L’IA accelera il codice, ma anche l’ingresso di dipendenze a rischio

Quando un assistente di coding suggerisce una libreria o un’immagine container, quel componente può entrare rapidamente nel progetto e trascinarsi dietro altre dipendenze. Per un’azienda, il rischio è incorporare codice di provenienza incerta, vulnerabile o compromesso prima che sia stato esaminato. 917

Perché il processo di approvazione non basta più

Secondo Quincy Castro, responsabile della sicurezza informatica (CISO) di Chainguard, la generazione quasi istantanea di codice ha superato i tempi del tradizionale ciclo di richiesta, revisione e approvazione di ogni nuova dipendenza. La verifica umana diventa un collo di bottiglia mentre i componenti da controllare continuano ad accumularsi. 91317

Che cosa dice davvero il 97%

In un’analisi pubblicata nel giugno 2026, Chainguard ha rilevato che il 97% delle occorrenze di vulnerabilità osservate nel proprio campione di immagini container si trovava fuori dai 20 progetti più popolari. Il dato non indica che il 97% dei progetti sia vulnerabile: mostra che limitare i controlli ai componenti più noti lascerebbe fuori gran parte delle occorrenze misurate, nella cosiddetta coda lunga dei progetti meno visibili. 15

La popolarità, però, non è una garanzia. Una copia modificata di un progetto legittimo — un fork — può presentarsi come una scelta affidabile pur contenendo codice dannoso. Nel marzo 2026, inoltre, gli aggressori hanno compromesso la distribuzione tramite GitHub Actions di Trivy, uno scanner di vulnerabilità ampiamente usato, e sottratto credenziali dai flussi di lavoro colpiti. La potenziale esposizione poteva estendersi a migliaia di organizzazioni. 910

La risposta della ricerca

Su un fronte collegato, l’Indiana University ha ricevuto 1,18 milioni di dollari dalla National Science Foundation (NSF), l’agenzia federale statunitense che finanzia la ricerca, per studiare i rischi di sicurezza degli strumenti e dei modelli di IA open source usati dagli scienziati e aiutare gli utenti a individuare opzioni più sicure. Jetstream2, il cloud per la ricerca dell’università sostenuto dalla NSF, è indicato come infrastruttura di calcolo per il lavoro. La descrizione disponibile non specifica però un metodo per assegnare punteggi ai modelli, né promette alternative prive di rischi. 612