Il problema della sicurezza nel codice generato dall’AI

Gli assistenti di programmazione basati sull’intelligenza artificiale stanno aumentando la velocità di sviluppo fino a 17 volte, ma quasi la metà del codice prodotto presenta problemi di sicurezza. Man mano che gli sviluppatori generano più righe di codice in meno tempo, vulnerabilità, configurazioni insicure e dipendenze a rischio possono infiltrarsi nelle applicazioni più velocemente di quanto i team di sicurezza riescano a rilevarle e correggerle.

Le pratiche tradizionali di “shift‑left” portano il rilevamento delle vulnerabilità nelle prime fasi del ciclo di vita, ma rimangono focalizzate sul controllo dopo che il codice è stato scritto. Con l’accelerazione introdotta dagli agenti AI, è necessario spostare la sicurezza ancora più a sinistra, includendola direttamente nel processo di generazione del codice.

Cortex Cloud: sicurezza integrata in Claude Code e Cursor

Cortex Cloud™ porta la protezione delle applicazioni all’interno di Anthropic Claude Code e Cursor, fornendo best practice di sicurezza e scansioni continue durante la scrittura del codice. Grazie a integrazioni native basate sul Cortex Cloud AppSec MCP Server e sugli strumenti per sviluppatori, gli agenti AI possono:

    • Accedere alle politiche di sicurezza aziendali;
    • Valutare le dipendenze software;
    • Eseguire controlli di sicurezza in tempo reale mentre il codice viene generato.

In questo modo la sicurezza non è più un’attività separata, ma diventa parte integrante del modo in cui il codice viene scritto.

Tre momenti critici di intervento

1. Recupero delle regole SAST prima della generazione. Dopo che lo sviluppatore invia un prompt, l’agente AI interroga il Cortex Cloud MCP Server per ottenere le regole di codifica sicura (SAST). Durante la scrittura, queste regole vengono applicate per prevenire vulnerabilità comuni (CWE), ad esempio evitando errori di convalida dell’input (CWE‑20) quando si costruisce un endpoint API.

2. Verifica delle dipendenze open‑source. Prima di installare o importare un pacchetto, l’agente consulta il Cortex Cloud AppSec MCP Server per identificare eventuali componenti malevoli o sospetti. Se rileva un rischio, blocca l’installazione, spiega il motivo e suggerisce alternative più sicure, impedendo che librerie compromesse entrino nel codice.

3. Scansioni automatiche durante la creazione o modifica di file. Ogni volta che l’agente AI crea o modifica un file, Cortex Cloud esegue controlli di sicurezza prima e dopo la scrittura. Questi controlli rilevano segreti esposti, pacchetti vulnerabili e configurazioni errate di infrastruttura come codice (IaC). Ad esempio, se l’agente tenta di scrivere una chiave API hard‑coded, il sistema segnala il segreto prima che il file venga salvato, permettendo all’agente di rimuoverlo e riprovare.

Vantaggi per sviluppatori e team di AppSec

Grazie a queste tre capacità, gli sviluppatori possono mantenere la velocità offerta dall’AI senza dover gestire la sicurezza come attività separata. I team di Application Security, invece, ottengono una via per estendere le proprie politiche di sicurezza a tutto lo sviluppo assistito dall’AI, garantendo coerenza e conformità a livello aziendale.

Cortex Cloud consente un vero approccio “secure‑by‑design”, dove la protezione è incorporata nella fase di scrittura, riducendo drasticamente la necessità di correzioni post‑sviluppo e migliorando la qualità complessiva del software.

Come iniziare

Le integrazioni native di Cortex Cloud con Claude Code e Cursor sono disponibili rispettivamente nella directory dei plugin Claude e nel Marketplace di Cursor. È possibile richiedere una demo per vedere in azione le funzionalità di sicurezza integrate.