualmente in anteprima privata per clienti selezionati impegnati nei beta test; la disponibilità generale è prevista entro la fine del terzo trimestre del 2026.
Dalle segnalazioni frammentate al contesto dell’incidente
La soluzione si rivolge ai Security Operations Center, o SOC, i centri operativi che si occupano di monitorare gli eventi di sicurezza, analizzare le segnalazioni e gestire gli incidenti. Per questi team, un avviso rappresenta spesso il punto di partenza di un’indagine: occorre collegarlo ad altri eventi, ricostruire le attività coinvolte e stabilire quale priorità assegnargli.
Secondo il report 2025 Data Security Landscape di Proofpoint, il 54% delle aziende utilizza già funzionalità potenziate dall’AI per classificare e analizzare gli alert. L’azienda osserva tuttavia che gli analisti devono ancora mettere in relazione i segnali provenienti da diversi sistemi e ricostruirne il contesto.
SOC Analyst Agent è stato sviluppato per supportare questa parte del lavoro. L’agente pianifica le indagini e recupera informazioni dai dati di sicurezza Proofpoint collegati, compresi gli alert, i log, gli eventi di Data Loss Prevention e i segnali di rischio associati agli utenti. I log sono registrazioni delle attività dei sistemi, mentre la Data Loss Prevention, abbreviata in DLP, comprende le tecnologie impiegate per individuare e prevenire la perdita o la diffusione non autorizzata dei dati.
La funzione combina queste informazioni per aiutare gli operatori a ricostruire gli eventi. Secondo Proofpoint, l’impiego del linguaggio naturale riduce il lavoro necessario per consultare più console e impostare singole interrogazioni manuali.
Come viene utilizzata l’intelligenza artificiale agentica
Nel funzionamento descritto da Proofpoint, l’intelligenza artificiale agentica interviene nella pianificazione e nello svolgimento delle attività investigative: a partire da una richiesta dell’analista, organizza l’indagine, estrae il contesto dai dati connessi e sintetizza i risultati.
Gli operatori possono così esaminare eventi di sicurezza attraverso le diverse soluzioni Proofpoint collegate, chiedendo informazioni con formulazioni di uso comune. Il risultato previsto è un insieme di evidenze strutturate e indicazioni operative che l’analista può verificare prima di decidere come procedere.
Daniel Rapp, Chief Data and AI Officer di Proofpoint, descrive così il ruolo della soluzione: “Proofpoint SOC Analyst Agent unisce la nostra esperienza e i nostri dati di sicurezza con le avanzate capacità di AI reasoning di OpenAI, offrendo agli analisti un percorso accelerato dall’indagine all’azione, senza mai sottrarre alle persone la supervisione delle decisioni di sicurezza più rilevanti.”
Il riferimento al ragionamento dell’AI riguarda l’impiego dei modelli per mettere in relazione le informazioni e supportare la ricostruzione dell’incidente. Nel prodotto, queste capacità vengono applicate all’ecosistema di dati Proofpoint e ai suoi flussi di lavoro investigativi.
Analisi programmate e assegnazione dei risultati
Oltre alle indagini avviate tramite domande, SOC Analyst Agent consente di configurare flussi di lavoro programmati per le analisi ricorrenti. Tra le attività indicate dall’azienda figurano il threat hunting, le indagini sulla sicurezza dei dati e la preparazione dei report per l’escalation.
Il threat hunting consiste nella ricerca proattiva di possibili minacce all’interno dei dati di sicurezza. Le indagini sulla protezione dei dati possono invece utilizzare gli eventi DLP e i segnali relativi agli utenti per ricostruire il contesto delle attività da esaminare. La reportistica per l’escalation serve a organizzare le informazioni da trasferire agli specialisti incaricati degli approfondimenti successivi.
I risultati dei flussi programmati possono essere smistati automaticamente agli analisti di riferimento. L’automazione riguarda quindi sia lo svolgimento delle analisi ricorrenti sia l’instradamento delle informazioni verso gli operatori coinvolti.
Evidenze tracciabili e decisioni affidate agli specialisti
Un elemento centrale della soluzione è la possibilità di risalire dalle evidenze prodotte ai dati sorgente sottostanti. Questa tracciabilità consente agli analisti di verificare i risultati e convalidare le raccomandazioni.
L’agente non esegue autonomamente modifiche agli account, azioni di contenimento delle minacce o interventi correttivi ad alto impatto. Il suo compito è supportare l’indagine e proporre i passi successivi, lasciando agli specialisti le decisioni di sicurezza più rilevanti.
McCall McIntyre, Head of Global Cyber Partnerships di OpenAI, presenta l’integrazione come un’applicazione dei modelli Daybreak ai dati di sicurezza e alla conoscenza del comportamento umano di Proofpoint. Secondo McIntyre, questa combinazione può aiutare gli analisti a trasformare segnali frammentati in diagnosi e raccomandazioni, rendendo più rapide le analisi e preservando il controllo degli esperti.
La collaborazione nel Daybreak Defense Network
SOC Analyst Agent è la prima soluzione che Proofpoint porta sul mercato attraverso l’OpenAI Daybreak Defense Network. L’azienda ha aderito al programma nel giugno 2026 con l’obiettivo di applicare i modelli OpenAI specializzati nella cybersecurity a prodotti, servizi e flussi di lavoro.
Proofpoint sta inoltre esaminando l’impiego dei modelli Daybreak in altri ambiti della sicurezza difensiva, tra cui la ricerca sulle minacce, la protezione dei dati e la sicurezza delle architetture di intelligenza artificiale.
Tra le direzioni di sviluppo indicate dall’azienda rientra il supporto ai ricercatori nel tracciamento delle minacce confermate lungo la rete. Proofpoint prospetta un percorso che colleghi rilevamento, indagine e proposta di interventi correttivi soggetti a revisione umana. Queste applicazioni sono presentate come possibili sviluppi futuri, distinti dalle funzionalità dell’agente in beta test.
Disponibilità e destinatari
SOC Analyst Agent è disponibile in anteprima privata per clienti selezionati, con disponibilità generale prevista entro la fine del terzo trimestre del 2026. La soluzione si rivolge ai team di sicurezza che conducono indagini sui dati delle soluzioni Proofpoint connesse.
L’annuncio introduce uno strumento che riunisce interrogazione in linguaggio naturale, pianificazione delle indagini e automazione delle analisi ricorrenti. Il modello operativo delineato da Proofpoint affida all’AI la raccolta e l’organizzazione degli elementi investigativi, mantenendo agli analisti la verifica delle evidenze e il controllo degli interventi più rilevanti.
