L’intelligenza artificiale sta rivoluzionando il modo in cui identifichiamo e gestiamo le vulnerabilità informatiche. Tuttavia, i dati mostrano che lo sfruttamento di queste vulnerabilità da parte degli attaccanti rimane un fenomeno limitato. Nonostante le previsioni allarmistiche, solo una piccola frazione dei bug identificati dall’AI viene effettivamente utilizzata dagli attaccanti.
Il Project Glasswing di Anthropic, ad esempio, ha identificato 23.019 potenziali vulnerabilità attraverso il sistema Claude Mythos. Tuttavia, solo 14 di queste vulnerabilità (lo 0,06% del totale) sono state confermate come sfruttate nella realtà. Questo dato suggerisce che, nonostante la capacità dell’AI di identificare vulnerabilità, il passaggio dall’identificazione alla divulgazione pubblica e allo sfruttamento da parte degli attaccanti è ancora lento.
Vulnerabilità e sicurezza
La sicurezza informatica è un settore in continua evoluzione, con nuove minacce e vulnerabilità che emergono ogni giorno. L’AI può essere uno strumento potente per identificare e gestire queste vulnerabilità, ma è importante capire come gli attaccanti utilizzano queste informazioni. I dati di VulnCheck, ad esempio, mostrano che le vulnerabilità note sfruttate nel primo semestre 2026 sono state 495, principalmente su CMS e dispositivi di rete.
I prodotti AI stessi diventano sempre più target per gli attaccanti, poiché possono essere utilizzati per scopi malevoli. Tuttavia, è importante notare che la maggior parte delle vulnerabilità identificate dall’AI non viene sfruttata. Ciò suggerisce che gli attaccanti potrebbero non avere le risorse o le competenze necessarie per sfruttare queste vulnerabilità, o che le misure di sicurezza attuali siano sufficienti per prevenirne lo sfruttamento.
Project Glasswing e vulnerabilità
Il Project Glasswing di Anthropic è stato lanciato nell’aprile 2026 con l’obiettivo di dimostrare le capacità dell’AI nella scoperta di vulnerabilità. Il sistema ha identificato 23.019 potenziali candidati di vulnerabilità, un numero impressionante che suggerisce la capacità dell’AI di identificare falle di sicurezza. Tuttavia, il passaggio dall’identificazione alla divulgazione pubblica mostra un significativo collo di bottiglia, con solo 126 vulnerabilità pubblicate come CVE.
I dati pubblici mostrano pochissimi movimenti nel processo di disclosure da quando Project Glasswing è stato lanciato. Ciò suggerisce che ci sia un ritardo nel processo di divulgazione e gestione delle vulnerabilità, il che potrebbe essere dovuto a vari fattori, come la complessità delle vulnerabilità o la mancanza di risorse per gestirle.
Implicazioni per la sicurezza
Le implicazioni di questi dati per la sicurezza informatica sono importanti. Innanzitutto, suggeriscono che l’AI può essere uno strumento potente per identificare vulnerabilità, ma che è importante capire come gli attaccanti utilizzano queste informazioni. Inoltre, è importante notare che la maggior parte delle vulnerabilità identificate dall’AI non viene sfruttata, il che suggerisce che le misure di sicurezza attuali siano sufficienti per prevenirne lo sfruttamento.
In conclusione, i dati di Project Glasswing e VulnCheck mostrano che lo sfruttamento di vulnerabilità AI rimane un fenomeno limitato. Tuttavia, è importante continuare a monitorare la situazione e a migliorare le misure di sicurezza per prevenire lo sfruttamento di queste vulnerabilità. La collaborazione tra gli esperti di sicurezza, gli sviluppatori di AI e le organizzazioni è fondamentale per garantire la sicurezza informatica e prevenire le minacce.
In sintesi, l’AI può essere uno strumento potente per identificare vulnerabilità, ma è importante capire come gli attaccanti utilizzano queste informazioni e migliorare le misure di sicurezza per prevenirne lo sfruttamento. La sicurezza informatica è un settore in continua evoluzione, e è importante continuare a monitorare la situazione e a migliorare le misure di sicurezza per garantire la sicurezza informatica.