I bug trovati dall’IA stanno diventando un problema

A fine ottobre, diversi siti istituzionali europei sono stati oscurati in via preventiva per prevenire attacchi da parte di malintenzionati. La causa erano due gravi falle di PHP, il linguaggio usato da gran parte del web, scoperte grazie a un apporto decisivo dato dall’uso di software di intelligenza artificiale. Le vulnerabilità potevano consentire a un aggressore di eseguire comandi sui server senza conoscere alcuna password. Il 21 ottobre sono stati pubblicati gli aggiornamenti di sicurezza, ma non tutte le realtà coinvolte hanno potuto installarli subito: per alcune, “spegnere” i siti è stata la precauzione più rapida e indolore. Il 26 ottobre l’agenzia statunitense CISA ha inserito le due falle nel catalogo delle vulnerabilità già sfruttate dagli hacker. Per quanto si parli di Europa, la vicenda restituisce il segnale di un cambiamento che sta interessando – e mettendo a rischio – soprattutto la Silicon Valley. I sistemi di IA, infatti, riescono a esaminare enormi quantità di codice e individuare errori sfuggiti per anni ai controlli tradizionali degli esperti di cybersicurezza. Una delle falle di PHP è stata trovata da Calif utilizzando un modello di OpenAI, nell’ambito dell’iniziativa «Patch the Planet»; la società cybersec Wiz ha individuato indipendentemente entrambe le vulnerabilità, utilizzando anche modelli di Google. La correzione ha richiesto due mesi di lavoro diviso fra sviluppatori, ricercatori e gestori delle infrastrutture internet. Il New York Times ha raccontato che proprio lo scorso 21 ottobre Fouad Matin, responsabile della preparazione informatica di OpenAI, ha trascorso il giorno del suo compleanno a organizzare la risposta all’emergenza, con due ore di sonno sulle spalle. La sostanza della nuova era della sicurezza informatica è riassunta nel fatto che non basta più trovare bug: bisogna verificarne la gravità, costruire aggiornamenti che non compromettano i programmi e distribuirli prima che le informazioni raggiungano chi potrebbe sfruttarle. La scoperta di una falla può così costringere amministrazioni e imprese a sospendere servizi funzionanti. Il problema, soprattutto, ha dimensioni difficili da gestire. All’inizio del mese scorso Anthropic dichiarava di aver segnalato, grazie ai propri modelli, 6.157 vulnerabilità in 591 progetti open source. Di queste, secondo i dati dell’azienda, solo 516 risultavano in quel momento corrette per evitare ogni rischio. Non tutte le falle hanno la stessa pericolosità, certo, né ogni segnalazione equivale a una porta aperta per gli hacker: ma la sproporzione tra la velocità della ricerca automatizzata e quella delle correzioni è evidente, soprattutto per i progetti gratuiti mantenuti da piccoli gruppi di sviluppatori. Anche i numeri più ampi che riguardano il settore sono interessati da cambiamenti profondi. Secondo Google Threat Intelligence, le vulnerabilità rese pubbliche mensilmente sono passate da circa 5mila a gennaio a oltre 10mila ad agosto, più che raddoppiando. L’IA è un fattore determinante in questo senso, ma non è l’unica spiegazione: a incidere sono anche le stesse procedure con cui vengono registrati gli errori. Va anche precisato che scoprire più falle non significa necessariamente subire più intrusioni: una ricerca di VulnCheck relativa al primo semestre del 2026 ha trovato prove di uno sfruttamento malevolo per appena l’1,3% delle vulnerabilità individuate con strumenti di IA passate al setaccio. La vera novità, che riguarda entrambi i lati della sicurezza informatica – quello degli attaccanti e quello dei difensori – è il tempo a disposizione. Gli stessi strumenti di intelligenza artificiale che aiutano a scoprire e correggere una falla possono dare manforte a un criminale a trasformarla in un attacco, anche nell’arco di poche ore. La pubblicazione di una patch può così diventare l’inizio di una corsa contro il tempo fra chi aggiorna i sistemi e chi cerca quelli rimasti scoperti. L’esito di questo processo sempre più serrato non è scritto: alcune falle rimangono molto difficili da sfruttare, e una parte delle scoperte “automatizzate” può rendere internet più sicura. Ma la sicurezza informatica dovrà cambiare le sue fondamenta, investendo non soltanto in modelli sempre più capaci di trovare errori, ma anche, anzi soprattutto, nelle persone e nelle infrastrutture necessarie a risolverli.

Cosa vedere:

Come vederlo:

Online con Sky:

I bug trovati dall’IA stanno diventando un problema

Davide Piacenza