Una crescita incontrollata di commit generati dall'IA

Per quando avrai finito di leggere questa frase, gli sviluppatori e i loro assistenti IA avranno inviato qualche migliaio di conferme di codice. Nello stesso periodo dell'anno scorso, il numero sarebbe stato di circa 150.

Nel corso dell'ultimo anno il software generato dall'IA ha avanzato a un ritmo sorprendente. GitHub ha registrato 7,38 miliardi di commit solo a settembre 2026, più di cinque volte il totale di un anno prima. Le implicazioni per la sicurezza di questa esplosione sono profonde: qualcuno deve comprendere, mantenere e proteggere ciascuna di quelle conferme.

Secondo la Cloud Security Alliance, gli sviluppatori che usano l'IA in aziende Fortune 50 confermano codice a un ritmo da tre a quattro volte superiore ai loro colleghi, mentre i loro rilevamenti di sicurezza mensili sono aumentati di circa dieci volte.

Il peso crescente sui team di sicurezza

Chi si occupa di questo aumento? Il team del CISO mantiene la stessa dimensione di un anno fa, ma la lista delle attività è cresciuta. Aumentano i report di vulnerabilità, diminuiscono le correzioni mensili e si accumulano problemi critici irrisolti. Non sorprende che Gartner affermi che l'esaurimento dei CISO sta diventando un rischio operativo critico.

Di fronte a numeri così alti, il primo istinto è quello di cercare ancora più scoperti, più copertura, più analisi. È come cercare di rimuovere l'acqua da una barca che affonda usando un secchio più grande, quando la vera soluzione è trovare la perdita.

Misurare l’efficacia, non la quantità

L’efficacia di un programma di sicurezza non si misura da quanti problemi trova, ma dalla proporzione di quelli reali e da quanti dei più critici vengono effettivamente corretti.

I modelli di IA più avanzati sono eccellenti nel rilevare exploit nuovi e vulnerabilità non catalogate mediante ragionamento probabilistico. Tuttavia, i risultati variano: una ricerca di Checkmarx ha mostrato che eseguendo cinque volte lo stesso analisi sul medesimo codice, i risultati coincidono solo in circa un terzo dei casi.

Perché l'analisi basata su regole resta indispensabile

Questa inconsistenza spiega perché l’analisi basata su regole continua a essere importante. È meno flessibile dell’IA più avanzata, ma applica la logica provata in modo identico ogni volta, permettendo ai team di fidarsi dei risultati e di verificarli.

L’IA, d’altro canto, scopre ciò che le regole trascurano: debolezze note che assumono forme sconosciute o falle che diventano sfruttabili solo quando interagiscono diverse parti del codice. Insieme, IA e analisi basata su regole consentono di:

    • rilevare più vulnerabilità rilevanti;
    • ridurre i falsi allarmi;
    • mantenere una base di riferimento affidabile.

Tre domande fondamentali per ogni soluzione di sicurezza

Non si tratta di un argomento contro l’IA, ma a favore della necessità di una seconda opinione. Qualunque sia il motore scelto, poniti tre domande.

1. Fidelità

Quando lo scanner segnala un problema, vale la pena dedicargli tempo? Un risultato non reale costa ore di lavoro a uno sviluppatore e mina la credibilità del team di sicurezza. Su larga scala, i falsi positivi fanno sì che i team smettano di prestare attenzione, trasformando le allerte in un “che viene il lupo” sommerso dal rumore di fondo.

La coerenza è fondamentale: un’analisi deterministica restituisce sempre la stessa risposta per lo stesso codice, generando fiducia e permettendo audit.

2. Precisione

Stai individuando l’intero insieme dei problemi più importanti? La fidelità indica se un avviso è degno di attenzione, ma non rivela cosa lo scanner ha trascurato. Per valutare questo usiamo la punteggio F1, una misura della scienza dei dati che combina:

    • Precisione: la percentuale di segnalazioni reali rispetto al totale dei risultati.
    • Copertura: la percentuale di vulnerabilità reali effettivamente individuate.

Un scanner può sembrare preciso segnalando poco, o esaustivo segnalando tutto, ma in entrambi i casi può ottenere un punteggio F1 basso. La media del settore è circa 0,20. Abbiamo lavorato per migliorare questo aspetto, ottenendo una precisione tre‑quattro volte superiore a quella di uno scanner standard.

3. Ritorno sull’investimento (ROI)

Come massimizzare l’investimento e le risorse? Questa è la domanda più spesso trascurata durante la fase pilota, e la risposta più dolorosa si rivela in produzione.

I modelli più avanzati addebitano per token, consumando token sia quando l’analisi trova qualcosa sia quando non trova nulla. Analizzare un repository di un milione di righe costa più di mille dollari con i prezzi attuali. Inoltre, il consumo varia notevolmente tra modelli: il prezzo dipende dal modello scelto e dalla complessità del ragionamento richiesto.

Moltiplicando quel costo per ogni commit, pull request e repository di un’azienda, i numeri diventano impressionanti. Uber, che spende 3,4 miliardi di dollari all’anno in I&D, ha esaurito l’intero budget IA per il 2026 in pochi mesi dopo aver implementato strumenti di programmazione basati su IA. Lo definiamo imposta dei token: è come portare una Ferrari a fare la spesa, pagando per una potenza che il viaggio non richiede.

Una architettura ibrida: il modello di Checkmarx Fusion

Questo ragionamento è alla base dell’architettura Checkmarx Fusion. I motori basati su regole stabiliscono una base di riferimento affidabile, riproducibile e a minor costo rispetto all’analisi basata su token. I modelli di ultima generazione si concentrano su ciò che le regole non possono prevedere: pattern nuovi, logica complessa e possibilità di sfruttamento in contesto.

Una successiva fase di analisi dei risultati combina le uscite in un unico set affidabile. Il risultato è:

    • Fidelità fino a quattro volte superiore rispetto a un LLM autonomo;
    • Precisione da due a quattro volte migliore;
    • Costi ridotti a circa un terzo.

Dalla rilevazione alla prevenzione

Rilevare problemi è solo l’inizio. La stessa logica si applica alla prevenzione. Se forniamo agli sviluppatori strumenti direttamente nell’IDE, possiamo fermare i problemi prima che nascano. Quando qualche vulnerabilità riesce a passare, possiamo offrire correzioni pronte da fondere per le più critiche.

Questi sono i problemi che miriamo a risolvere, con l’obiettivo di ridurre progressivamente il divario esistente e ottenere il massimo impatto nel minor tempo e con il minor sforzo.

Il codice in produzione deve tenere il passo

L’IA ha dato agli attaccanti un vantaggio di velocità. Per colmare il divario non basta aggiungere un’altra tool, ma è necessario decidere come l’intera organizzazione sviluppa e protegge il software. Il codice scritto oggi servirà all’azienda per anni. La domanda per i responsabili della sicurezza non è più “quanto più veloce ci aiuta l’IA a sviluppare”, ma “i nostri programmi possono tenere il passo con ciò che l’IA genera?”.

In sintesi, non lasciarti sopraffare dalle cifre. Poni sempre tre domande a qualsiasi programma di sicurezza:

    • Posso fidarmi di ciò che rileva?
    • Rileva sufficienti problemi di cui importa?
    • È sostenibile implementarlo in tutta l’organizzazione?

Solo combinando la precisione dell’analisi deterministica con la copertura dell’IA è possibile costruire una difesa efficace in un mondo dove il codice si evolve a velocità senza precedenti.