Sophos ha diffuso i risultati di dodici mesi di operatività del proprio modello agentico all’interno del servizio Sophos Managed Detection and Response, oggi utilizzato da 40.000 clienti nel mondo. Secondo i dati comunicati dall’azienda, il servizio ha registrato una crescita del 39% anno su anno e rappresenta uno dei casi più rilevanti di applicazione dell’AI agentica alle attività di rilevamento e risposta gestita alle minacce informatiche.
Il dato più significativo riguarda la velocità di intervento: nei casi in cui l’intelligenza artificiale è autorizzata ad agire in autonomia, Sophos indica un tempo medio di 89 secondi dalla creazione del caso alla risposta completamente automatizzata. La metrica mostra il ruolo sempre più centrale dell’automazione nei Security Operations Center, soprattutto in uno scenario nel quale gli attaccanti possono sfruttare strumenti basati su AI per accelerare ricognizione, evasione e movimento laterale.
Un SOC agentico per ridurre il carico operativo
La crescita dei volumi di telemetria, la complessità degli ambienti IT e la carenza di competenze specialistiche hanno reso più difficile per molte organizzazioni mantenere un SOC interno pienamente operativo. Il modello adottato da Sophos MDR punta a distribuire in modo diverso le attività: l’AI gestisce i casi ad alto volume e con parametri definiti, mentre gli analisti senior intervengono sulle decisioni che richiedono esperienza, contesto aziendale e valutazione del rischio.
Secondo Sophos, il 52% dei casi MDR viene chiuso end-to-end dall’AI senza intervento umano diretto. Il dato riguarda il ciclo completo di gestione del caso, non il solo triage degli alert. La supervisione degli analisti resta parte del modello, con parametri aggiornati e controlli sulle attività autonome.
Sophos Central come base del modello di difesa
Il servizio si basa su Sophos Central, piattaforma che integra dati provenienti da endpoint, firewall, identità, SIEM, rete, email, cloud, threat intelligence e servizi MDR. L’obiettivo è creare un unico contesto operativo nel quale i segnali possano essere correlati, ridotti e classificati prima di arrivare agli analisti.
La piattaforma supporta oltre 350 integrazioni di terze parti e offre copertura per ambienti Microsoft, con un’impostazione aperta che consente alle aziende di valorizzare anche strumenti già presenti nella propria infrastruttura. In questo modello, l’AI filtra il rumore operativo e porta all’attenzione del team umano i casi con impatto potenziale più elevato.
Human-on-the-loop e human-in-the-loop
Sophos distingue due modalità operative nel proprio SOC agentico: human-on-the-loop e human-in-the-loop. Nel primo caso, l’intervento umano è di supervisione su attività ad alto volume e con confini definiti. Nel secondo, l’analista entra direttamente nel processo decisionale prima dell’azione, soprattutto nei casi più critici o anomali.
Questa distinzione è importante perché evita una lettura semplicistica dell’automazione. L’AI può accelerare la risposta su casi ripetitivi o già classificabili, ma il giudizio umano resta necessario per attacchi inediti, scenari ad alto impatto e situazioni nelle quali il contesto aziendale può cambiare la valutazione della minaccia.
Il ruolo degli analisti cambia
Con l’adozione dell’AI agentica, Sophos afferma che molte attività prima associate ai livelli Tier 1 e Tier 2 vengono assorbite dai sistemi automatici. Gli specialisti possono così dedicarsi ad attività a valore più elevato, come threat hunting, investigazioni avanzate, consulenza ai clienti e supervisione dei sistemi autonomi.
Il punto centrale non è la sostituzione completa degli analisti, ma una diversa distribuzione del lavoro. La rapidità dell’AI diventa utile nelle fasi ripetitive e misurabili, mentre la competenza umana resta necessaria nelle decisioni complesse, nei casi ambigui e nelle situazioni con possibili conseguenze operative o reputazionali.
I riconoscimenti di mercato
Sophos richiama anche alcuni riconoscimenti ottenuti nel 2026. Nei report G2 Summer 2026, l’azienda risulta al primo posto in cinque categorie: Endpoint Protection, EDR, XDR, MDR e Firewall. Sophos indica inoltre l’ottavo trimestre consecutivo nel quale il proprio servizio MDR viene nominato leader assoluto nei report G2.
Nel report 2026 Gartner Peer Insights Voice of the Customer for Managed Detection and Response, Sophos è stata riconosciuta come Customers’ Choice, con un rating medio di 4,8 su 5 basato su 290 recensioni. L’azienda cita anche il riconoscimento di KuppingerCole Analysts Leadership Compass for MDR 2026, nel quale Sophos è stata indicata come Overall Leader.
Le prossime estensioni del modello agentico
Nel corso del 2026 Sophos prevede di estendere il modello operativo agentico all’intero portfolio tramite Sophos Central. Tra le attività indicate rientrano l’integrazione delle funzionalità XDR e Next-Gen SIEM in un unico context lake, l’espansione delle capacità Secure AI per gli strumenti AI adottati dai clienti e il lancio di Sophos CISO Advantage, previsto per l’autunno 2026.
La direzione indicata dall’azienda riguarda un modello di sicurezza nel quale automazione, supervisione umana e dati contestuali vengono gestiti in modo integrato. Per le organizzazioni prive di un team cyber interno strutturato, l’obiettivo è rendere disponibili capacità di risposta avanzate senza la complessità operativa di un SOC proprietario.
Immagine in evidenza: illustrazione orizzontale 16:9 di un Security Operations Center moderno, con analisti al lavoro davanti a dashboard cyber e un flusso visivo astratto di AI agentica che analizza segnali di rete. Stile professionale, colori blu e verde, atmosfera tecnologica, nessun testo nell’immagine.
Alt text: SOC di sicurezza informatica con AI agentica che supporta analisti nella risposta alle minacce.
