Automatizzazione dello screening del phishing con agenti AI in Microsoft Defender

10 marzo 2026

Introduzione: la battaglia contro il phishing nell'era dell'intelligenza artificiale

Il phishing rimane una delle minacce informatiche più persistenti ed efficaci, in costante evoluzione in termini di sofisticazione e volume. Entro il 2026, con l’avvento degli strumenti di intelligenza artificiale generativa, gli aggressori avranno la capacità di creare e-mail di phishing altamente convincenti e personalizzate su una scala senza precedenti, rendendo il rilevamento manuale e il triage da parte dei team di sicurezza e operazioni (SOC) un compito praticamente impossibile. Il volume delle segnalazioni di phishing da parte degli utenti può rapidamente sopraffare gli analisti, portando a ritardi nella risposta e aumentando il rischio di compromissione [1].

Tradizionalmente, il processo di screening del phishing prevedeva diversi passaggi manuali: un utente segnalava un'e-mail sospetta, un analista della sicurezza esaminava l'intestazione dell'e-mail, analizzava collegamenti e allegati (spesso in ambienti isolati), controllava la reputazione del mittente e infine decideva la natura della minaccia e le azioni correttive. Questo processo, sebbene efficace su piccola scala, è lento, soggetto a errori umani e non adattabile al massiccio volume di attacchi moderni [2].

Per affrontare questa sfida, Microsoft ha rilasciato Phishing Triage Agent, un rivoluzionario componente autonomo di Microsoft Defender per Office 365. Questo agente, basato su un'intelligenza artificiale avanzata, è progettato per analizzare, investigare e porre rimedio alle e-mail sospette di phishing in pochi secondi, consentendo ai team SOC di concentrarsi su minacce più complesse e strategiche. Il Phishing Triage Agent rappresenta un significativo passo avanti nell'automazione della sicurezza, trasformando il modo in cui le organizzazioni rispondono agli attacchi di phishing [3].

Questo articolo tecnico ed educativo mira a fornire uno sguardo approfondito al Phishing Triage Agent, ai suoi principi operativi, ai vantaggi e a una guida passo passo per abilitarlo e configurarlo nell'ambiente Microsoft Defender per Office 365. Il nostro focus sarà su come questa tecnologia può rafforzare la strategia di sicurezza della tua organizzazione contro le minacce di phishing nel 2026 e oltre.

La sfida dello screening del phishing e la soluzione dell'agente AI

L’efficacia del phishing risiede nella sua capacità di sfruttare la natura umana e la fiducia. Con l’intelligenza artificiale, gli aggressori possono:

Personalizzazione di massa: genera e-mail di phishing altamente personalizzate che imitano le comunicazioni legittime di banche, fornitori o persino colleghi, aumentando le probabilità di successo.
Elusione del rilevamento: crea varianti di e-mail di phishing che aggirano i tradizionali filtri e-mail, utilizzando tecniche di offuscamento e polimorfismo.
Ingegneria sociale avanzata: sviluppa narrazioni più complesse e credibili, sfruttando eventi o tendenze attuali per ingannare le vittime.

Di fronte a questo scenario, la risposta umana diventa insufficiente. È qui che entra in gioco il Phishing Triage Agent. Funziona sulla base dei principi dell'intelligenza artificiale e dell'apprendimento automatico, consentendoti di:

Analisi contestuale approfondita: l'agente non solo controlla parole chiave o collegamenti sospetti, ma utilizza modelli linguistici avanzati per comprendere il contesto, il tono e l'intento dell'e-mail. Può identificare sottili anomalie che passerebbero inosservate ai filtri basati su regole o agli analisti umani sotto pressione.
Sandbox Simulation: Per collegamenti e allegati, l'agente simula l'interazione in un ambiente isolato (sandbox), osservando il comportamento del collegamento (reindirizzamenti, download di malware) o dell'allegato (esecuzione di script dannosi) senza esporre la rete reale dell'organizzazione. Ciò consente una valutazione del rischio accurata e sicura [4].
Riparazione automatizzata: in base alla sua analisi, l'agente può intraprendere azioni di riparazione predefinite come spostare l'e-mail in quarantena, eliminarla definitivamente dalla posta in arrivo dell'utente o persino bloccare il mittente a livello di gateway.

Vantaggi innovativi del triage autonomo

L'implementazione del Phishing Triage Agent offre vantaggi trasformativi alle operazioni di sicurezza:

Velocità senza pari: lo screening e la risoluzione delle e-mail di phishing sono ridotti da ore o minuti a semplici secondi. Ciò riduce al minimo la finestra di opportunità per gli utenti di fare clic su collegamenti dannosi o aprire allegati pericolosi.sos, contenendo la diffusione degli attentati.
Migliore precisione: grazie all'analisi contestuale e alla simulazione sandbox, l'agente raggiunge un tasso di rilevamento delle minacce più elevato e, soprattutto, una significativa riduzione dei falsi positivi. Ciò impedisce ai team SOC di affaticarsi in termini di allerta e garantisce che le risorse siano assegnate alle minacce reali.
Massiccia scalabilità: l'agente può elaborare e-mail di phishing a volumi che sarebbero impossibili per i team umani, garantendo che la protezione sia coerente in tutta l'organizzazione, indipendentemente dalle dimensioni o dall'intensità dell'attacco.
Ottimizzazione delle risorse SOC: automatizzando il triage delle minacce a basso e medio rischio, il Phishing Triage Agent consente agli analisti della sicurezza di concentrarsi su indagini più complesse, sulla ricerca proattiva delle minacce e sullo sviluppo di strategie di sicurezza, aumentando il livello di maturità complessivo del SOC.
Risposta coerente: l'automazione garantisce che ogni incidente di phishing venga gestito in modo coerente, seguendo policy di sicurezza predefinite, eliminando la variabilità che può verificarsi con l'intervento umano.

Prerequisiti per l'implementazione

Per sfruttare le funzionalità del Phishing Triage Agent, la tua organizzazione avrà bisogno dei seguenti elementi:

Licenza Microsoft Defender per Office 365: Phishing Triage Agent è una funzionalità avanzata disponibile con le licenze Microsoft Defender per Office 365 Piano 2 o i pacchetti Microsoft 365 E5/A5/G5 che includono questo piano.
Accesso amministrativo: account con autorizzazioni di amministratore globale, amministratore della sicurezza o amministratore della conformità nel portale Microsoft Defender (security.microsoft.com).
Configurazione di base di Defender per Office 365: si prevede che i criteri antiphishing, antispam e antimalware di base siano già configurati e operativi.
Criterio di segnalazione dei messaggi utente: affinché l'agente possa agire, gli utenti devono disporre di un meccanismo semplice per segnalare le email di phishing (ad esempio il componente aggiuntivo Segnala messaggio in Outlook).

Guida dettagliata: attivazione e configurazione dell'agente di triage del phishing

L'attivazione e la configurazione dell'agente di triage del phishing è un processo semplice progettato per integrarsi perfettamente con l'ambiente Microsoft Defender per Office 365.

Passaggio 1: abilitare l'agente di triage del phishing nel portale Microsoft Defender

Questo passaggio iniziale prevede l'abilitazione della funzionalità nel dashboard di sicurezza, consentendo all'agente di iniziare a funzionare.

Accedi al portale Microsoft Defender: apri il browser e vai a "security.microsoft.com". Accedi con un account che disponga delle autorizzazioni amministrative necessarie.
Vai a Policy sulle minacce: nel riquadro di navigazione a sinistra, espandi E-mail e collaborazione e seleziona Policy e regole. Quindi fare clic su Politiche sulle minacce.
Individuare l'agente di triage del phishing: all'interno delle policy sulle minacce troverai una sezione dedicata alle risorse IA. Seleziona Agente di valutazione del phishing (Anteprima/GA). La designazione "Anteprima/GA" indica che la funzionalità potrebbe essere in anteprima pubblica o potrebbe aver già raggiunto la disponibilità generale, a seconda della regione e del programma di rilascio di Microsoft.
Attiva l'agente: sposta l'interruttore di stato su On. Ciò abiliterà l'agente. Successivamente sarà necessario definire l’ambito di applicazione. Per una copertura completa, seleziona Intera organizzazione. Puoi anche optare per gruppi di utenti o domini specifici per un'implementazione graduale.
Salva modifiche: assicurati di salvare tutte le impostazioni per applicare i criteri.

Passaggio 2: definizione delle azioni di riparazione automatizzate

Dopo l'attivazione, è fondamentale configurare il modo in cui il Phishing Triage Agent deve rispondere ai diversi livelli di minaccia. Ciò consente di personalizzare il livello di aggressività dell'agente nella riparazione.

Accedi alle azioni automatiche dell'agente: nella stessa schermata di configurazione dell'agente di triage phishing, vai alla sezione Azioni automatiche.
Configura per minacce ad alta probabilità: per le email classificate come Alta probabilità di phishing (ovvero, l'agente è altamente certo che siano di natura dannosa), selezionare l'azione Elimina definitivamente. Questa azione rimuove l'e-mail dalla posta in arrivo dell'utente e da qualsiasi cartella, impedendo qualsiasi ulteriore interazione.utura.
Configura per minacce con confidenza media: per le email con confidenza media (dove sono presenti prove forti ma non conclusive di phishing), selezionare Sposta in quarantena e avvisa l'amministratore**. Questo approccio consente a un analista umano di rivedere l'e-mail in quarantena prima di eliminarla definitivamente, riducendo il rischio di falsi positivi ma contenendo comunque la minaccia.
Altre opzioni di risoluzione: esplora altre opzioni come Sposta nella posta indesiderata per minacce poco attendibili o Blocca mittente per mittenti di phishing ripetuti. La flessibilità in queste impostazioni consente un controllo granulare sulla risposta dell'agente.
Salva modifiche: conferma le impostazioni di correzione.

Fase 3: monitoraggio e analisi dei risultati

Per valutare l'efficacia del Phishing Triage Agent e garantire che funzioni come previsto, Microsoft Defender per Office 365 offre dashboard e report dedicati.

Accedi ai report di posta elettronica e collaborazione: nel menu laterale del portale Microsoft Defender, vai a Report > Posta elettronica e collaborazione.
Visualizza il rapporto "Efficienza dell'agente AI": cerca il rapporto "Efficienza dell'agente AI" (o un nome simile, che può variare leggermente). Questo rapporto è progettato per mostrare parametri chiave come:
Numero di attacchi evitati: numero di email di phishing rilevate e risolte dall'agente senza la necessità di intervento umano.
Tempo medio di risposta: la velocità con cui l'agente ha agito rispetto al triage manuale.
Falsi positivi/negativi: un'analisi dell'accuratezza dell'agente, che consente la messa a punto delle politiche di riparazione.
Tendenze degli attacchi: approfondimenti sui tipi più comuni di phishing e sulle tattiche utilizzate dagli aggressori.
Utilizza Threat Explorer: per indagini più dettagliate, Threat Explorer in Defender per Office 365 consente di cercare messaggi di posta elettronica specifici, visualizzare il verdetto dell'autore e comprendere il percorso della minaccia.
Configura avvisi personalizzati: in Microsoft Sentinel (se integrato), puoi configurare avvisi personalizzati per avvisarti di un volume elevato di rilevamenti di phishing da parte di agenti o di tentativi di phishing altamente sofisticati che richiedono l'attenzione umana.

Considerazioni aggiuntive e best practice

Formazione degli utenti: sebbene l'agente automatizzi lo screening, la formazione continua degli utenti per identificare e segnalare e-mail sospette rimane essenziale. L'agente agisce in base alle segnalazioni degli utenti e una forte cultura della sicurezza è la prima linea di difesa.
Revisione periodica delle policy: il panorama delle minacce è in continua evoluzione. Esamina regolarmente le configurazioni del Phishing Triage Agent e le politiche di risoluzione per assicurarti che rimangano efficaci contro le ultime tattiche degli aggressori.
Integrazione SOC: assicurati che i risultati e gli avvisi del Phishing Triage Agent siano integrati con il tuo sistema SIEM/SOAR (come Microsoft Sentinel) per una visione unificata della sicurezza e per orchestrare risposte più ampie agli incidenti.
Modalità di controllo iniziale: per le organizzazioni che desiderano un approccio più cauto, valutare la possibilità di configurare l'agente inizialmente in modalità di controllo o con azioni correttive più blande (ad esempio, spostamento nella posta indesiderata) per monitorarne le prestazioni prima di implementare azioni più aggressive.
Feedback continuo: utilizza report e metriche per fornire feedback ai modelli di intelligenza artificiale, contribuendo a migliorarne l'accuratezza e l'efficacia nel tempo.

Conclusione

Phishing Triage Agent di Microsoft Defender per Office 365 rappresenta un progresso cruciale nella lotta contro il phishing nel 2026. Automatizzando il triage, l'indagine e la correzione delle e-mail di phishing, non solo accelera notevolmente i tempi di risposta, ma migliora anche la precisione del rilevamento e consente ai team di sicurezza di concentrarsi su sfide più strategiche. L’implementazione efficace di questo agente è un passaggio fondamentale per qualsiasi organizzazione che desideri rafforzare la propria resilienza informatica e proteggere i propri utenti dalle minacce sempre più sofisticate dell’era dell’intelligenza artificiale. Adottando questa tecnologia, le aziende possono trasformare la loro difesa dal phishing da una battaglia manuale e reattiva a una lotta contro il phishingfunzionamento proattivo e intelligente.

Riferimenti

[1] Comunità tecnologica Microsoft. "Ignite 2025: cosa c'è di nuovo in Microsoft Defender?" Disponibile all'indirizzo: https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/ignite-2025-whats-new-in-microsoft-defender/4469996 [2] Comunità tecnologica Microsoft. "RSA 2026: cosa c'è di nuovo in Microsoft Defender?" Disponibile all'indirizzo: [https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/rsa-2026-what%E2%80%99s-new-in-microsoft-defender/4503046] (https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/rsa-2026-what%E2%80%99s-new-in-microsoft-defender/4503046) [3] LinkedIn. "RSA 2026: Novità di Microsoft Defender? | Sami Lamppu." Disponibile su: [https://www.linkedin.com/posts/sami-lamppu_rsa-2026-whats-new-in-microsoft-defender-activity-7442586162021433344-5Fez] (https://www.linkedin.com/posts/sami-lamppu_rsa-2026-whats-new-in-microsoft-defender-activity-7442586162021433344-5Fez) [4] Comunità tecnologica Microsoft. "Notizie mensili - aprile 2026." Disponibile all'indirizzo: https://techcommunity.microsoft.com/blog/microsoftthreatprotectionblog/monthly-news---april-2026/4508050