In questo articolo Indice dei contenuti 3 sezioni
Con oltre mille miliardi di richieste filtrate ogni giorno su scala globale, Cloudflare ha deciso di cambiare marcia e ha presentato Adaptive Intelligence, un motore di rilevamento dei bot basato sull’intelligenza artificiale che si aggiunge al servizio Bot Management. La differenza rispetto agli strumenti classici sta tutta in una parola, continuità: il modello non aspetta l’aggiornamento programmato, si riaddestra sul traffico reale mentre gli attacchi automatizzati cambiano forma. Una scelta che l’azienda americana accompagna con un’ammissione poco diplomatica, ovvero che nessuna barriera potrà mai fermare un attaccante davvero motivato.
Il punto di partenza è uno squilibrio noto a chiunque lavori nella sicurezza informatica. Chi attacca può moltiplicare i tentativi a costi ridicoli, cambiare indirizzo IP, costruirsi una nuova identità digitale e ripartire da capo quante volte serve. Chi difende, al contrario, deve verificare ogni singola modifica con attenzione maniacale per non bloccare per sbaglio un cliente reale. Il risultato è che le protezioni tradizionali arrivano con rilasci distanziati, a volte di settimane intere, mentre agli aggressori bastano poche ore per cambiare metodo.
Perché i bot malevoli restano un passo avanti
Alcuni gruppi lavorano di fino per confondersi nel traffico normale. Si appoggiano a vaste reti di proxy residenziali, spalmano le richieste su un numero enorme di indirizzi, cambiano firma a ogni passaggio e procedono lentamente dentro un modulo di accesso o un percorso di pagamento. Presa da sola, ogni richiesta somiglia a quella di un visitatore qualunque. È proprio questa dispersione paziente a rendere l’attacco quasi invisibile, perché nessun indirizzo, isolatamente, arriva mai a superare la soglia che farebbe scattare l’allarme.
Il nodo, secondo Cloudflare, sta nella natura stessa delle difese attuali, definite deterministiche. Tradotto: lo stesso dato produce sempre la stessa risposta. Un attaccante paziente finisce così per mappare i confini del sistema a forza di tentativi, un po’ come si cerca la combinazione di una cassaforte per esclusione. Ci sono gruppi che hanno persino sviluppato strumenti per semi automatizzare questo logorio. La domanda, sostiene l’azienda, non è più se un hacker determinato riuscirà a passare, ma cosa accade nel momento in cui ci riesce.
Come funziona Adaptive Intelligence
Il nuovo tassello si colloca dietro il bot score, il punteggio che stima la probabilità che una richiesta arrivi da una macchina invece che da una persona, incrociando segnali come l’impronta di connessione JA4, una specie di carta d’identità tecnica che ogni dispositivo lascia collegandosi, i test JavaScript, la reputazione della rete di origine e il comportamento di sessione. La novità è che il modello di machine learning non è più una versione statica aggiornata ogni tanto, ma un sistema che si riaddestra di continuo e può integrare un nuovo strumento di aggiramento nella stessa settimana in cui compare.
Il secondo pilastro è ancora in preparazione e riguarda le regole di blocco usa e getta. In pratica Cloudflare crea una regola mirata contro un attacco specifico, la tiene attiva per un certo periodo, poi la ritira a intervalli casuali sostituendola con un’altra. Non serve che sia perfetta, deve solo reggere il tempo necessario a rallentare chi attacca. Nel momento in cui l’aggressore capisce come aggirarla, quella regola è già sparita. Ritirarla, però, non significa dimenticarla: il sistema conserva memoria degli attacchi già incontrati, quindi cambiare indirizzo o strumento non basta per ripartire da zero. E quando un cliente segnala un visitatore legittimo bloccato per errore, quella correzione diventa dato di addestramento a tutti gli effetti.
Test silenziosi prima della prima linea
Il motore lavora seguendo il ciclo osservare, addestrare, distribuire, validare. Ogni nuova versione gira prima in modalità silenziosa, in parallelo al modello esistente, e i risultati vengono confrontati prima di qualsiasi passaggio in produzione. Se penalizza i visitatori veri, resta nel cassetto. L’analisi corre su più finestre temporali insieme, una breve per cogliere i picchi improvvisi, una più lunga per individuare comportamenti ripetuti su migliaia di indirizzi apparentemente scollegati tra loro.
Adaptive Intelligence affianca Precursor, lo strumento svelato il mese scorso che osserva il comportamento del visitatore direttamente nel browser, dal ritmo delle azioni ai movimenti. Per i clienti Enterprise l’attivazione passa da un solo pulsante, Auto Update Machine Learning, nella dashboard di Bot Management, senza migrazioni né configurazioni aggiuntive e con il bot score già in uso che continua a funzionare normalmente.
