Studio KnowBe4: gli agenti di IA non controllati e i deepfake minacciano le aziende

KnowBe4, fornitore leader nel settore della sicurezza digitale della forza lavoro, ha pubblicato il suo nuovo rapporto di ricerca intitolato «From Agentic Risk to Human Wins: Building a Culture of Security in the Era of Agentic AI». I risultati rivelano una realtà preoccupante: gli strumenti di IA autonoma ampliano la superficie di attacco delle aziende più rapidamente di quanto i team di sicurezza riescano a implementare misure di protezione. Lo studio si basa su un sondaggio globale condotto da Vanson Bourne su 4’000 professionisti, tra cui 800 responsabili della sicurezza informatica e 3’200 dipendenti provenienti dalle regioni America, EMEA e APJ.

L'IA ombra come minaccia incontrollata

I dati sono chiari: tutti i responsabili della sicurezza informatica tedeschi dichiarano di utilizzare l’IA. Il 78% impiega già agenti di IA che adottano misure in modo autonomo all’interno dei flussi di lavoro aziendali; di questi, il 62% agisce in modo completamente autonomo. Allo stesso tempo, in molte organizzazioni mancano strutture di governance vincolanti: il 48% delle aziende dichiara che il proprio utilizzo dell’IA non è né autorizzato né regolamentato. Questa «IA ombra» incontrollata agisce praticamente come uno strato invisibile di collaboratori ombra che elaborano dati aziendali sensibili senza alcuna supervisione.

Oltre un terzo dei dipendenti ammette inoltre che, qualora gli strumenti di IA ufficiali dell’azienda risultassero troppo limitati o troppo lenti, cercherebbe attivamente alternative proprie e non autorizzate. Il 42% dei responsabili delle decisioni in materia di sicurezza informatica in Germania conferma che l’uso non autorizzato di software esterno e di applicazioni di IA non approvate ha direttamente compromesso o messo a rischio la propria sicurezza negli ultimi dodici mesi.

I deepfake mettono a dura prova le difese umane

Parallelamente alla diffusione dell’IA ombra, anche il vettore di attacco è cambiato radicalmente. Il phishing tradizionale ha ormai lasciato il posto a una manipolazione iperrealistica supportata dall’IA. L’87% dei lavoratori in Germania afferma che le voci e i video deepfake sono ormai così realistici che è diventato più difficile capire di chi ci si possa fidare. Ancora più allarmante: il 55% dei dipendenti ammette apertamente di poter essere ingannato da una sofisticata truffa basata su deepfake, in cui il truffatore si spaccia per un collaboratore interno o un dirigente.

«La sicurezza informatica è entrata in una fase instabile, in cui le aziende cercano di proteggere una forza lavoro ibrida, composta da persone e IA, che evolve più rapidamente di quanto i responsabili della sicurezza riescano a stare al passo», spiega il dott. Martin Krämer, consulente CISO presso Knowbe4. «Gli aggressori agiscono alla velocità delle macchine e utilizzano attacchi come i deepfake per prendere di mira i dipendenti, nonché le iniezioni di prompt per dirottare gli agenti di IA. Lasciare che quasi la metà dell’utilizzo dell’IA in un’azienda avvenga senza controllo equivale a un invito a nozze per gli aggressori.»

Errori umani sotto pressione

Il 64% dei lavoratori in Germania ammette che le forti pressioni temporali, il sovraccarico cognitivo e le distrazioni quotidiane sul posto di lavoro li inducono direttamente a scendere a compromessi e a commettere errori critici in materia di sicurezza, anche se conoscono i protocolli di sicurezza in vigore. I dirigenti tedeschi nel settore della sicurezza informatica confermano la portata di questa lacuna comportamentale e sottolineano che fino al 52% di tutti gli incidenti di sicurezza dello scorso anno è stato causato da errori operativi quotidiani, e non da kit di exploit mirati.

Il 62% dei responsabili della sicurezza informatica tedeschi indica la mancanza di consapevolezza o la mancanza di chiarezza nelle linee guida sulla sicurezza come il principale fattore che ha influito sulla sicurezza informatica della propria azienda negli ultimi dodici mesi. Il 46% identifica gli attacchi basati sull’intelligenza artificiale come uno dei principali fattori di rischio per la sicurezza informatica di origine umana in futuro.

Un grande divario rispetto allo standard di riferimento

Nonostante la crescente consapevolezza, solo il 20% delle organizzazioni ha raggiunto il modello di maturità secondo il cosiddetto «Goldstandard» – definito come una cultura aziendale pienamente coordinata, in grado di gestire congiuntamente i rischi legati alle persone e a quelli legati agli agenti. Questo Goldstandard presuppone che la consapevolezza in materia di sicurezza, il comportamento e la conformità siano combinati attraverso una leadership forte, responsabilità chiare e una misurazione efficace.

Da un punto di vista globale, lo studio mostra che solo il 19% delle aziende adotta un approccio integrato e radicato nella cultura aziendale. Le organizzazioni che seguono questa strada ottengono risultati nettamente migliori: l’83% di esse afferma che i corsi di formazione sulla sicurezza rafforzano la fiducia tra il team IT e i collaboratori, il 67% offre linee guida chiare per la segnalazione degli incidenti e il 51% adotta un approccio orientato al coaching nelle simulazioni di phishing.

Dalla gestione del rischio alla resilienza

Il rapporto giunge alla conclusione che le aziende che considerano la sicurezza informatica parte integrante della propria cultura aziendale sono più resilienti. Sono necessari sistemi che guidino attivamente i comportamenti anziché limitarsi a fornire informazioni, culture di supporto in cui venga incoraggiata la segnalazione degli errori e uno spostamento dell’attenzione dal perseguimento degli errori al rafforzamento delle azioni positive. Inoltre, una mentalità «Security-First» deve essere estesa sia agli agenti di intelligenza artificiale che alle persone.

I collaboratori e gli agenti di IA formano insieme un’unica linea di difesa interconnessa. Le aziende che allineano la consapevolezza, il comportamento e la cultura aziendale a un quadro chiaro dei rischi non si limitano a gestire i rischi, ma creano «obiettivi resistenti». Le minacce non scompariranno, ma si scontreranno con organizzazioni meglio preparate.

Fonte: www.knowbe4.com/de/

Questo articolo è apparso originariamente su m-q.ch - https://www.m-q.ch/de/knowbe4-studie-unkontrollierte-ki-agenten-und-deepfakes-bedrohen-unternehmen/