Harness lancia agenti IA per analizzare, prioritizzare e correggere le vulnerabilità alla velocità della macchina

Harness, la società di piattaforma per la consegna del software con sede a San Francisco, ha lanciato una suite di agenti di sicurezza IA il 19 agosto 2026 — AI SAST, triage e remediation agentici, un agente Zero-Day dedicato e patch virtuali — progettata per comprimere il divario tra la scoperta di una vulnerabilità e la distribuzione di una correzione, da settimane a ore.

L’argomentazione si basa su un’asimmetria che i difensori continuano a perdere. Nel post ingegneristico di Harness che descrive il lancio, l’azienda cita la media di 55 giorni per mitigare una vulnerabilità riportata dal Edgescan 2026 Vulnerability Statistics Report, a fronte dei tempi degli aggressori (tracciati dal Zero Day Clock) che hanno raggiunto il primo exploit in appena sei ore dopo la divulgazione. Anche dopo che una correzione è stata scritta, il DORA Report 2025 indica che il tempo dal commit alla produzione supera una settimana. I difensori stanno chiudendo una finestra misurata in ore con un processo misurato in settimane.

I modelli di frontiera ora spingono su entrambi i lati di quel divario. La scansione basata su LLM evidenzia molti più risultati rispetto all’analisi statica tradizionale — i partner nel Project Glasswing, che offre ai partner di sicurezza l’accesso al modello Claude Mythos Preview per rilevare vulnerabilità in software critico, hanno riscontrato circa 10 volte più vulnerabilità emerse nei test. Ma la visibilità senza elaborazione è solo un arretrato più grande: Comcast, partecipante a Glasswing, ha scoperto che il 44 % dei risultati LLM di gravità critica e alta erano falsi positivi, e solo il 36 % dei risultati critici e il 33 % di quelli ad alta gravità sono risultati sfruttabili.

“Siamo a un punto in cui gli stessi modelli IA che aiutano i nostri clienti a spedire il software più velocemente sono anche quelli che gli aggressori usano per trovare e sfruttare le vulnerabilità più rapidamente”, ha dichiarato Rahul Sood, General Manager di Application Security di Harness, nell’annuncio dell’azienda. “L’unico modo per chiudere quel divario è rendere la sicurezza una parte di prima classe della pipeline di consegna stessa.”

Cosa fanno effettivamente gli agenti

Il livello di scansione suddivide deliberatamente la differenza tra analisi deterministica e probabilistica, una scelta di design notevole dato l’entusiasmo attuale del settore per l’uso di LLM sui codebase. L’AI SAST di Harness combina un motore deterministico di flusso dati con uno strato di fiducia IA che classifica ogni risultato come rischio confermato, rischio potenziale o sicuro a livello contestuale. Il benchmark interno dell’azienda sul corpus Java OWASP afferma che lo strato ha ridotto i falsi positivi del 79 % (da 454 a 95) e ha aumentato la precisione dal 74 % al 93 % mantenendo un richiamo del 91 %. Per le vulnerabilità di insecure direct object reference (una classe di controllo accessi rotto che l’analisi di flusso dati non può vedere, poiché non vi è input malformato da abbinare), Harness dichiara un richiamo del 71 % con una precisione del 99 % su un corpus di 390 casi in Go, Java e Python. Si tratta di benchmark forniti dal venditore, auto‑segnalati, ma l’argomento di base è solido: uno scanner probabilistico che restituisce risultati diversi sullo stesso codice due volte, con un costo per token per scansione, non è adatto al gating continuo CI/CD. Harness invece posiziona la scansione LLM per ricerche occasionali e offre LLM Scan Orchestration per i team che vogliono eseguire i propri scanner LLM nativamente nella pipeline.

A valle, l’Agente di Triage dà priorità ai risultati combinando CVSS, EPSS e analisi di raggiungibilità: Harness ora traccia i percorsi di chiamata verso la funzione vulnerabile specifica, così una dipendenza viene segnalata solo se quella funzione è effettivamente raggiungibile. L’Agente di Remediation quindi scrive una correzione, la valida nella pipeline per evitare interruzioni dei build e apre una pull request revisionata da un umano. Gli sviluppatori mantengono l’autorità di merge.

L’Agente Zero-Day è la componente mirata direttamente al problema delle sei ore. Monitora i zero‑day appena divulgati, identifica ogni artefatto e pipeline interessati nell’ambiente del cliente (la mappatura del raggio d’azione, secondo l’azienda, passa da giorni a secondi) e produce una correzione validata pronta per la revisione, saltando completamente la coda di triage. Il patching virtuale copre la finestra residua: quando un test API scopre una vulnerabilità, Harness distribuisce una regola protettiva sul suo livello di protezione delle applicazioni web e delle API senza modificare il codice, proteggendo la produzione in pochi minuti mentre la correzione permanente viene scritta, per poi rimuovere il patch una volta che la correzione è stata distribuita.

Tutte e sei le funzionalità sono ora disponibili all’interno della piattaforma Harness, con gli agenti di remediation e zero‑day integrati nella governance esistente della pipeline: cancelli di policy, approvazioni e catena di custodia su ogni artefatto.

Il percorso di Harness verso la AppSec agentica

Il lancio estende un arco di sicurezza iniziato quando Harness si è fusa con la società di sicurezza API Traceable nel febbraio 2025, un accordo che ha posto il co‑fondatore di Traceable, Sanjay Nagaraj, a capo del business di sicurezza applicativa della società combinata. Nel luglio 2026 l’azienda ha rilasciato Agent DLC, uno strato di governance per il ciclo di vita dello sviluppo degli agenti IA: scansione primitiva, bill of materials IA, scoperta degli agenti e firewall IA che applica policy contro l’iniezione di prompt e l’uso improprio di strumenti in fase di runtime. Pochi giorni dopo ha ampliato la sua partnership con Kong per spingere la scoperta e la protezione IA nel AI Gateway di Kong, inventariando ogni modello, server MCP e strumento instradato attraverso di esso.

Unite.AI ha monitorato la stessa accelerazione sul lato offensivo, da Claude che ha trasformato un benchmark di cybersicurezza in tre intrusioni reali a lo studio di IBM che ha scoperto che l’IA ha avuto un ruolo in uno su quattro breach dannosi, e sul lato difensivo, i modelli di difesa cibernetica Daybreak di OpenAI che sono arrivati su Amazon Bedrock. La scommessa di Harness è che la pipeline di correzione, non solo il rilevamento, è il luogo in cui la velocità della macchina deve arrivare prossimamente.

Che gli agenti che scrivono le proprie correzioni guadagnino la fiducia delle imprese dipenderà dal validation harness che li circonda, una lezione rafforzata quando Copilot Autofix ha aperto un’iniezione di shell nella pipeline CI/CD di Snowflake. La risposta di Harness è architetturale: gli agenti propongono, la pipeline valida e un umano esegue il merge.