Velocità di sviluppo vs capacità di sicurezza
Il 58 % delle organizzazioni intervistate dichiara di consegnare nuove funzionalità in produzione a un ritmo che i team di sicurezza non riescono a tenere sotto controllo. Questo divario è alimentato dalla diffusione capillare degli assistenti di generazione di codice basati su intelligenza artificiale, integrati nei più comuni ambienti di sviluppo integrati (IDE).
Secondo lo studio “State of AI Impact on Software Security and Cybersecurity 2026”, realizzato con il supporto dell’OpenSSF e della LF AI & Data Foundation, la rapidità di scrittura del codice è ormai accompagnata da una “inflazione” del 60 % di pacchetti esterni introdotti automaticamente dagli strumenti di IA.
Questa dinamica crea un “gouffre operativo” tra la velocità di codifica e la reale capacità di garantire la sicurezza delle dipendenze importate.
L’angolo morto delle dipendenze
Le dipendenze “transitive”, ovvero quelle indirette richieste dalle librerie di terze parti, sono verificate solo nella metà dei casi. Abby Kearns, direttrice generale di ActiveState, avverte: «Gli assistenti di codifica IA non si limitano a produrre sintassi, ma scelgono e importano dipendenze senza un adeguato controllo».
Il risultato è una preoccupazione dominante tra gli esperti: 93 % dei rispondenti indica come principale rischio le attacchi alla catena di fornitura software (supply‑chain), superando le preoccupazioni per le “injection di prompt” (90 %).
Un altro dato allarmante riguarda il tempo speso per la correzione del codice generato: in una ricerca parallela condotta da ActiveState, un ingegnere medio dedica 139 ore all'anno a rivedere o correggere codice prodotto automaticamente. Per un’azienda con cento sviluppatori, ciò corrisponde a 13 900 ore annuali, ovvero il lavoro di sette dipendenti a tempo pieno dedicati esclusivamente alla “pulizia” dei residui dell’IA.
Impatto dei falsi positivi
L’IA può accelerare alcune attività di audit del 17 %, ma genera anche un aumento del 30 % di segnalazioni errate, gravando ulteriormente sui team di sicurezza.
Questi falsi allarmi non solo sottraggono risorse preziose, ma possono anche generare una “fatiga da allarme” che riduce l’efficacia delle verifiche reali.
Debito di competenze e governance carente
Il sondaggio rileva che 82 % dei professionisti ritiene che la dipendenza eccessiva dagli assistenti IA indebolisca le proprie capacità di cybersecurity. La perdita di expertise critica è percepita come una minaccia a lungo termine per la resilienza delle organizzazioni.
Al contempo, solo il 30 % delle aziende ha ruoli specifici dedicati alla sicurezza dell’IA, lasciando un vuoto di responsabilità esplicito sulle minacce emergenti.
Una politica formale di sicurezza per l’IA è presente in una sola squadra su tre (33 %), mentre il 57 % delle squadre dispone di regole che impongono una revisione umana, ma quasi la metà di esse pubblica codice sintetico senza alcun controllo.
Benefici della responsabilità formale
Le squadre che hanno istituito un ruolo dedicato alla sicurezza dell’IA mostrano una maggiore preparazione: 75 % di esse si considerano pronte ad affrontare attacchi avversari, contro il 50 % dei partecipanti complessivi.
La Linux Foundation e l’OpenSSF raccomandano di spostare la governance “alla fonte”, adottando misure quali:
- Filtrare in anticipo le librerie open‑source autorizzate prima del commit;
- Imporre una validazione umana obbligatoria su tutto il codice generato;
- Eseguire un audit completo dell’albero delle dipendenze prima della messa in produzione.
Strategie operative per mitigare il debito di sicurezza
Le organizzazioni possono ridurre il rischio adottando un approccio multilivello:
- Inventario continuo delle dipendenze: strumenti automatizzati per tracciare versioni, licenze e vulnerabilità note.
- Policy di approvazione: definire whitelist di pacchetti approvati e bloccare l’inclusione di nuove dipendenze senza revisione.
- Formazione continua: corsi periodici per sviluppatori su best practice di sicurezza e su come interpretare i risultati degli scanner IA.
- Monitoraggio post‑deployment: integrazione di sistemi di rilevamento runtime per identificare comportamenti anomali introdotti da dipendenze transitive.
Queste pratiche, se implementate con coerenza, possono ridurre drasticamente il tempo medio di risposta alle vulnerabilità, passando da mesi a poche settimane.
Conclusioni e prospettive future
Il rapporto della Linux Foundation e di ActiveState mette in luce una tensione critica: l’IA promette produttività, ma genera una “debito di sicurezza” che, se non affrontata, può compromettere l’intera catena di sviluppo.
Le evidenze mostrano che, senza una governance solida, le organizzazioni rischiano di accumulare ore di lavoro non pianificate, perdita di competenze e vulnerabilità di supply‑chain difficili da gestire.
Affinché l’adozione dell’IA continui a crescere in modo sostenibile, è indispensabile instaurare regole chiare, investire nella formazione dei team e garantire una revisione umana sistematica. Solo così si potrà trasformare la promessa di velocità in una reale sicurezza operativa.