La condivisione di threat intelligence è lo scambio strutturato di informazioni difensive su attività malevole, vulnerabilità, indicatori, tattiche o modelli di incidente. L'obiettivo è aiutare altre organizzazioni a rilevare, bloccare o indagare attacchi simili più rapidamente di quanto potrebbero fare da sole.
Nella pratica, può includere indicatori di compromissione, infrastrutture degli attaccanti, contenuti di phishing, hash di file malevoli o dettagli su come è avvenuta un'intrusione. La condivisione è importante perché un'organizzazione può vedere solo una piccola parte di un attacco, mentre i report combinati rivelano una campagna più ampia. Una buona condivisione è abbastanza specifica da essere utile, ma accuratamente sanitizzata per evitare di esporre segreti, dati dei clienti o credenziali interne. I difensori la usano nei feed di minacce, nelle alleanze di settore e nel coordinamento della risposta agli incidenti; anche gli attaccanti possono sfruttare una condivisione scadente se vengono esposti log o prompt sensibili. Nella moderna sicurezza dell'IA, la stessa idea viene adattata ai registri degli incidenti in modo che i team possano confrontare i fallimenti, riconoscere abusi ripetuti e rispondere in modo coerente.