L’IA può individuare più vulnerabilità che mai. Spetta ancora agli esseri umani decidere cosa succede dopo.

Per anni, i team di cybersicurezza hanno dato per scontato che, se fossero riusciti a individuare più vulnerabilità e più rapidamente, avrebbero reso il software più sicuro.

L’intelligenza artificiale sta mettendo alla prova questa convinzione. Mentre il dibattito più ampio sull’IA si sposta dalla rapida adozione alla ricerca di un valore misurabile, la cybersicurezza mette in luce una sfida che non scomparirà se l’IA rallenterà. Le organizzazioni devono già fare i conti con un numero crescente di vulnerabilità individuate dall’IA, che richiedono comunque convalida, definizione delle priorità e correzione da parte di esseri umani.

I risultati recenti di Project Glasswing offrono uno degli esempi più chiari finora. Secondo quanto riferito, Claude Mythos Preview ha individuato oltre 26.000 vulnerabilità in progetti software nel giro di pochi mesi. Eppure, secondo un’analisi indipendente del registro pubblico delle divulgazioni di Glasswing, solo circa il 10% di queste vulnerabilità è entrato nel processo di divulgazione e, alla fine, meno dell’1% è stato corretto con una patch.

Questi numeri colpiscono, ma non dovrebbero sorprendere. Da decenni il settore si concentra sull’ottimizzazione dell’individuazione delle vulnerabilità. Non ha invece sviluppato la capacità di gestire i risultati delle analisi su scala paragonabile a quella dell’IA.

Nella cybersicurezza, il collo di bottiglia non è più l’individuazione delle vulnerabilità. È ciò che succede dopo.

Individuare le vulnerabilità non è mai stata la parte più difficile

In un primo aggiornamento su Project Glasswing, Anthropic ha osservato che i progressi erano sempre più frenati non dall’individuazione delle vulnerabilità, ma dal lavoro umano necessario per verificare le segnalazioni, coordinare le divulgazioni e sostenere gli interventi correttivi. L’azienda ha anche riferito che alcuni responsabili della manutenzione avevano chiesto di rallentare il ritmo delle divulgazioni, perché non avevano la capacità di gestire il volume di risultati generati.

Questa distinzione è importante, perché individuare e correggere le vulnerabilità sono attività fondamentalmente diverse.

L’individuazione delle vulnerabilità è sempre più un problema di riconoscimento di schemi. I moderni sistemi di IA sono particolarmente efficaci nell’analizzare grandi basi di codice, identificare comportamenti insoliti, ricostruire i percorsi di esecuzione e far emergere potenziali punti deboli.

La correzione è un’altra cosa. Per correggere una vulnerabilità serve contesto. Qualcuno deve stabilire se il problema è reale, comprenderne il potenziale impatto, valutare le possibili soluzioni, assicurarsi che le modifiche non introducano regressioni, coordinare le tempistiche della divulgazione, comunicare con le parti interessate e, infine, assumersi la responsabilità del risultato.

Quest’ultimo aspetto è fondamentale. L’IA può individuare una potenziale vulnerabilità, ma non può essere ritenuta responsabile di ciò che accade dopo. La convalida, la definizione delle priorità, la correzione e la segnalazione richiederanno sempre l’intervento di una persona responsabile del progetto che mantiene. E questo richiede tempo a persone che spesso hanno un lavoro a tempo pieno, una famiglia e altri impegni che competono per la loro attenzione. In molti progetti open source, il fattore limitante non è la visibilità dei rischi, ma la capacità dei responsabili della manutenzione e dei team di sicurezza di valutare e gestire in modo responsabile un volume di risultati in costante crescita.

Questa è la differenza fondamentale tra individuazione e correzione. L’IA può aiutarci sempre più a estendere la capacità di individuare le vulnerabilità. La correzione dipende ancora da persone che abbiano il contesto, l’autorità e la responsabilità necessari per intervenire sulla base di ciò che l’IA rileva.

La sfida dell’open source

Questa dinamica è ancora più evidente nell’ecosistema open source. Poiché componenti open source sono presenti nel 98% delle basi di codice commerciali, la stragrande maggioranza delle infrastrutture digitali mondiali si affida a progetti mantenuti da gruppi relativamente piccoli di collaboratori.

In molti casi, le persone responsabili della manutenzione di questo software fondamentale sono volontari o devono conciliare le responsabilità legate ai progetti con un lavoro a tempo pieno e impegni personali. Man mano che l’IA aumenta la quantità di software e di vulnerabilità individuate al suo interno, la capacità di questi responsabili di stare al passo diventa un elemento sempre più importante per la sicurezza.

Quando un sistema di IA genera all’improvviso centinaia o migliaia di potenziali vulnerabilità in un ecosistema di progetti, sono i responsabili della manutenzione a diventare il fattore limitante.

Non è una critica ai responsabili della manutenzione. È una constatazione della realtà.

Anche prima dell’avvento dei sistemi di IA per l’individuazione delle vulnerabilità, molti progetti open source faticavano a far fronte alle risorse limitate, alle crescenti aspettative in materia di sicurezza e agli oneri sempre maggiori legati alla manutenzione. L’IA sta aumentando la pressione su un sistema già sottoposto a forti sollecitazioni.

La sfida non consiste semplicemente nello stabilire se esiste una vulnerabilità. La sfida è tutto ciò che succede dopo.

Qualcuno deve esaminare la segnalazione. Qualcuno deve riprodurre il problema. Qualcuno deve decidere se costituisce un rischio per la sicurezza. Qualcuno deve sviluppare e testare una correzione. Qualcuno deve coordinare la divulgazione e il rilascio degli aggiornamenti. Queste responsabilità non possono essere semplicemente automatizzate.

Con il continuo aumento dei risultati generati dall’IA, le organizzazioni che si affidano al software open source dipenderanno sempre più dalla salute e dalla sostenibilità delle persone che se ne occupano.

Prepararsi all’ondata di individuazione delle vulnerabilità tramite l’IA

Quindi, cosa dovrebbero fare le imprese? Innanzitutto, le organizzazioni devono riconoscere che l’individuazione delle vulnerabilità guidata dall’IA non è un problema futuro: è già in corso. Project Glasswing ha dimostrato che i modelli di frontiera possono individuare vulnerabilità su una scala che solo pochi anni fa sarebbe stata difficile da immaginare.

In secondo luogo, i responsabili della sicurezza dovrebbero valutare se i processi di remediation sono in grado di tenere il passo con le capacità di individuazione. Molte organizzazioni hanno investito ingenti risorse per trovare vulnerabilità, trascurando invece le persone e i processi incaricati di risolverle.

In terzo luogo, le imprese dovrebbero prestare maggiore attenzione alla manutenzione del software come funzione di sicurezza. Spesso si parla di sicurezza in termini di prevenzione e rilevamento, ma la manutenzione a lungo termine resta una delle componenti più importanti e meno apprezzate della gestione del rischio. L’IA può rendere più facile individuare le vulnerabilità, ma non riduce la responsabilità di mantenere sicuro nel tempo il software critico. Le organizzazioni hanno bisogno di una strategia di gestione del ciclo di vita che consenta loro di modernizzare con metodo, invece di essere costrette a migrazioni affrettate o a interventi di remediation reattivi quando emergono dei rischi.

Infine, le organizzazioni dovrebbero sostenere gli ecosistemi più ampi da cui dipendono. Man mano che l’IA accelera l’individuazione delle vulnerabilità nel software open source, i manutentori dovranno far fronte a richieste sempre maggiori. La sicurezza della catena di fornitura del software dipende, in ultima analisi, dalla disponibilità di risorse adeguate per consentire ai manutentori di intervenire.

L’IA può individuare le vulnerabilità più rapidamente. Ma trovarle non rende sicuro il software. Il lavoro più impegnativo consiste nel convalidare i rischi, stabilire le priorità, fornire correzioni testate e mantenere sicuro il software nel tempo. Con l’accelerazione dell’individuazione delle vulnerabilità, le organizzazioni avranno bisogno di una capacità di remediation continua, sostenuta da competenze, responsabilità chiare e livelli di servizio definiti.

Perché il problema più difficile nella cybersicurezza non è trovare la vulnerabilità, ma ciò che accade dopo.