Centosessanta caratteri, nessun header e un mittente che mente su chi è.

Un motore di rilevamento per il traffico SMS: classifica il contenuto dei messaggi, collega i singoli messaggi in campagne, resiste all’offuscamento che i mittenti usano per eludere i filtri ed espone il risultato attraverso un’API e query analitiche che un team operativo può interrogare direttamente. Attorno c’è una pipeline di etichettatura, perché le decisioni prese dagli analisti umani diventino dati di addestramento per la versione successiva dei modelli. È stato consegnato tra il 2025 e il 2026.

L’incarico è coperto da un accordo di riservatezza che riguarda sia il cliente sia il traffico. Possiamo descrivere il sistema che abbiamo costruito e le decisioni ingegneristiche che lo sostengono. Non possiamo dire su quale traffico gira, in quale mercato, né cosa vi ha trovato. Sotto NDA, in una riunione, possiamo andare molto più a fondo.

Perché quelle che abbiamo appartengono al cliente. I tassi di rilevamento, i tassi di falsi positivi e i volumi di traffico sono misurati sul suo traffico e sono coperti dallo stesso accordo che copre il suo nome. Preferiamo pubblicare un solo numero misurato sul nostro hardware, con la metodologia completa, che tre percentuali di grande effetto che nessuno può verificare.

No, e non sosteniamo di averlo costruito. Un firewall di segnalazione sta inline sul percorso di rete e prende decisioni a livello di protocollo; costruirne uno da zero è un progetto diverso, con rischi diversi. Quello che abbiamo costruito è il livello di rilevamento e classificazione. Dove un operatore ha già un gateway di segnalazione, ci integriamo con la sua API; dove non ne esiste uno, il componente di rete viene definito come un lavoro a sé e non dato tacitamente per scontato.

La lunghezza e l’assenza di struttura. Una email porta con sé header, risultati di autenticazione, una storia di reputazione e di solito testo sufficiente perché un classificatore abbia qualcosa su cui lavorare. Un SMS vi dà circa centosessanta caratteri, una stringa mittente che può essere falsificata e nessun header degno di questo nome. Quasi tutto il segnale utilizzabile sta nel modo in cui un mittente si comporta nel tempo e nel modo in cui un messaggio assomiglia ad altri messaggi: per questo qui il collegamento delle campagne e la profilazione comportamentale pesano più della sola classificazione del contenuto.

Normalizzando prima del confronto, invece di confrontare con più accanimento. Alfabeti misti, caratteri simili, spazi e punteggiatura inseriti, traslitterazione tra sistemi di scrittura — tutto viene prima ridotto a una forma canonica, ed è lì che avviene il confronto. Il motore cerca quindi varianti di una campagna nota e non ripetizioni esatte: è la differenza tra intercettare la prima ondata e intercettare la quinta.

Un modello di come è fatta la normalità per un mittente specifico — a quest’ora, in questo giorno della settimana, con questo volume, con questa composizione di destinatari — e una probabilità che quello che sta facendo in questo momento se ne discosti. Risponde a “questo mittente è cambiato” invece che a “questo messaggio sembra cattivo”, e così intercetta un sender ID legittimo che è stato compromesso con la stessa facilità con cui intercetta uno nuovo e fraudolento. Uno scostamento dalla normalità è un motivo per guardare, non un verdetto: un’anomalia non è una prova di frode, e il sistema è costruito per dirlo.

Perché l’unità di lavoro utile è un modello per mittente, tenuto aggiornato, e una rete ha moltissimi mittenti. Valutarli uno alla volta su una CPU è il collo di bottiglia; la stessa aritmetica eseguita in batch su migliaia di profili è ciò per cui esiste una GPU. La nostra misurazione di quel kernel è su questa pagina, con le avvertenze che le competono.

All’interno del perimetro dell’operatore. È il principio architetturale su cui progettiamo: il contenuto dei messaggi, lo stato dei modelli e il registro delle decisioni restano nella rete da cui provengono, e l’unica cosa che attraversa il confine sono contatori aggregati — stato dell’installazione, versione, volume per la fatturazione. Un’architettura che invia i corpi dei messaggi al cloud di un fornitore è un’architettura che non regge alla domanda di un’autorità di vigilanza e che, in diverse giurisdizioni, non regge nemmeno alla fase di approvvigionamento.

È una domanda che ha una risposta vera, non commerciale, e dipende dal punto di integrazione. Il livello di rilevamento è portabile; ciò che varia è se la vostra piattaforma può eseguire l’azione che volete — osservare, limitare la frequenza, trattenere, rifiutare — e se gli eventi ci arrivano con abbastanza contesto da valere una valutazione. Il primo passo onesto è una breve sessione tecnica sulle vostre interfacce, non un documento di proposta.