AI identifica vulnerabilità più velocemente dei team di sicurezza: come le aziende devono adattarsi
AI scopre bug più velocemente dei team di sicurezza, creando un’ondata di problemi di sicurezza.
AI sta identificando vulnerabilità nel software più velocemente dei team umani in grado di correggerle, creando un’ondata di problemi di sicurezza che le aziende devono affrontare. Dan Lorenc, co-fondatore e CEO di Chainguard, ha sottolineato in un webinar che l’AI “trova vulnerabilità nel software che scrivono e usano a un ritmo che supera la capacità dei difensori di applicare patch e risolvere i problemi”. Questo fenomeno ha reso più difficile la gestione delle vulnerabilità, poiché non tutti i problemi sono uguali e la quantità di report è in crescita esponenziale. La situazione si sta aggravando, con un numero record di patch e vulnerabilità scoperte, e le aziende non sono ancora pronte per affrontare questa sfida.
Un’ondata di vulnerabilità in crescita
La velocità con cui l’AI identifica problemi di sicurezza sta superando la capacità umana di risolverli, creando un’escalation di rischi. Secondo un’analisi, il numero di vulnerabilità scoperte è aumentato in modo esponenziale, con un record di 570 patch rilasciati da Microsoft nel mese di luglio 2026. Questo fenomeno non riguarda solo il software open source, ma colpisce anche i sistemi proprietari. Il problema è diventato così grave che anche aziende come Apple hanno dovuto limitare il numero di bug che i ricercatori possono segnalare al loro team di sicurezza.
Un problema di triage e priorità
La gestione delle vulnerabilità è diventata un’attività complessa, con un’enorme quantità di report che richiede una triage accurata. Molti di questi problemi non sono urgenti, ma la loro quantità crea un rischio di sovraccarico per i team di sicurezza. Ad esempio, in passato si poteva evitare di applicare patch, ma oggi, con l’aumento dei bug zero-day, non si ha scelta. La situazione è ulteriormente complicata dal fatto che alcuni bug, come quelli scoperti nell’estensione Adobe HermeticReader, possono esporre dati sensibili come chat, contatti e messaggi di WhatsApp. L’attacco è stato creato utilizzando tre vulnerabilità diverse, e il tutto è stato automatizzato da un criminale utilizzando un modello linguistico.
Le sfide della correzione automatica
Nonostante l’AI possa trovare bug in modo rapido, non è in grado di correggerli in modo affidabile. Studi accademici hanno dimostrato che i modelli linguistici introducono “nearly 9x more new vulnerabilities” rispetto ai programmatori. Anche i migliori strumenti di patching, come PatchitPy, hanno un tasso di successo del 80%, che non è perfetto. Inoltre, alcuni sviluppatori hanno segnalato che, dopo diverse correzioni automatiche, il numero di vulnerabilità critiche può aumentare, non diminuire. Questo crea un dilemma: l’AI può aiutare a trovare i bug, ma non è in grado di risolverli in modo sicuro e completo.
Le aziende devono quindi adottare strategie più precise per gestire i report di sicurezza. Questo include limitare l’ambito delle correzioni, separare la fase di rimedio da quella di verifica, e mantenere un controllo umano su modifiche complesse. La sfida non è solo tecnica, ma anche organizzativa: le aziende devono investire in team più forti e in strumenti più avanzati per gestire l’ondata di vulnerabilità. La situazione non migliorerà da sola, e le aziende devono prepararsi a un futuro in cui la sicurezza digitale sarà sempre più complessa e richiederà una gestione attenta e proattiva.