AWS rende disponibile il suo agente di sicurezza AI Continuum che corregge l'89% dei bug
27 ottobre 2026 · 3 min di lettura
AWS rende disponibile il servizio Continuum per vulnerabilità del codice, disponibile in generale dal giovedì 24 ottobre 2026. Il servizio trova e convalida bug nei repository dell'utente, li controlla contro l'ambiente AWS e apre richieste di pull con correzioni proposte.
Il 5 ottobre la società ha pubblicato il suo benchmark principale, più di due settimane prima del lancio. In quel test Continuum ha superato 819 delle 920 attività su CyberGym-E2E, ottenendo un tasso di successo end-to-end dell'89,0%, contro un precedente massimo pubblico dell'65,9%. Matt Garman, amministratore delegato di AWS, ha scritto su X che l'AI è "genuinamente trasformativa per i difensori" e che Continuum ha ottenuto un punteggio superiore a qualsiasi altro agente AI nel test.
Corey Quinn, chief cloud economist e co-fondatore di Duckbill, ha risposto al post, chiedendosi se il rilascio fosse iniziato come annuncio di re:Invent e fosse stato anticipato, dato lo stato di internet. Quinn non ha fornito prove che AWS avesse anticipato l'annuncio.
Il caso recente PHP2Shell dimostra come l'AI faciliti la ricerca di vulnerabilità, ma la loro correzione resta una sfida.
CyberGym-E2E concede all'agente 90 minuti per individuare e correggere una vulnerabilità in uno dei 139 progetti open source, senza descrizione del bug, prova di concetto, log di arresto o patch esistente. L'agente deve identificare la falla, attivarla e produrre una correzione che fermi l'arresto senza rompere i test esistenti. Tutte le attività riguardano bug di sicurezza della memoria in C o C++, escludendo molte altre lingue e tipologie di vulnerabilità, come ammette AWS.
Le valutazioni si svolgono in quattro fasi cumulative. Continuum ha individuato e riprodotto un bug in il 92,5% delle attività, ha fermato l'arresto in il 89,6% e ha mantenuto i test del progetto in funzione nel 89,0%. La quarta fase verifica se la correzione risolva anche il bug storico selezionato.
La correzione di Continuum ha risolto il bug storico in il 37,8% delle attività, contro un precedente massimo pubblico del 26,2%.
AWS sottolinea che l'ultimo stadio ha importanza: un repository può contenere diverse vulnerabilità e correggere una diversa non rende il lavoro inutile, spiegando la differenza tra i due punteggi.
Continuum ha completato l'89% delle attività individuando e correggendo una vulnerabilità reale senza rompere i test esistenti, ma solo il 37,8% di queste correzioni ha affrontato anche il bug storico del benchmark. L'agente non è stato informato quale bug fosse, quindi la comparazione non è del tutto equa. Rimane sconosciuto come si comporterà quando un team gli assegna una vulnerabilità specifica da correggere.
AWS ha eseguito i test internamente e afferma che Continuum ha rispettato le regole del benchmark, inclusi limiti di accesso a internet. L'azienda ha inoltre verificato che l'agente non stesse semplicemente consultando correzioni già pubbliche. Continuum ha superato l'89% delle attività entro il limite di 90 minuti.
AWS afferma che con più tempo il tasso sale al 93,7%. Gli strumenti di benchmark e test sono pubblici, ma finora i risultati appartengono esclusivamente ad AWS.