ESET ha annunciato ESET NeoCortex, un foundation model specializzato nella cybersecurity che costituisce la base di ESET LiveCortex, la tecnologia di analisi e correlazione degli eventi integrata nella piattaforma ESET PROTECT. Secondo le ricerche interne del vendor, addestrare un modello di questo tipo costa 200 volte meno rispetto a un LLM generalista; dei miliardi di eventi telemetrici grezzi elaborati ogni giorno, soltanto lo 0,00111% (circa uno su 90.000) contribuisce agli incidenti segnalati ai clienti.

ESET LiveCortex mette in relazione segnali frammentati provenienti da endpoint, identità digitali, workload cloud, reti e applicazioni, li arricchisce con informazioni di contesto e li classifica per priorità, per trasformarli in incidenti su cui i team di difesa possono intervenire. Si tratta di segnali che, presi singolarmente, potrebbero sembrare innocui, come anomalie negli accessi, avvii sospetti di processi, connessioni insolite, modifiche alle configurazioni e successivi tentativi di accesso ai dati. L'obiettivo dichiarato è ridurre l'alert fatigue e le verifiche manuali, evitando che segnalazioni ripetitive di scarso valore assorbano il tempo degli analisti.

NeoCortex si basa su un'architettura di tipo world model ed è pensato per elaborare dati di sicurezza strutturati tenendo conto delle relazioni temporali fra gli eventi e dei comportamenti potenzialmente ostili. Usa gli schemi appresi da incidenti reali per interpretare le attività rilevate nel contesto di una possibile compromissione, riconoscere situazioni analoghe e prevedere le mosse più probabili degli attaccanti. Secondo ESET è in grado di ricostruire il contesto mancante di un incidente, creare rappresentazioni sintetiche di incidenti complessi e individuare eventi anomali all'interno di una sequenza di attacco più ampia. Su questa previsione si fonda quella che il vendor chiama minus-one-day defense, cioè intervenire prima che l'attacco passi alla fase seguente.

ESET porta come esempio il periodo definito Black October, la settimana precedente al 25 ottobre 2026, quando problemi di sicurezza che hanno interessato PHP, Linux, GitLab e altri sistemi hanno richiesto interventi tempestivi e una definizione rigorosa delle priorità. In situazioni simili il modello è pensato per supportare gli analisti nelle decisioni, lasciando agli specialisti il controllo delle attività di difesa.

La scelta di un modello specializzato nasce, secondo ESET, dalla differenza fra un LLM generalista, progettato per generare risposte plausibili su un'ampia gamma di argomenti, e le operazioni di sicurezza, che richiedono un'analisi coerente di entità, marcature temporali, indicatori, relazioni tra processi e osservazioni incomplete mentre l'incidente evolve. L'azienda sostiene che NeoCortex fornisca anche risultati più accurati di un modello generalista. Il minor costo di addestramento deriva, sempre secondo il vendor, dall'addestramento ottimizzato, dalla focalizzazione sul vocabolario della cybersecurity, da un'ingegneria specifica per la sicurezza, da minori requisiti computazionali e dall'hardware proprietario. Fra le ricadute per i team di sicurezza, ESET indica aggiornamenti più frequenti degli schemi di attacco appresi dagli incidenti precedenti, minori costi infrastrutturali e una spesa più prevedibile.

NeoCortex non opera come sistema decisionale autonomo e fa parte di un'architettura di sicurezza multilivello che combina modelli specializzati, controlli deterministici, logiche di correlazione, validazione, verificabilità e supervisione umana. Per impedire che il modello agisca al di fuori dell'ambiente protetto o assuma comportamenti autonomi non autorizzati su Internet, ESET ha previsto ambienti sandbox con accesso limitato, strumenti di sola lettura, monitoraggio continuo, limiti predefiniti di utilizzo e di consumo dei token, un kill switch per l'arresto immediato e la supervisione di esperti sulle decisioni critiche di risposta agli attacchi.

Il modello è sviluppato e gestito sull'infrastruttura di ESET, che mantiene sotto il proprio controllo i dati di sicurezza sensibili e le attività operative del modello. Secondo il vendor, l'approccio self-hosted riduce la dipendenza da fornitori di AI di terze parti e l'esposizione dei clienti ai cambiamenti geopolitici, commerciali e nelle strategie di quei fornitori.