Il modello da 4 miliardi ha superato GPT-4o e Sec-Gemini in test di threat investigation
Nell’ottobre del 2025, un annuncio che sarebbe potuto passare inosservato fuori dalle cerchie specialistiche ha scosso le gerarchie dell’intelligenza artificiale applicata alla cybersecurity. Un team di ricercatori ha pubblicato su arXiv il paper che descriveva i risultati di CyberPal 2.0, una famiglia di modelli linguistici “piccoli” (Small Language Models, con parametri compresi tra 4 e 20 miliardi) capace di surclassare sistemi enormi come GPT-4o e Sec-Gemini v1 in compiti specifici di indagine sulle minacce. Oggi, a luglio 2026, quella lezione ingegneristica non ha perso la sua forza: anzi, impone una riflessione molto concreta sui criteri con cui scegliamo i nostri strumenti di difesa digitale.
Il piccolo che batte i giganti
L’aspetto più sorprendente del test non è tanto che il modello di punta, con i suoi 20 miliardi di parametri, abbia ottenuto il primo posto. È che il suo fratello minore, un modello da appena 4 miliardi di parametri, abbia chiuso la competizione al secondo posto, subito dopo i sistemi più evoluti di OpenAI e Google. La sfida riguardava compiti centrali per un centro operativo di sicurezza: la correlazione di vulnerabilità e bug ticket con specifiche debolezze software, un lavoro che di solito richiede squadre di analisti umani o ore di processamento da parte di modelli generalisti.
Il paragone è tutto nei numeri. A scendere in campo contro CyberPal 2.0 c’erano modelli come GPT-4o, o1, o3-mini e Sec-Gemini v1, quest’ultimo presentato da Google nell’aprile 2025 con un annuncio sul blog ufficiale della sicurezza e considerato per mesi il punto di riferimento sperimentale per il settore. Si tratta di architetture che, nella loro versione generalista, viaggiano su ordini di grandezza di parametri a tre cifre (centinaia di miliardi, se non oltre). L’idea che un modello con 4 miliardi di parametri, una frazione minuscola, potesse superarli sembrava un azzardo o un errore di laboratorio. Lo scorso ottobre i dati hanno detto il contrario: CyberPal 2.0, nella sua veste più leggera, è arrivato secondo in classifica, staccando tutti gli altri concorrenti tranne il suo gemello maggiore.
Il segreto dietro le quinte
Un risultato del genere non nasce dalla potenza di calcolo bruta, ma da un cambio di metodo. Chi ha sviluppato CyberPal 2.0 non ha semplicemente riversato petabyte di testo generico in una rete neurale sperando che emergesse la competenza. Ha costruito una pipeline chiamata SecKnowledge 2.0 per generare un dataset di addestramento arricchito con catene di ragionamento specifiche per la cybersecurity. Il principio è semplice nella sua esecuzione, sofisticato nell’ingegneria: coinvolgere esperti umani nel processo di definizione del formato dei ragionamenti (quello che gli addetti ai lavori chiamano “expert-in-the-loop”) e ancorare il modello a fonti verificate passo dopo passo, con una tecnica di “grounding multi-step”.
La differenza tra i due approcci è sostanziale. I modelli di grandi dimensioni compensano l’imprecisione con la massa di dati, ma spesso faticano a restare coerenti quando il compito richiede un filo logico rigoroso su un dominio di nicchia. SecKnowledge 2.0 ha risolto il problema a monte, limitando le allucinazioni e guidando la “memoria” del modello su sentieri già battuti da esperti umani. Il risultato è un modello che “sa” meno cose, ma quelle che sa le applica con un’affidabilità molto più alta nei test di threat investigation.
Cosa cambia per chi gestisce piattaforme online
La domanda per chi amministra un’infrastruttura digitale non è accademica. Se con un modello da 4 miliardi di parametri posso ottenere risultati di secondo posto assoluto in compiti critici di correlazione delle minacce, retaggio esclusivo dei colossi dell’AI, quali conseguenze si aprono sui costi e sulla reattività dei sistemi di difesa? Un modello di quelle dimensioni non ha bisogno di cluster di calcolo da milioni di euro per funzionare in fase di inferenza; può essere integrato direttamente nei flussi di automazione della sicurezza, riducendo la latenza e permettendo di processare enormi volumi di alert con una spesa hardware radicalmente inferiore. Significa che l’eccellenza nella difesa smette di essere un lusso per piattaforme con budget illimitati e diventa un componente ingegneristico valutabile per le medie imprese.
Il mercato si sta muovendo di conseguenza, ma serve una bussola per evitare il marketing. La lezione di ottobre 2025 è che la superiorità non è più una questione di dimensioni del modello. Conta l’ingegneria mirata, la qualità del dataset specialistico, la vicinanza del processo di training alle logiche operative di chi fa sicurezza tutti i giorni. Davanti alla scelta di un tool basato sull’intelligenza artificiale, la domanda giusta non è più “quanti parametri gestisce?”, ma “su quali dati è stato addestrato, e con quali logiche di supervisione umana?”.
Non serve un gigante per proteggere un impero digitale. A volte, un modello da 4 miliardi di parametri, forgiato da un team che capisce le minacce più di quanto capisca il marketing, fa più paura di un colosso dai trilioni di connessioni sintattiche. Rivedere i criteri di scelta non è solo un esercizio tecnico: è un imperativo per chi deve tenere in piedi un’infrastruttura online con risorse sensate.
