L'intelligenza artificiale accelera gli exploit e mette a rischio il software open source
4 novembre 2026 · 2 min di lettura
Pubblicato anche in Türkçe
L'uso di modelli di intelligenza artificiale per identificare vulnerabilità nel software open source ha ridotto drasticamente i tempi tra la scoperta di un bug e il suo sfruttamento.
Secondo un rapporto di luglio 2026 redatto da Michael Cembalest con contributi della leadership per la sicurezza informatica di J.P. Morgan Asset Management, modelli come GPT-5.5 di OpenAI e Mythos di Anthropic sono ora in grado di trovare vulnerabilità precedentemente sconosciute a una scala superiore a quella di qualsiasi team di ricerca umano. Anthropic e i partner di Project Glasswing hanno individuato più di 10.000 nuovi zero-day di gravità alta e critica solo nel primo mese.
La velocità di sfruttamento è aumentata in modo significativo. Nel 2021, il tempo mediano tra la divulgazione e il primo exploit era di circa un anno, mentre nel 2026 è sceso a un giorno. Le proiezioni indicano che entro il 2027 tale tempo potrebbe ridursi a un minuto. Attualmente, quasi l'80% degli exploit avviene in concomitanza o prima della divulgazione pubblica.
Il settore open source è il più colpito poiché il codice è visibile a tutti. Molte di queste librerie sono gestite da volontari che non riescono a stare al passo con il volume di vulnerabilità generate dall'intelligenza artificiale. Di 530 scoperte di gravità alta e critica segnalate da Anthropic ai manutentori open source entro maggio 2026, solo 75 sono state risolte.
La fragilità del sistema è accentuata dalla concentrazione dei manutentori. Uno studio di Harvard e della Linux Foundation sui primi 50 progetti open source ha rivelato che il 23% aveva un singolo sviluppatore responsabile di oltre l'80% delle righe aggiunte, mentre il 94% aveva meno di dieci sviluppatori che scrivevano più del 90% del codice. Anchore ha inoltre contato più di 18 milioni di pacchetti npm con un unico manutentore.
In risposta a queste minacce, J.P. Morgan suggerisce di utilizzare versioni aggiornate e di abbandonare le dipendenze in cui non è possibile identificare il manutentore, dove il manutentore sembra essere una sola persona o dove il pacchetto appare abbandonato.
Il problema è aggravato dalla riluttanza delle aziende ad applicare le patch per evitare interruzioni del business. Una ricerca citata nel rapporto indica che oltre l'80% dei professionisti della sicurezza ha saltato una patch per non disturbare l'operatività aziendale. Tuttavia, con exploit che appaiono entro un giorno dalla divulgazione, un sistema non aggiornato rappresenta ora la minaccia maggiore per la continuità aziendale.