SentinelOne collega indagine, decisione e risposta agli incidenti all’interno della Singularity Platform. Il nuovo modello “closed-loop” permette a Purple AI di esaminare gli alert e scegliere le azioni successive, affidandone l’esecuzione a Singularity Hyperautomation entro i limiti stabiliti in anticipo dal team di sicurezza.
L’automazione non dipende più soltanto da playbook rigidamente predefiniti. Il sistema adatta il workflow alle prove raccolte durante l’indagine, mentre gli analisti stabiliscono quali azioni sono consentite, quali richiedono un’approvazione e quando l’AI deve fermarsi.
Dall’indagine automatica all’azione
Nei sistemi SOAR (Security Orchestration, Automation and Response) tradizionali, la risposta viene generalmente organizzata attraverso una sequenza di condizioni e azioni predisposta in anticipo. Questo approccio funziona per le procedure ripetibili, ma può entrare in difficoltà quando un incidente non corrisponde allo scenario previsto dal playbook.
Purple AI introduce nel processo uno strato decisionale basato sui risultati dell’indagine. L’agente raccoglie e correla le evidenze, formula una conclusione e trasferisce queste informazioni alla logica di automazione. Il workflow successivo dipende quindi da ciò che il sistema ha rilevato, non soltanto dalla categoria inizialmente assegnata all’alert.
La risposta viene eseguita da Singularity Hyperautomation, il motore no-code integrato nella piattaforma di SentinelOne. I team possono autorizzare in anticipo determinate operazioni, richiedere l’intervento di un analista per quelle più delicate oppure mantenere completamente manuali alcuni workflow.
L’AI opera soltanto entro il perimetro autorizzato dal team di sicurezza. Le attività considerate sicure e ripetibili possono procedere automaticamente, mentre quelle con un impatto operativo più elevato vengono sottoposte ad approvazione.
Policy, audit e rollback delimitano l’autonomia
SentinelOne indica tre condizioni per l’impiego della risposta autonoma: ogni azione deve essere visibile, tracciabile e reversibile. Il team che concede l’autorizzazione può verificare ciò che il sistema ha fatto e, quando necessario, annullarne gli effetti.
“I team di security hanno bisogno di tecnologie AI di cui possano fidarsi e che agiscano entro i parametri stabiliti”, ha affermato Chris Corde, Chief Product Officer di SentinelOne. “I team decidono esattamente in quali ambiti Purple AI è autorizzata ad agire in modo autonomo e quando invece deve cedere il posto all’intervento umano”.
Policy e linee di approvazione diventano parte del workflow, anziché controlli applicati soltanto a posteriori. Durante la notte e nei fine settimana, il sistema può continuare ad analizzare gli alert anche quando sono disponibili meno analisti. Secondo i dati comunicati dall’azienda, in un solo fine settimana Purple AI avrebbe esaminato oltre 5.000 alert critici, completando ciascuna indagine in pochi minuti.
Purple AI gestisce oltre 8.500 indagini critiche al giorno
Purple AI Agentic Investigation opera negli ambienti dei clienti da giugno 2026. SentinelOne dichiara che il sistema gestisce attualmente più di 8.500 indagini autonome critiche ogni giorno e viene utilizzato da oltre un terzo della base clienti potenzialmente interessata.
Sempre secondo l’azienda, nei clienti che hanno attivato la funzione Purple AI analizza quasi tre volte il numero di alert che gli operatori riescono a gestire manualmente. L’automazione dovrebbe quindi assorbire anche una parte degli eventi che, per mancanza di tempo, rimarrebbero in coda.
La raccolta delle evidenze e l’esecuzione delle procedure ripetitive vengono affidate al sistema. Gli analisti possono così concentrarsi sui casi che richiedono una valutazione contestuale, sulle eccezioni e sulle decisioni con un impatto più ampio sull’organizzazione.
Come funzionano i nuovi workflow
L’integrazione tra Purple AI Agentic Investigation e Singularity Hyperautomation introduce quattro possibilità:
- avviare un’indagine agentica in qualsiasi fase del workflow, senza limitarla alla ricezione iniziale dell’alert;
- recuperare nella logica di automazione il rapporto completo dell’indagine, comprese conclusione ed evidenze;
- usare azioni personalizzabili basate su modelli linguistici per analizzare i risultati e selezionare il passaggio successivo;
- richiamare snapshot di risposta convalidati, cioè blocchi di azioni riutilizzabili preparati e approvati dal team.
Questi componenti operano all’interno della Singularity Platform e dei relativi flussi di approvazione. Per i clienti della piattaforma non è quindi necessario aggiungere un motore di orchestrazione separato, anche se l’attivazione richiede la definizione delle policy, delle responsabilità e delle procedure di escalation.
Le nuove funzioni di Hyperautomation saranno disponibili entro la fine del trimestre. SentinelOne le ha presentate durante Black Hat USA 2026 come parte della propria architettura per un SOC ad alta autonomia.
Purple AI decide il workflow in base alle evidenze raccolte, invece di eseguire soltanto una sequenza stabilita in anticipo. Hyperautomation traduce la decisione in azioni operative, mentre gli operatori definiscono il perimetro entro il quale il ciclo può chiudersi senza un nuovo intervento umano.
