Digital Forensics nell'Era dell'Intelligenza Artificiale

Nell’agosto 2026 Vincenzo Calabrò ha tenuto il corso «Digital Forensics nell'Era dell'Intelligenza Artificiale», un percorso in diciassette moduli organizzato in due tracce. La traccia core, comune a tutti, costruisce il metodo della digital forensics classica, introduce le basi dell’intelligenza artificiale per l’analista e si chiude con i profili giuridici ed etici e con il laboratorio integrato. La traccia specializzazioni offre cinque percorsi, ciascuno con un modulo base e un modulo avanzato: host e incident response, reti e cloud, mobile e IoT, AI per l’analisi investigativa, forensics dei contenuti sintetici. L’intelligenza artificiale entra nel corso in due vesti, come strumento al servizio dell’analista e come oggetto d’indagine, e un principio le tiene insieme: l’AI seleziona, l’umano certifica.

La traccia core si apre con il metodo forense e le basi dell’AI (moduli 01, 02, 03, 07 e 08). Fra questa prima fase e la chiusura comune lo studente sceglie due delle cinque specializzazioni (S1–S5) e ne segue il modulo base e il modulo avanzato. La traccia core si chiude con i profili giuridici ed etici dell’AI forense (modulo 11) e con il laboratorio integrato (modulo 12), che si svolge su un caso scelto fra quelli delle due specializzazioni seguite. Il laboratorio è organizzato in quattro sessioni: pianificazione dell’indagine, acquisizione e analisi, analisi AI-assistita con replica manuale in cieco su campione, relazione peritale con peer review incrociata tra gruppi. Si conclude con la discussione orale e il controesame del docente.

Tutti i laboratori usano esclusivamente dataset pubblici o sintetici, come NIST CFReDS, Digital Corpora e il corpus Enron: nessun dato personale reale e nessun dato reale inviato a servizi AI esterni. Ogni uso dell’AI va dichiarato e validato.

La traccia core parte dalla prova digitale (latente, fragile, perfettamente duplicabile e volatile) e dal processo forense in cinque fasi secondo ISO/IEC 27037, con la distinzione tra accertamenti ripetibili e irripetibili (artt. 359 e 360 c.p.p.), la legge 48/2008 e la catena di custodia. Segue l’acquisizione forense (copia bit a bit, write blocker, doppio hash, SSD, ordine di volatilità, RAID) e l’analisi di file system e artefatti (NTFS, MFT, USN Journal, shadow copies, carving, registry, timeline). La parte sull’AI introduce il machine learning per il forenser (metriche, matrice di confusione, explainable AI, calibrazione) e lo applica al triage (hash set NSRL, hash percettivi, base rate, concept drift, validazione umana). La chiusura tratta ammissibilità della prova, criteri Daubert, bias e fairness, GDPR, AI Act e deontologia.

Le specializzazioni approfondiscono cinque ambiti. S1: memory forensics con Volatility 3 e incident response sugli host secondo NIST SP 800-61 Rev. 3 (event log di Windows, persistenza, movimento laterale, ransomware). S2: network forensics (PCAP, TLS, DNS, NetFlow, email con SPF, DKIM e DMARC), audit log dei provider cloud, compromissione di account e BEC, Kubernetes e ordini europei di produzione delle prove (Regolamento UE 2023/1543). S3: mobile forensics, stati BFU e AFU, analisi delle app, smart home, infotainment, droni e validazione degli strumenti. S4: NLP, embedding, grafi relazionali e stilometria, poi LLM e RAG con citazione delle fonti, visione artificiale, biometria e AI Act. S5: deepfake di immagine, audio e video, provenance C2PA e watermarking, PRNU, doppia compressione, ENF, art. 50 dell’AI Act e perizia per ipotesi sui contenuti sintetici.

La dispensa del corso (54 pagine in PDF) raccoglie in forma discorsiva i contenuti teorici della traccia core e i capitoli avanzati delle cinque specializzazioni (S1.2–S5.2), con le letture consigliate: è il testo per lo studio individuale e il ripasso. Le slide dei 17 moduli (245 pagine in PDF) sono lo strumento di riferimento per l’aula: 105 pagine per i sette moduli della traccia core e 140 per i dieci moduli delle specializzazioni.

 

 

Comune a tutti: il metodo forense e le basi dell’AI in apertura, diritto ed etica e laboratorio integrato in chiusura.

Modulo 01 – Fondamenti di Digital Forensics — Fondamenti di digital forensics: prova digitale, ISO/IEC 27037, catena di custodia, L. 48/2008 e anti-forensics.
Slide Modulo 01 (PDF, 16 pagine)

 

Modulo 02 – Acquisizione Forense — L'acquisizione forense: copia bit-a-bit, write blocker, hash, SSD, ordine di volatilità, RAID, verbale e conservazione.
Slide Modulo 02 (PDF, 15 pagine)

 

Modulo 03 – Analisi di File System e Artefatti — Analisi di file system e artefatti: NTFS, MFT, USN Journal, shadow copies, carving, registry, shellbag, browser e timeline.
Slide Modulo 03 (PDF, 15 pagine)

 

Modulo 07 – Fondamenti di Machine Learning per il Forenser — Fondamenti di machine learning per il perito forense: dati, feature, metriche, matrice di confusione, clustering, XAI, calibrazione.
Slide Modulo 07 (PDF, 15 pagine)

 

Modulo 08 – AI Applicata I: Triage e Classificazione — AI applicata al triage forense: hash set NSRL, classificazione dei file, hash percettivi, base rate, soglie, concept drift, validazione umana.
Slide Modulo 08 (PDF, 15 pagine)

 

Modulo 11 – Profili Giuridici ed Etici dell'AI Forense — Profili giuridici ed etici dell'AI forense: ammissibilità, criteri Daubert, art. 360 c.p.p., bias e fairness, GDPR, AI Act, deontologia.
Slide Modulo 11 (PDF, 15 pagine)

 

Modulo 12 – Laboratorio Integrato e Casi di Studio — Laboratorio integrato e casi di studio: sette casi, pipeline integrata, peer review, relazione peritale e controesame.
Slide Modulo 12 (PDF, 14 pagine)

 

Lo studente ne sceglie due. Ogni percorso è formato da un modulo base (Sn.1) e da un modulo avanzato (Sn.2).

S1.1 – Memory Forensics — Memory forensics: acquisizione della RAM, pagefile e hibernation, Volatility 3, cross-view analysis, malware fileless, Linux.
Slide S1.1 (PDF, 15 pagine)

 

S1.2 – Incident Response e Intrusioni su Host — Incident response e intrusioni su host: NIST SP 800-61 Rev. 3, event log di Windows, persistenza, movimento laterale, ransomware, raccolta su larga scala.
Slide S1.2 (PDF, 13 pagine)

 

S2.1 – Network e Cloud Forensics — Network e cloud forensics: PCAP, TLS, DNS, beaconing, NetFlow/IPFIX, log, email forensics (SPF, DKIM, DMARC), cloud.
Slide S2.1 (PDF, 15 pagine)

 

S2.2 – Cloud, Identità ed e-Evidence — Cloud, identità ed e-evidence: audit log dei provider, compromissione di account, BEC, Kubernetes, Regolamento (UE) 2023/1543 sugli ordini europei.
Slide S2.2 (PDF, 13 pagine)

 

S3.1 – Mobile Forensics — Mobile forensics: isolamento, estrazione, backup, SQLite, app di messaggistica, geolocalizzazione, attribuzione, wearable.
Slide S3.1 (PDF, 15 pagine)

 

S3.2 – Mobile avanzato, IoT e Veicoli — Mobile avanzato, IoT e veicoli: BFU e AFU, analisi delle app, timeline di attività, smart home, infotainment, droni, validazione degli strumenti.
Slide S3.2 (PDF, 13 pagine)

 

S4.1 – AI Applicata II: NLP e Analisi Investigativa — NLP e analisi investigativa: NER, topic modeling, embedding, corpora multilingue, grafi relazionali, stilometria, LLM e RAG.
Slide S4.1 (PDF, 15 pagine)

 

S4.2 – LLM, RAG e Visione artificiale nelle indagini — LLM, RAG e visione artificiale nelle indagini: pipeline con citazione delle fonti, valutazione, riproducibilità, riservatezza, biometria e AI Act, prompt injection.
Slide S4.2 (PDF, 13 pagine)

 

S5.1 – Forensics dell'AI — Forensics dell'AI: deepfake di immagine, audio e video, testo generato, ELA, provenance C2PA, watermarking, prompt injection.
Slide S5.1 (PDF, 15 pagine)

 

S5.2 – Multimedia Forensics e Contenuti Sintetici — Multimedia forensics e perizia sui contenuti sintetici: PRNU, doppia compressione, ENF, C2PA, forensics dei sistemi di AI, art. 50 AI Act, perizia per ipotesi.
Slide S5.2 (PDF, 13 pagine)