Una nuova ricerca della Linux Foundation, supportata dall'Open Source Security Foundation (OpenSSF) e dalla LF AI & Data Foundation, ha rivelato una crescente discrepanza tra il ritmo dello sviluppo del software guidato dall'AI e la capacità delle organizzazioni di garantire la sicurezza del codice prodotto. Lo studio, sponsorizzato da ActiveState, ha scoperto che il 58% delle squadre intervistate spedisce codice più velocemente di quanto le revisioni di sicurezza possano tenere il passo.

Le sfide della sicurezza nel contesto dell'AI

Il rapporto, intitolato "State of AI Impact on Software Security and Cybersecurity 2026", ha evidenziato che il 60% dei rispondenti afferma che gli assistenti di codifica AI hanno aumentato il numero di pacchetti esterni nelle loro basi di codice. Tuttavia, le squadre verificano le dipendenze indirette o "transitive" introdotte da questi pacchetti solo circa la metà delle volte.

Queste sfide stanno diventando più urgenti man mano che l'AI accelera sia la generazione del codice che la scoperta delle vulnerabilità, lasciando alle organizzazioni meno tempo per identificare e rimediare ai difetti di sicurezza prima che vengano sfruttati. Un esempio recente è la vulnerabilità PHP2Shell di ottobre 2026, che ha richiesto patch di emergenza e tentativi di sfruttamento entro poche ore dalla divulgazione.

L'AI come parte della soluzione

Il sondaggio, che ha coinvolto 172 praticanti della sicurezza in aziende e progetti open source, ha anche rilevato che l'AI è parte della soluzione, seppur con alcuni compromessi. I rispondenti hanno attribuito agli strumenti assistiti dall'AI la scoperta del 30% delle vulnerabilità trovate nell'ultimo anno, e il 69% ha dichiarato che questi strumenti hanno migliorato significativamente la loro postura di sicurezza. In media, gli strumenti AI hanno reso il lavoro di sicurezza del 17% più veloce, ma i falsi positivi nei rapporti di vulnerabilità hanno aumentato il carico di lavoro dei praticanti del 30%, sottolineando la necessità di bilanciare l'efficienza guidata dall'AI con un'efficace supervisione della sicurezza.

Abby Kearns, CEO di ActiveState, ha dichiarato: "Gli assistenti di codifica AI non scrivono solo codice. Scelgono anche le tue dipendenze, e questa ricerca mostra che le squadre controllano solo circa la metà di ciò che viene introdotto. La soluzione non è rallentare gli sviluppatori, ma decidere cosa è affidabile prima che raggiunga la base di codice, in modo che gli sviluppatori e i loro strumenti AI partano da componenti già approvati dalla sicurezza."

Altri risultati chiave

    • Le competenze sono a rischio: l'82% dei rispondenti è d'accordo sul fatto che un eccessivo affidamento sugli strumenti AI indebolisce le competenze di sicurezza degli sviluppatori.
    • La preoccupazione supera la preparazione: per ogni minaccia legata all'AI misurata, più praticanti sono preoccupati che preparati. Il divario più ampio, 41 punti, è per la generazione automatizzata di exploit e fuzzing.
    • La supply chain è in cima alla lista delle preoccupazioni: gli attacchi alla supply chain sono la principale preoccupazione tra gli esperti di sicurezza (93%), seguiti dall'iniezione di prompt (90%) e dal carico di manutenzione di un alto volume di aggiornamenti dei componenti (87%).
    • Nessuno ne è responsabile: solo il 30% delle squadre ha un ruolo dedicato responsabile delle minacce di sicurezza legate all'AI, e solo circa uno su tre ha una politica di sicurezza formale che affronti l'AI.
    • La proprietà paga: il 75% delle squadre con un ruolo di sicurezza AI dedicato afferma di essere ben preparato per gli attacchi avversari ai sistemi AI, rispetto al 50% di tutti i rispondenti.
    • La revisione umana non è scontata: tra le squadre con una politica di sicurezza AI, solo il 57% richiede una revisione umana del codice generato dall'AI.

Insieme, i risultati indicano la necessità di rendere esplicite le responsabilità di sicurezza e rafforzare la governance man mano che l'adozione dell'AI cresce. Ruoli dedicati, politiche chiare e strumenti correttamente implementati si correlano con una maggiore preparazione; il sondaggio non stabilisce che queste pratiche causino la differenza.

Laura Guazzelli, Security Architect per AI/ML/LLM/Agentic Systems presso OpenSSF, ha dichiarato: "Man mano che l'AI accelera lo sviluppo del software, le organizzazioni devono essere altrettanto deliberate su come governano e proteggono il codice prodotto. Questo inizia con la comprensione di dove l'AI introduce rischi nella supply chain del software, l'istituzione di una chiara proprietà per affrontarlo e la garanzia che le pratiche di sicurezza possano tenere il passo con il modo in cui il software viene costruito."

Il rapporto raccomanda che le organizzazioni assegnino un proprietario chiaro per le minacce di sicurezza legate all'AI, formalizzino le politiche di sicurezza AI che includano la revisione umana del codice generato e rafforzino i controlli sulle dipendenze dirette e transitive. Basandosi su questi risultati, ActiveState raccomanda di governare l'open source al momento dell'intake, insieme alla scansione e alla revisione, in modo che i team di sicurezza decidano quali componenti entrano nella supply chain del software prima che gli sviluppatori o gli assistenti di codifica AI li utilizzino.