L’ultimo paper del CERT-AGID approfondisce l’uso di workflow agentici nell’analisi del malware, un ambito in cui modelli linguistici e strumenti automatici sono sempre più spesso chiamati a supportare attività di triage, reverse engineering e ricostruzione di catene multi-stage.
Lo studio mostra come questi sistemi non si limitino più a produrre testo, ma possano orchestrare strumenti, leggere artefatti complessi e sostenere sessioni iterative di analisi. Allo stesso tempo, mette in evidenza un limite strutturale: nei workflow più lunghi, la criticità principale non è solo la qualità del modello, ma la tenuta dell’intero processo operativo.
Una campagna di test è stata utilizzata per valutare la possibilità di trasferire workflow analoghi su infrastrutture interamente locali. Le prove hanno mostrato che, nei contesti agentici dedicati alla malware analysis, il degrado operativo emerge spesso prima per limiti di infrastruttura, orchestrazione e tool-use che per carenze intrinseche del modello.
Nel complesso, il paper evidenzia che la vera metrica nei workflow agentici non è il modello isolato, ma l’intero sistema di analisi. Per renderli sostenibili servono workflow più atomici, telemetria affidabile e un’orchestrazione rigorosa dei tool, così da mantenere osservabilità, continuità operativa e controllo del processo investigativo nel tempo.
Fonte: www.agid.gov.it
