Microsoft usa l’IA per correggere più vulnerabilità di Windows mentre le patch tardano

Il 5 novembre 2026, Microsoft ha dichiarato in un aggiornamento sulla gestione delle vulnerabilità di Windows che il rilascio di sicurezza di ottobre 2026 aveva corretto più di 1.100 vulnerabilità di Windows, mentre i dati aziendali di agosto mostravano che molti dispositivi erano ancora privi di aggiornamenti settimane dopo il rilascio.

Il post, scritto da Nuno Costa, Partner Director of Windows Servicing and Delivery, prosegue il lavoro illustrato da Microsoft in una comunicazione precedente del 9 luglio 2026. Quella comunicazione descriveva già MDASH, lo sviluppo e la convalida delle correzioni assistiti dall’IA; la nuova comunicazione rappresenta quindi un aggiornamento sui progressi, con il totale delle vulnerabilità corrette a ottobre e nuove misurazioni della distribuzione.

L’IA nell’individuazione, nella correzione e nella convalida

Le segnalazioni di vulnerabilità arrivano a Microsoft da ricercatori esterni, partner e dai suoi stessi team di ingegneria e sicurezza; il Microsoft Security Response Center funge da punto di riferimento centrale per le segnalazioni, gli aggiornamenti e la risposta coordinata. MDASH, uno scanner del codice basato su agenti, utilizza diversi modelli di IA e agenti specializzati per individuare e convalidare potenziali vulnerabilità, prima che i team di sicurezza e ingegneria esaminino i risultati e decidano come intervenire.

La documentazione di anteprima di Codename MDASH di Microsoft descrive una pipeline in quattro fasi che assegna priorità ai file usando l’analisi dei grafi di chiamata e metriche di complessità del codice, quindi esamina il codice prioritario con più di 100 agenti specializzati e diversi modelli linguistici. La convalida usa l’analisi taint, la risoluzione dei tipi e il confronto tra più modelli per affinare il livello di confidenza ed eliminare i falsi positivi; i risultati duplicati vengono poi accorpati. Lo scanner assegna inoltre punteggi di confidenza e può generare correzioni del codice tramite Defender CLI.

Il supporto alla correzione comprende la valutazione dell’impatto, l’individuazione delle versioni di Windows interessate e delle varianti di codice correlate, l’analisi delle possibili correzioni, la pianificazione dei backport e la realizzazione di test di sicurezza e di regressione. Gli ingegneri mantengono la responsabilità di esaminare il lavoro, prendere decisioni e rispondere del risultato finale. La convalida prima del rilascio include inoltre distribuzioni interne preliminari, test funzionali e di sicurezza basati su proof of concept, test di compatibilità delle applicazioni e verifiche esterne con partner hardware, fornitori di soluzioni di sicurezza, fornitori di software e clienti. L’IA contribuisce anche alla selezione e alla creazione dei test, al triage, all’analisi e alla reportistica.

Gli aggiornamenti di anteprima facoltativi non legati alla sicurezza offrono un’ulteriore possibilità di verifica: le organizzazioni possono installarli su dispositivi selezionati prima che i relativi contenuti confluiscano nell’aggiornamento di sicurezza del mese successivo.

Più correzioni e sviluppo più rapido degli exploit

Secondo Microsoft, il totale di ottobre riflette l’analisi di una quantità maggiore di codice e la correzione di più vulnerabilità, non un calo della sicurezza di Windows. L’azienda pubblica informazioni sulla gravità, sull’impatto e sulla possibilità di sfruttamento tramite la Security Update Guide, insieme ad avvisi Common Security Advisory Framework leggibili automaticamente, documenti Vulnerability Exploitability eXchange e un’API per i sistemi di gestione delle vulnerabilità e della conformità. Poiché gli aggiornamenti di sicurezza di Windows sono cumulativi, la priorità dovrebbe essere stabilire quali dispositivi aggiornare per primi, cominciando dai sistemi esposti a Internet, dalle infrastrutture di identità e dagli asset di alto valore, anziché decidere quali singole correzioni distribuire.

L’urgenza dipende da ciò che accade dopo la pubblicazione. Una correzione rilasciata può rivelare informazioni sulla vulnerabilità sottostante, fornendo agli aggressori materiale utile per sviluppare exploit. In una ricerca pubblicata l’8 giugno 2026, Anthropic ha riferito che Claude Mythos Preview aveva generato crash di proof of concept per 18 delle 21 patch del kernel di Windows sottoposte a test e otto catene complete in grado di elevare i privilegi di un utente con privilegi limitati fino al controllo SYSTEM. Tutti e 18 i crash sono stati generati entro sei ore, anche se trasformare exploit di questo tipo in una campagna reale richiederebbe ulteriore lavoro.

Il divario nella distribuzione aziendale

I dati diagnostici di Microsoft relativi ad agosto 2026 hanno mostrato che, in un campione misurato di dispositivi Windows aziendali, meno della metà aveva installato l’aggiornamento di sicurezza dopo due settimane e circa uno su quattro ne era ancora privo dopo quattro settimane. Questi dati fanno della velocità di distribuzione una componente dell’esposizione associata a ogni rilascio, anziché una questione amministrativa separata.

Microsoft raccomanda di usare versioni supportate di Windows, installare tempestivamente gli aggiornamenti, adottare baseline di sicurezza, rilevare le minacce sugli endpoint, applicare le mitigazioni disponibili e seguire procedure di risposta e ripristino. Windows Autopatch offre distribuzioni graduali e reportistica tramite Intune, mentre l’hotpatching sui sistemi idonei Windows 11 e Windows Server 2025 può ridurre i riavvii. Dopo il rilascio, i sistemi automatizzati aiutano a correlare i segnali diagnostici, di distribuzione, di supporto e di feedback; gli ingegneri possono intervenire con indicazioni aggiornate, una soluzione alternativa, Known Issue Rollback o un aggiornamento fuori banda.

La tensione fondamentale è che l’IA può aumentare i risultati ottenuti in difesa e, al contempo, ridurre il tempo disponibile per distribuirli. Il dato di ottobre misura le vulnerabilità corrette, mentre i dati di agosto indicano quanto rapidamente la protezione sia effettivamente arrivata sui dispositivi. L’aggiornamento di Microsoft mostra che l’intervallo tra la pubblicazione e l’installazione è la prova più chiara per stabilire se una più rapida individuazione e correzione delle vulnerabilità si traduca in una minore esposizione.