C'è un dato che riassume bene la sfida della cybersicurezza applicata alle reti elettriche: individuare un attacco informatico che manipola le misure di un sistema di controllo, distinguendolo da un banale guasto tecnico, richiede di mettere insieme dati fisici (tensione, corrente, frequenza) e dati di traffico di rete, in un contesto dove ogni impianto ha una topologia diversa e spesso non documentata in formato digitale utilizzabile da un algoritmo. Il Dipartimento dell'Energia statunitense (DOE), attraverso il suo ufficio per la cybersicurezza energetica (CESER, Office of Cybersecurity, Energy Security, and Emergency Response) e i Sandia National Laboratories, ha reso pubblici il 27 agosto 2026 i risultati di un progetto che affronta esattamente questo collo di bottiglia: C2E2 (Communications and Cybersecurity for the Energy Edge), un sistema che usa modelli linguistici di grandi dimensioni (LLM) e intelligenza artificiale generativa per automatizzare la fase più onerosa del rilevamento delle minacce informatiche alla rete, portando l'accuratezza di individuazione e localizzazione degli attacchi al 95%.
TRL 4-5 — Dimostrazione/prototipo: validato in laboratorio con risultati misurati, test sul campo con utility reali ancora da avviare
Impatto potenziale: alto
Il problema: il 90% del tempo se ne va a preparare i dati, non a cercare la minaccia
I sistemi di controllo industriale che gestiscono la rete elettrica (SCADA, PMU, relè di protezione) generano continuamente due tipi di informazioni molto diverse tra loro: misure fisiche ad alta frequenza (tensione, corrente, frequenza di rete, spesso campionate decine di volte al secondo) e dati di comunicazione digitale, più sporadici e discontinui, che viaggiano sulla rete di controllo dell'impianto. Un modello di apprendimento automatico capace di distinguere un attacco informatico da un'anomalia fisica innocua deve mettere in relazione questi due mondi, ma per farlo ha bisogno di sapere, per ogni dispositivo, dove si trova, a cosa è collegato, quali grandezze fisiche misura e come dialoga con gli altri componenti dell'impianto. Costruire questa mappa — quella che i ricercatori chiamano "ingegneria dei dati" — è finora stato un lavoro in larghissima parte manuale: secondo il team di Sandia, rappresentava da solo circa il 90% dei circa due mesi necessari per addestrare un modello di rilevamento su un nuovo impianto. Il tempo dedicato alla ricerca vera e propria della minaccia, una volta pronti i dati, era una frazione minima di quel totale.
Come funziona C2E2: l'IA generativa che prepara i dati per l'IA che cerca la minaccia
Il sistema sviluppato dal team di Sandia — guidato da Georgios Fragkos con Sidney Wright e Birk Jones, sotto la supervisione di Alex Haddad e Charles Hanley del portafoglio Electric Grid Security del laboratorio — non sostituisce il modello di apprendimento automatico che rileva le minacce, ma automatizza il passaggio che lo precede. Un modello linguistico di grande dimensione elabora descrizioni testuali dei componenti dell'impianto — informazioni su dove si trova ogni dispositivo, cosa collega, quali misure fisiche produce, quali dati di comunicazione scambia e come si inserisce nella topologia complessiva — e trasforma queste informazioni grezze ed eterogenee in un set di dati pulito e strutturato, pronto per addestrare il modello di rilevamento vero e proprio. È una pipeline in due stadi: prima l'LLM automatizza la preparazione dei dati, poi un modello di machine learning tradizionale analizza il risultato per stabilire se è in corso una minaccia e, soprattutto, dove si trova. Come ha sottolineato Sidney Wright, membro del team, localizzare con precisione un attacco è il passaggio chiave per riuscire a neutralizzarlo, ed è un problema tecnicamente più complesso del semplice rilevamento: le minacce più sofisticate, infatti, tendono a manifestarsi con variazioni che restano dentro i normali intervalli operativi, il che richiede un lavoro di preparazione dei dati particolarmente accurato per non perdersi i segnali deboli.
I numeri: dall'85% manuale al 95% automatizzato, da due mesi a poche ore
Il confronto diretto tra i due approcci è il cuore del risultato annunciato: con l'ingegneria dei dati preparata manualmente, il modello di rilevamento raggiungeva un'accuratezza dell'85%; automatizzando questo passaggio con gli LLM di C2E2, l'accuratezza è salita al 95% nell'individuare e localizzare le minacce cyber-fisiche, con un tempo di addestramento ridotto da circa due mesi a poche ore. Il sistema fornisce inoltre quella che il team definisce "intelligenza operativa di alta qualità in tempo quasi reale", una caratteristica rilevante per chi deve intervenire rapidamente su un impianto sotto attacco piuttosto che ricostruire l'accaduto a posteriori. Il lavoro ha già ricevuto un riconoscimento nella comunità scientifica: il Best Paper Award all'IEEE International Workshop on Computer Aided Modeling and Design of Communication Links and Networks nell'ottobre 2025.
Il contesto: combattere l'intelligenza artificiale con l'intelligenza artificiale
Il progetto C2E2, finanziato dal 2024 dal CESER, si inserisce in un programma più ampio del Dipartimento dell'Energia chiamato AI-FORTS (Artificial Intelligence For Operationally Resilient Technologies and Systems), articolato in tre linee di lavoro parallele: "Secure From AI", dedicata a difendersi da attacchi realizzati con il supporto dell'intelligenza artificiale; "Secure With AI", che comprende iniziative come C2E2 e punta a usare l'IA per il rilevamento delle minacce e la visibilità sui sistemi di controllo industriale (OT/ICS); e "Secure AI", che si occupa di proteggere gli stessi sistemi di intelligenza artificiale impiegati in ambito energetico da manipolazioni e abusi. È una cornice che riflette una preoccupazione crescente tra le agenzie di sicurezza energetica americane: mentre l'intelligenza artificiale generativa abbassa la soglia tecnica anche per condurre attacchi informatici più sofisticati, la stessa tecnologia può essere messa al servizio della difesa, a patto di risolvere problemi molto concreti come quello dell'ingegneria dei dati affrontato da C2E2. Sandia non è nuova a questo tipo di ricerca: il laboratorio aveva già sviluppato in precedenza griDNA, un sistema di rilevamento delle intrusioni basato su reti neurali insignito di un R&D 100 Award, oggi in fase di test sul campo con partner come la utility Public Service Company of New Mexico; C2E2 ne condivide l'obiettivo di fondo ma affronta uno snodo diverso e finora poco esplorato, quello della preparazione automatica dei dati con l'IA generativa.
Cosa resta da dimostrare
Il team è esplicito sui limiti attuali della tecnologia: il passo successivo della ricerca riguarda la comprensione e la prevenzione delle cosiddette "allucinazioni" dei modelli linguistici, cioè i casi in cui l'LLM produce dati scorretti o inventati durante la fase di preparazione — un rischio che, applicato a un'infrastruttura critica come la rete elettrica, potrebbe tradursi in falsi allarmi o, peggio, in minacce reali non rilevate. Per questo il gruppo di ricerca sta lavorando a un ulteriore livello di verifica pensato per rendere questi errori visibili e misurabili prima di qualunque impiego operativo. Il progetto rimane quindi in una fase pre-operativa: i risultati sono stati ottenuti e validati in ambiente di laboratorio, mentre il test con una utility del settore privato — passaggio necessario per verificare l'affidabilità del sistema su un impianto reale e non solo su dati di validazione — è indicato come prossimo passo, non ancora avviato.
Perché interessa il settore
Le reti elettriche stanno diventando sistemi cyber-fisici sempre più complessi ed esposti: la diffusione di sensori intelligenti, dispositivi IoT, veicoli elettrici connessi e strumenti di intelligenza artificiale per la gestione stessa della rete — come dimostra anche l'iniziativa europea AI.Grids, che punta a usare l'IA per calcolare i flussi di potenza e prevedere consumi e produzione — moltiplica al tempo stesso le opportunità di ottimizzazione e la superficie esposta a possibili attacchi informatici. In questo contesto, il collo di bottiglia più citato dagli operatori non è quasi mai la disponibilità di algoritmi di rilevamento sufficientemente accurati, quanto il tempo e il costo necessari per adattarli a ogni singolo impianto, con la sua topologia specifica e i suoi dati eterogenei. Se un sistema come C2E2 riuscisse davvero a comprimere questo tempo da mesi a ore, senza sacrificare l'affidabilità richiesta a un'infrastruttura critica, l'impatto non starebbe tanto in un nuovo algoritmo di rilevamento quanto nella possibilità di distribuire la cybersicurezza basata sull'IA a un numero molto più ampio di impianti, comprese le utility di piccole e medie dimensioni che oggi difficilmente potrebbero permettersi mesi di lavoro manuale di ingegneria dei dati per ciascun sito. Restano da verificare, prima che questo accada, sia l'affidabilità del sistema in condizioni operative reali sia la sua capacità di gestire in sicurezza il rischio di allucinazioni dei modelli linguistici su cui si basa.
Fonte: U.S. Department of Energy - CESER, "CESER and Sandia National Lab are Using AI to Safeguard the Electric Grid", con approfondimenti tecnici da Sandia National Laboratories, LabNews, "Fighting AI with AI to keep the lights on" e da Industrial Cyber, "DOE and Sandia National Lab use AI to boost electric grid cybersecurity, detect threats with 95% accuracy".
