Il fenomeno dei citizen developer

«Oggi è tutti un sviluppatore», afferma Lior Levy, CEO del fornitore di AppSec Cycode. Tuttavia, per la sicurezza informatica questa affermazione rappresenta un vero problema. Sempre più dipendenti, privi di competenze di programmazione, si affidano a agenti di intelligenza artificiale per costruire applicazioni interne, senza passare per i tradizionali controlli di sicurezza.

Un venditore può chiedere a un coding‑agent di realizzare un dashboard per i dati dei clienti, mentre il reparto marketing sviluppa un calcolatore di lead collegato al CRM. L’agente scrive il codice, installa i pacchetti, utilizza credenziali e, talvolta, pubblica direttamente l’applicazione. Spesso mancano repository, pipeline CI/CD o review del codice, rendendo inefficaci le verifiche di sicurezza che dovrebbero intervenire proprio in quei punti.

Le regole di utilizzo dell’IA nelle aziende

Secondo una recente indagine Bitkom, solo il 23 % delle imprese tedesche ha definito regole vincolanti per l’uso dell’intelligenza artificiale. Questo vuoto normativo espone le organizzazioni a vulnerabilità difficili da gestire, soprattutto quando le applicazioni nascono fuori da un contesto di governance tradizionale.

Framework di sicurezza in ritardo

La Cloud Security Alliance (CSA) ha analizzato il problema e ha constatato che nessuno dei principali framework di sicurezza per l’IA fornisce linee guida operative per i citizen developer. Il risultato vale sia per l’AI Risk Management Framework del NIST sia per l’OWASP Top‑10 per applicazioni LLM, così come per le soluzioni proprietarie MAESTRO e AI Controls Matrix.

Nella AI Controls Matrix, il citizen developer si colloca tra le figure di “Application Provider” e “AI Customer”. Le responsabilità di controllo di entrambe le categorie risultano difficili da soddisfare simultaneamente, creando un vuoto di governance.

Un’indagine della CSA su 5 600 applicazioni create con Vibe Coding in ambienti di produzione ha rivelato che nessuna di esse disponeva di protezione CSRF, header di sicurezza o regole di accesso adeguatamente limitate. Molte di queste app sono state sviluppate su piattaforme approvate dall’azienda, ma le singole applicazioni non hanno ricevuto alcuna autorizzazione specifica.

Conseguenze per le imprese

L’assenza di controlli adeguati espone le organizzazioni a rischi di data breach, attacchi di tipo cross‑site scripting e compromissioni di credenziali, soprattutto quando gli agenti IA inseriscono segreti nei prompt o nei comandi MCP.

La risposta di Cycode: sicurezza a livello di workstation

Le preoccupazioni di Levy sono bilanciate da una visione ottimistica: i citizen developer offrono “enormi opportunità per l’innovazione”, ma è necessario mitigare i “rischi significativi”. Per questo Cycode ha lanciato la soluzione Citizen Developer Security, inizialmente in private preview.

La piattaforma monitora automaticamente chi, all’interno dell’azienda, utilizza strumenti di IA per sviluppare codice, identificando gli agenti, i server MCP e gli altri tool impiegati. Sulla workstation, blocca l’installazione di pacchetti dannosi e impedisce che credenziali vengano inserite in prompt o chiamate MCP.

Il codice generato dagli agenti viene analizzato prima della messa in produzione. In caso di vulnerabilità, il sistema provvede a correggerle automaticamente, evitando di aprire ticket al dipendente.

Come funziona la correzione automatica

Secondo Dor Atias, co‑fondatore e Chief Product Officer di Cycode, “i citizen developer non devono saper programmare, né conoscere le modalità per correggere le vulnerabilità”. Il sistema di Cycode rileva i rischi durante lo sviluppo, li risolve secondo le policy definite dal team di sicurezza e consente al dipendente di continuare il proprio lavoro senza interruzioni.

In pratica, se un agente IA tenta di inserire una chiave API in un prompt, la piattaforma intercetta l’operazione, elimina la credenziale e la sostituisce con un segreto gestito in modo sicuro. Allo stesso modo, se un pacchetto contiene codice vulnerabile, la soluzione blocca l’installazione e suggerisce una versione sicura.

Implicazioni per il futuro del lavoro digitale

L’adozione di strumenti di IA per lo sviluppo low‑code/ no‑code sta crescendo rapidamente, soprattutto nelle funzioni non tecniche. Cycode punta a trasformare questa tendenza in un vantaggio competitivo, garantendo che l’innovazione non comprometta la sicurezza.

Con una soluzione che opera direttamente sulla workstation, le aziende possono mantenere il controllo su chi sviluppa cosa, senza dover imporre processi complessi o richiedere competenze avanzate ai dipendenti.

In conclusione, la strategia di Cycode dimostra che è possibile coniugare l’accessibilità delle tecnologie IA con una difesa robusta, proteggendo le applicazioni Vibe Coding e, più in generale, le iniziative di citizen development in ambienti enterprise.