Poche volte ci chiediamo cosa accade perché una transazione arrivi a destinazione, un documento rimanga privato o nessuno possa accedere ai nostri conti. Semplicemente apriamo il cellulare e continuiamo, perché abbiamo incorporato questi servizi nella nostra routine con la naturalezza di chi accende la luce di casa. Ma dietro ogni operazione ci sono decisioni tecniche, controlli e persone che raramente vediamo. La nostra relazione con il digitale è costruita, in gran parte, su quella fiducia che diamo per scontata.
Non abbiamo mai avuto garanzie assolute in materia di cibersecurity, ma abbiamo sviluppato meccanismi per mantenere i rischi sotto controllo. Una parte fondamentale di questa strategia consiste nel rendere troppo costoso, complesso o lento per un attaccante superare determinate barriere, mentre i team responsabili identificano vulnerabilità e lavorano per correggerle.
L'impatto dell'intelligenza artificiale
Il problema è che l'intelligenza artificiale sta iniziando a modificare questa relazione tra sforzo e tempo, facilitando compiti che prima potevano richiedere una ricerca considerevole. E quando scoprire un bug diventa più veloce, aumenta anche la pressione su chi deve risolverlo.
Una delle voci che ha deciso di avvertire pubblicamente su questo scenario è Jason Clinton, subdirettore della sicurezza di Anthropic. Il 22 ottobre ha pubblicato un messaggio sulla sua pagina personale di X che non lascia molto spazio all'ottimismo: "Per quanto le cose siano andate male negli ultimi quattro giorni, peggioreranno molto prima di migliorare. Responsabili della sicurezza, non sprecate una crisi: andate ai vostri consigli di amministrazione e chiedete aiuto ora. Non per l'intelligenza artificiale, ma per le basi. Dobbiamo resistere per circa 18 mesi".
Il contesto e le vulnerabilità recenti
Per capire il contesto di questo avvertimento, è utile esaminare ciò che è accaduto negli ultimi giorni. Come documentato ampiamente, il 20 ottobre sono circolati gli identificatori di due vulnerabilità critiche di PHP, prima che venissero pubblicati i dettagli tecnici. I falli, noti come PHP2Shell e classificati con una gravità di 9,2 su 10, potrebbero permettere a un attaccante di eseguire codice su server vulnerabili senza autenticazione.
La pressione non è finita con la pubblicazione di queste correzioni. Amazon ha affermato di aver già rilevato un tentativo di sfruttamento il 17 ottobre, quattro giorni prima della divulgazione ufficiale, mentre Cloudflare ha registrato milioni di tentativi dopo la conoscenza dei falli. Di fronte a questa pressione, ENISA e altri organismi europei hanno raccomandato di isolare dalle reti pubbliche le applicazioni esposte che non potessero essere aggiornate immediatamente. L'urgenza ha avuto anche conseguenze visibili: secondo Reuters, le amministrazioni europee hanno sospeso temporaneamente servizi digitali come misura preventiva.
Le sfide future
Questo episodio illustra una delle principali preoccupazioni che l'intelligenza artificiale sta generando nel campo della cibersecurity. I modelli più avanzati possono aiutare a trovare falli, analizzare le loro cause e sviluppare metodi per sfruttarli, riducendo lo sforzo necessario per determinate attività. La PHP Foundation riconosce che i primi indizi di uno di questi problemi risalgono al 2024, ma le difficoltà tecniche e la mancanza di risorse avevano ritardato la correzione.
Scoprire una vulnerabilità non significa che la sua soluzione sia immediata: sviluppare, verificare e distribuire patch richiede ancora tempo. Anthropic aveva già avvertito di questa situazione in un documento pubblicato ad aprile 2026 e firmato, tra gli altri, dallo stesso Jason Clinton.
Le raccomandazioni di Clinton
La preoccupazione del dirigente non è nuova. Ad agosto aveva reagito su X a una pubblicazione dell'Agenzia per la Sicurezza Nazionale statunitense (NSA) sulle minacce ai controllori industriali, utilizzati in infrastrutture critiche. L'organismo aveva avvertito di attività maliziose che ricorrevano a script generati con IA contro determinati sistemi industriali, ma era stato Clinton a fare un passo in più: aveva affermato che si stava avvicinando un "tsunami di vulnerabilità" e che potrebbe non esserci tempo sufficiente per applicare le patch. Per questo aveva richiesto di isolare determinate reti e utilizzare diodi di dati, dispositivi che permettono di trasmettere informazioni in una sola direzione.
La sua raccomandazione più recente ha anche una lettura aziendale che merita attenzione. Quando chiede ai responsabili della sicurezza di rivolgersi ai loro consigli di amministrazione, sta indicando gli organi incaricati di supervisionare le grandi decisioni strategiche di un'azienda. Non significa che i membri debbano approvare ogni spesa tecnologica, ma possono sostenere investimenti, esigere cambiamenti e porre determinati rischi tra le priorità dell'organizzazione.
Misure di sicurezza fondamentali
Un'altra delle chiavi del suo avvertimento è ciò per cui non richiede risorse: nuove strumenti di intelligenza artificiale. La sua richiesta è rafforzare le misure di sicurezza fondamentali. Parliamo, ad esempio, di controllare chi può accedere ai sistemi, richiedere autenticazione multifattore, mantenere copie di backup recuperabili e disporre di procedure chiare per rispondere a un incidente. Sono misure note, ma la cui applicazione richiede tempo, personale e budget.
Il futuro della cibersecurity
In un'altra pubblicazione su X, Clinton ha spiegato cosa potrebbe accadere nei prossimi 18 mesi per migliorare la situazione. Ha parlato di un concetto che ha chiamato "vulnzero". Spera che le capacità di cibersecurity oggi associate ai modelli di IA più avanzati finiscano per arrivare a versioni molto più piccole ed economiche, fino a integrarsi in modo generalizzato nello sviluppo del software. Secondo la sua previsione, questo potrebbe evitare che continuino a raggiungere errori di sicurezza ai prodotti pubblicati.
Forse la questione di fondo non è fino a dove possono arrivare i modelli di intelligenza artificiale, ma cosa facciamo mentre le loro capacità continuano ad avanzare. Clinton delinea un futuro in cui questa stessa tecnologia permetta di trovare e correggere errori prima che arrivino agli utenti, ma questo scenario rimane una previsione. Nel frattempo, le organizzazioni devono prendere decisioni con le risorse disponibili e i rischi che già conosciamo, senza affidare la loro protezione a un miglioramento che non si è ancora verificato.