Questo è il terzo articolo della nostra serie sull'AI Agent. Nella Parte 1, abbiamo presentato l'AI Agent di Red Sift per la classificazione dei domini lookalike – una soluzione intelligente per gestire i casi ambigui che l'automazione basata su regole non riesce a risolvere con sicurezza, offrendo un triage autonomo di livello analista. Nella Parte 2, abbiamo portato i lettori dietro le quinte per esplorare le sfide ingegneristiche e le decisioni di design che permettono all'agente di ragionare, adattarsi e operare in modo affidabile su larga scala. Ora, con la funzionalità in fase di beta testing, la Parte 3 si concentrerà sul mostrare quanto bene si comporti quando applicata a dati del mondo reale.
Un breve riepilogo per i nuovi lettori
L'AI Agent di Red Sift per la classificazione dei domini lookalike è un sistema di triage intelligente progettato per determinare se un dominio sospetto è stato creato intenzionalmente per imitare un brand ufficiale o se qualsiasi somiglianza è puramente casuale. Acquisisce molteplici segnali contestuali – tra cui nomi di dominio, dati DNS e WHOIS, screenshot e informazioni sui clienti – e applica un ragionamento avanzato per effettuare una classificazione binaria: impersonificazione o innocuo. È fondamentale sottolineare che non restituisce solo un'etichetta – genera anche una spiegazione in linguaggio naturale, rispecchiando il modo in cui un analista umano potrebbe giustificare la propria decisione. È stato dimostrato che l'agente produce risultati eccellenti su account di test di proprietà di Red Sift con dataset di riferimento.
La figura sopra mostra la valutazione dell'agente per il dominio lookalike paypalmanager.my rispetto al dominio asset paypal.com. Presenta il risultato della classificazione binaria, un riepilogo esecutivo e una spiegazione dettagliata del ragionamento alla base della decisione. In questo articolo, esamineremo ogni elemento della sezione Dettagli dell'Analisi – coprendo il nome di dominio, il contenuto visivo e la relazione commerciale – per rendere il ragionamento dell'agente più chiaro attraverso scenari del mondo reale relativi a brand noti. Grazie al nostro beta testing, possiamo visualizzare le probabili sfide che i team di sicurezza devono affrontare e dove l'AI Agent di Red Sift può semplificare le azioni necessarie. I brand scelti sono stati selezionati dal nostro team di ingegneria e non riflettono, in questa fase, alcuna approvazione da parte dei clienti.
L'agente in azione
Analisi del nome di dominio
Quando analizza i nomi di dominio, l'agente valuta quanto strettamente un dominio sospetto si allinei con il dominio asset legittimo. Questo inizia con l'esame delle corrispondenze esatte, che spesso segnalano il rischio più elevato, e si estende alle corrispondenze parziali, dove il contesto gioca un ruolo critico nel distinguere tra coincidenza e intenzionalità.
Analisi delle corrispondenze esatte
Le corrispondenze esatte di dominio sono uno degli indicatori più forti di una potenziale impersonificazione, ma il contesto è fondamentale per evitare falsi positivi. Il nome di dominio da solo non racconta l'intera storia – alcune corrispondenze possono riferirsi a brand ben noti, mentre altre possono semplicemente coinvolgere parole comuni che coincidono per caso. Per affrontare questo problema, l'agente non si limita a segnalare una corrispondenza esatta; analizza la natura del termine corrispondente per determinare se rappresenta un'identità di brand distintiva o un termine generico. Ragionando attraverso questo contesto, il sistema può distinguere tra imitazione deliberata e somiglianza accidentale, consentendo una classificazione molto più precisa.
Lookalike: openai.xyz Asset: openai.com Domain analysis: The lookalike domain ‘openai.xyz’ is an exact match to the asset domain ‘openai.com’ in terms of the brand name, differing only by the top-level domain, which is a common tactic in lookalike domains.
Lookalike: grape.net Asset: grape.com Domain analysis: The domain names share the same dictionary word ‘grape’ but differ only in TLD, and since ‘grape’ is not a recognized brand, the domains are classified as unrelated rather than confusable.
Lookalike: apple.vip Asset: apple.com Domain analysis: The lookalike domain ‘apple.vip’ is an exact match to the brand name ‘apple’ used in ‘apple.com’, differing only by the TLD ‘.vip’, which can cause confusion due to the strong brand recognition of Apple.
Analisi delle corrispondenze parziali e del contesto
Un dominio non deve necessariamente essere una corrispondenza esatta per destare sospetti. Anche le corrispondenze parziali – in cui il nome del brand appare all'interno di un dominio più lungo – possono segnalare una potenziale impersonificazione. In questi casi, l'agente valuta il contesto circostante al termine del brand, analizzando se le parole aggiuntive rafforzano la probabilità di un tentativo deliberato di imitazione o indicano un uso casuale. Questo ragionamento sfumato aiuta a separare i domini veramente rischiosi da quelli che contengono semplicemente una formulazione simile.
Lookalike: merrill-n-sons.com Asset: merrill.com Domain analysis: The lookalike domain includes the exact brand name ‘merrill’ but adds a generic suffix ‘-n-sons’ that does not relate to Merrill’s financial services, categorizing it as irrelevant brand inclusion.
Lookalike: merrill-securelogin.gb.net Asset: merrill.com Domain analysis: The lookalike domain includes the exact brand name ‘merrill’ from the asset domain and adds ‘securelogin’, a term highly relevant to financial services, making it a relevant brand inclusion that could confuse users.
Lookalike: merrillinvest.com Asset: merrill.com Domain analysis: The lookalike domain ‘merrillinvest.com’ contains the exact brand name ‘merrill’ from the asset domain and appends ‘invest’, a term directly related to Merrill’s investment services, making it highly confusable.
Analisi del contenuto visivo
Un altro segnale importante che l'agente esamina è il contenuto del sito web lookalike. Sebbene i nomi di dominio forniscano forti indizi iniziali, non raccontano sempre l'intera storia. Analizzando gli elementi presenti nella pagina, l'agente può convalidare o mettere in discussione il sospetto iniziale sollevato durante l'analisi del nome di dominio. Esamina fattori come loghi, layout visivo, struttura della pagina ed elementi testuali chiave che potrebbero imitare il brand legittimo. Questo ulteriore livello di controllo aiuta a determinare se la presentazione del sito rafforza il segnale di impersonificazione o suggerisce un uso innocuo e non correlato, rendendo in definitiva la classificazione più accurata e sensibile al contesto.
Contenuto non pertinente
In alcuni casi, il nome di dominio può sembrare correlato, ma il contenuto effettivo del sito web racconta una storia completamente diversa. Questi esempi mostrano come l'analisi dei contenuti aiuti a scartare i falsi positivi identificando siti che sono legittimi ma non correlati al brand in questione.
Lookalike: aa.co.nz Asset: aa.com Domain analysis: The domain ‘aa.co.nz’ shares the same two-letter string ‘aa’ as ‘aa.com’, but since ‘aa’ is not a proper brand name and the TLD ‘.co.nz’ indicates a New Zealand commercial entity unrelated to American Airlines, the domain name similarity is minimal and not indicative of impersonation. Content analysis: The visual and functional content of ‘aa.co.nz’ clearly represents the New Zealand Automobile Association, with distinct branding, services, and industry focus from ‘aa.com’, which is American Airlines. Due to the different industries and branding, content similarity analysis confirms low similarity and no impersonation.
Lookalike: bankofamerica.me Asset: bankofamerica.com Domain analysis: The lookalike domain ‘bankofamerica.me’ is an exact match to the asset domain ‘bankofamerica.com’ except for the TLD, which can be confusing. Content analysis: The lookalike domain hosts a personal blog unrelated to banking, with no similar logos or financial services, making content similarity low and not indicative of impersonation.
Stesso settore
A volte, un dominio appartiene a un'azienda operante nello stesso settore del brand legittimo, creando una somiglianza superficiale senza necessariamente indicare un'impersonificazione. Questi scenari evidenziano come l'analisi dei contenuti possa differenziare tra presenza competitiva o generica nel settore e tentativi effettivi di imitare un brand.
Lookalike: lifeinsurance.com Asset: mylifeinsurance.com Domain analysis: The lookalike domain ‘lifeinsurance.com’ is a generic industry term closely related to the asset domain ‘mylifeinsurance.com’, which itself does not contain a unique brand name, making the domains unrelated in terms of brand identity. Content analysis: Both websites are professional and operate in the life insurance industry, but they have distinct branding and visual elements; content similarity is due to the shared industry focus, so content similarity analysis for impersonation is not applicable.
Lookalike: avivaforexinvest.com Asset: aviva.com Domain analysis: The lookalike domain includes the exact brand name ‘aviva’ plus relevant financial terms, making it confusable with the asset domain and suggesting an intent to leverage Aviva’s brand identity. Content analysis: The lookalike domain uses Aviva’s name and similar branding in the same industry, strongly suggesting an intent to impersonate or mislead users. The logo isn’t an exact copy, but the overall style and context make the site appear affiliated with Aviva.
Lookalike: paypalloginin-usa.blogspot.cl Asset: paypal.com Domain analysis: The lookalike domain includes the exact brand name ‘paypal’ plus ‘loginin’ and ‘usa’, hosted on an unrelated free blogging platform, indicating a relevant brand inclusion but no official affiliation. Content analysis: The site visually and functionally mimics PayPal’s official website with similar logos, colors, and messaging, creating a high trademark similarity that suggests an intent to impersonate rather than inform.
Settore diverso
Un dominio può condividere un linguaggio tematico o generico con un brand senza far parte dello stesso settore. In queste situazioni, l'analisi dei contenuti aiuta a chiarire che la sovrapposizione è contestuale, non ingannevole, mostrando come le differenze di settore possano ridurre il rischio di impersonificazione.
Lookalike: insurance-comparison.com Asset: aviva.com Domain analysis: The lookalike domain does not contain the Aviva brand name or any confusing variant, instead using generic insurance-related words. Content analysis: The site provides informational content comparing insurance providers, including Aviva, using logos fairly within articles, and does not mimic the official Aviva site’s branding or services.
Dominio inattivo
Non tutti i domini sospetti sono siti web attivi. Molti sono inattivi o parcheggiati, offrendo poco o nessun contenuto da analizzare. Tuttavia, l'inattività non significa innocuità—tali domini possono essere tenuti in riserva per una futura weaponizzazione o utilizzati in campagne di impersonificazione successive. Diversi clienti trovano utile far emergere questi domini in anticipo, offrendo ai loro team di sicurezza una maggiore consapevolezza situazionale e tempo per prepararsi prima che inizi qualsiasi attività dannosa.
Lookalike: merrill-securelogin.gb.net Asset: merrill.com Domain analysis: The lookalike domain includes the exact brand name ‘merrill’ from the asset domain and adds ‘securelogin’, a term highly relevant to financial services, making it a relevant brand inclusion that could confuse users. Content analysis: The lookalike domain hosts a generic domain parking page unrelated to Merrill or financial services, showing no active impersonation or branding similarity, so content similarity analysis is not applicable.
Relazione commerciale
Quando vengono rilevate somiglianze sospette, i segnali di dominio e contenuto da soli potrebbero non fornire il quadro completo. In questi casi, l'agente compie il passo aggiuntivo di esaminare la relazione commerciale sottostante tra il dominio lookalike e il dominio asset legittimo. Questa indagine più approfondita aiuta a distinguere tra sofisticati tentativi di impersonificazione e domini legittimi che sono effettivamente affiliati al brand. Per fare ciò, l'agente raccoglie e incrocia informazioni provenienti da molteplici fonti attendibili su internet. Nei seguenti esempi, esamineremo due diversi tipi di relazioni che l'agente può identificare, mostrando come questa analisi aggiunga un ulteriore livello di precisione alla classificazione.
Partnership
Lookalike: benadryl.com.ar Asset: benadryl.com Business relationship deep analysis: The benadryl.com global site and Kenvue’s corporate brand pages identify BENADRYL as a Kenvue brand, indicating that the asset domain is operated directly by Kenvue. In contrast, the benadryl.com.ar site clearly identifies Laboratorio Elea Phoenix S.A. as the operator in its footer and product pages, providing localized product and company information specific to Argentina. Additionally, Argentine pharmacy listings show BENADRYL products marketed under ELEA as the manufacturer, supporting the existence of a local licensing or distribution arrangement rather than direct Kenvue ownership. Conclusion: The domains benadryl.com and benadryl.com.ar reflect a regional/local licensing or distribution relationship, not common ownership. The branding is authorized and does not indicate impersonation.
Proprietà
Lookalike: nicorettecontest.ca Asset: nicorette.co.uk Business relationship deep analysis: The nicorettecontest.ca site displays official Nicorette contest branding and includes legal language naming Kenvue Canada Inc. as the sponsor/organizer in its contest rules. This aligns with multiple public contest listings (e.g., InfiniteSweeps, Contest Scoop) that reference the same domain as the source for an official Nicorette NHL giveaway. Nicorette is a Kenvue brand, and Kenvue’s corporate materials and Nicorette Canada promo pages confirm this affiliation. Meanwhile, nicorette.co.uk explicitly states in its footer that it is “published by Kenvue UK Limited,” identifying the same parent corporate group. The use of consistent branding, explicit legal disclosures, and public contest references establishes that both domains are part of Kenvue’s official brand ecosystem. Conclusion: The evidence shows that nicorette.co.uk and nicorettecontest.ca are both operated by Kenvue entities. This constitutes a confirmed ownership relationship, not impersonation.
Risultati del beta testing
Per capire quanto bene l'AI Agent si comporti in condizioni operative realistiche, abbiamo avviato un programma di beta testing con circa 50 account partecipanti, che rappresentano un insieme diversificato di settori, profili di minaccia e volumi di traffico. Nel corso di un periodo di due settimane, abbiamo raccolto dati preliminari sulle performance per valutare sia l'ampiezza del rilevamento sia la profondità del ragionamento che l'agente può fornire.
83,8 domini sospetti per i primi 10 account (in media)
Questo numero evidenzia quanto siano prolifici Brand Trust e l'agente nel far emergere domini potenzialmente rischiosi—molti dei quali potrebbero essere passati inosservati in precedenza.
27,2 domini sospetti sottili senza una forte violazione del marchio (in media)
Si tratta di casi in cui non sono stati rilevati elementi di brand evidenti (come i loghi), a dimostrazione della capacità dell'agente di identificare tentativi di impersonificazione sfumati che vanno oltre il semplice comportamento da imitazione.
10,4 domini legittimi con uso corretto del marchio (in media)
Si tratta di domini in cui loghi o altri segnali di brand sono stati utilizzati legittimamente – ad esempio, tramite partnership, integrazioni o confronti tra prodotti. Ciò dimostra che l'agente può utilizzare il contesto per distinguere l'intento malevolo dall'uso legittimo.
Considerazioni finali
Questi primi risultati mostrano che l'AI Agent non si limita a far emergere più domini sospetti — li fa emergere prima e con un contesto più ricco. Distinguendo chiaramente tra impersonificazione, uso improprio sottile e attività legittima, l'agente aiuta i team di sicurezza a concentrare la propria attenzione dove conta di più, riducendo il triage non necessario e migliorando la visibilità complessiva delle minacce. Questo equilibrio tra scala e precisione è ciò che rende i risultati della beta così incoraggianti per i team operativi.
Oltre al rilevamento, l'agente semplifica anche una delle parti più dispendiose in termini di tempo del flusso di lavoro: la revisione dei casi ambigui. Automatizzando questo livello di ragionamento, libera gli analisti da controlli manuali ripetitivi e consente decisioni più rapide e coerenti, trasformando un processo tradizionalmente oneroso in termini di risorse in uno efficiente e affidabile.
Se vuoi vedere come questa funzionalità può affinare la visibilità del tuo team e accelerare la risposta, richiedi una demo per sperimentare l'AI Agent in azione.
Phong's work explores a number of projects focused on NLP, anomaly detection, active learning and visualisation. He is a most known for his work behind Red Sift Radar.