AnswersPublished15 sources
L’IA trova vulnerabilità a un ritmo che mette sotto pressione chi deve risolverle
Palo Alto Networks ha dichiarato che l’IA ha individuato oltre 14.000 vulnerabilità finora non rilevate nel software open source e ha eguagliato in tre settimane un anno di test manuali: è un dato riferito dall’aziend... Anthropic ha segnalato oltre 29.000 vulnerabilità candidate, ma dice di averne potute esaminare...
Pubblicato daModificato con GPT-6 LunaImmagini generate con GPT Image 2
Research answer
Key takeaways
- Palo Alto Networks ha dichiarato che l’IA ha individuato oltre 14.000 vulnerabilità finora non rilevate nel software open source e ha eguagliato in tre settimane un anno di test manuali: è un dato riferito dall’aziend...
- Anthropic ha segnalato oltre 29.000 vulnerabilità candidate, ma dice di averne potute esaminare manualmente circa 6.000.
- In un test controllato, il modello GLM 5.3 ha trasformato correzioni di Firefox pubbliche ma non ancora distribuite in attacchi funzionanti contro sei versioni.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: As of October 31, 2026, how is AI-driven vulnerability discovery transforming software security, including Palo Alto Networks’ discovery of. Article summary: As of October 31, 2026, AI-driven vulnerability discovery is making security research much faster, while shifting the bottleneck toward human validation, remediation and patch deployment—and creating opportunities to exp. Topic tags: general, general web, user generated, news, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermark
L’intelligenza artificiale sta accelerando la ricerca di falle nel software. Ma trovare un possibile problema non significa averlo verificato, corretto e risolto per tutti: tra la scoperta e l’aggiornamento restano passaggi decisivi, spesso affidati a team con risorse limitate.3
La stessa velocità può avvantaggiare anche gli attaccanti. Quando i dettagli di una correzione diventano pubblici prima che l’aggiornamento raggiunga gli utenti, possono offrire indizi utili per costruire un attacco. La sfida, quindi, non è soltanto scoprire più vulnerabilità: è riuscire a valutarle e distribuire le patch in tempo.3
Più vulnerabilità candidate, più lavoro da verificare
Palo Alto Networks ha riferito a The Economic Times che i suoi sistemi basati sull’IA hanno individuato oltre 14.000 vulnerabilità precedentemente non rilevate in software open source e che, in tre settimane, hanno prodotto risultati paragonabili a un anno di test di penetrazione manuali.19 Si tratta di un dato dichiarato dall’azienda: le informazioni disponibili non lo presentano come un benchmark verificato da soggetti indipendenti.
Anche i numeri di Anthropic mostrano perché «trovato» non equivale a «confermato» o «corretto». L’azienda afferma che, in sei mesi, i suoi modelli hanno individuato oltre 29.000 vulnerabilità candidate, ma che le persone ne hanno potute esaminare e classificare manualmente circa 6.000. Una segnalazione candidata, una vulnerabilità confermata e una correzione pubblicata nel progetto sono misure diverse.
L’8 ottobre Anthropic ha aperto le adesioni al suo OSS Scanner: un servizio facoltativo e gratuito che offre scansioni ricorrenti ai progetti open source idonei, con modelli che includono Claude Mythos. Le segnalazioni generate possono arrivare ai manutentori senza una revisione umana preliminare. L’approccio può portare prima all’attenzione dei progetti problemi potenziali, ma rende importante anche la qualità e la quantità dei rapporti ricevuti.
Le cifre disponibili non permettono di confermare con precisione i totali del 2 ottobre talvolta riportati altrove. In ogni caso, i numeri citati da Anthropic indicano un divario significativo tra la capacità di produrre segnalazioni e quella di verificarle.
Il collo di bottiglia passa ai manutentori
Anthropic ha dichiarato che la propria capacità di revisione umana è limitata; secondo TechTarget, OSS Scanner sposta una parte maggiore del lavoro di gestione delle vulnerabilità sui manutentori. Una segnalazione utile può comunque richiedere di riprodurre il problema, valutarne l’impatto, preparare una correzione, testarla e distribuirla.
Per i progetti con poche risorse dedicate alla sicurezza, più rapporti non significano automaticamente più problemi risolti. Sono particolarmente utili segnalazioni riproducibili e chiare sul codice coinvolto e sulle conseguenze. Anche le organizzazioni che dipendono da software open source possono contribuire a finanziare la manutenzione e la sicurezza dei progetti: la Electronic Frontier Foundation ha chiesto esplicitamente più sostegno per l’open source.
Le patch pubbliche possono rivelare indizi agli attaccanti
La ricerca assistita dall’IA può aiutare chi difende i sistemi, ma una correzione può anche offrire indizi sulla vulnerabilità che risolve. Epoch AI riferisce che GLM 5.3, un modello di Z.ai disponibile pubblicamente, ha usato correzioni di Firefox già pubblicate ma non ancora distribuite per costruire attacchi funzionanti contro sei versioni del browser. Il costo marginale indicato è di circa 1.000 dollari per attacco riuscito.3
La prova è stata condotta in un ambiente controllato: non dimostra che gli attacchi siano stati usati contro gli utenti di Firefox. Mostra però il rischio del cosiddetto patch gap, l’intervallo tra la pubblicazione delle informazioni su una correzione e il momento in cui gli utenti ricevono l’aggiornamento. Secondo fonti secondarie, Mozilla ha corretto una vulnerabilità pertinente in Firefox 159.0.2
9
Questo non significa che pubblicare le patch sia sbagliato: gli aggiornamenti servono a proteggere gli utenti. Significa che i dettagli tecnici possono essere analizzati rapidamente e che installare le correzioni con tempestività è importante.3
I conteggi delle patch vanno letti con cautela
Il Patch Tuesday di ottobre di Microsoft mostra quanto sia importante capire che cosa misura ogni conteggio. Le note ufficiali dell’azienda elencano 1.468 CVE, mentre Veracode riporta 1.413 vulnerabilità per il rilascio: le informazioni disponibili non chiariscono la differenza. Veracode segnala inoltre che l’aggiornamento includeva una vulnerabilità di Windows Shell, un aggiramento di una funzione di sicurezza, già sfruttata attivamente. Il numero complessivo, da solo, non spiega perché il volume sia stato così elevato né quante falle siano state individuate con l’IA.
Un altro esempio ricorda il lavoro necessario per rispondere alle segnalazioni: CERT-EU riferisce che il progetto PHP ha annunciato due vulnerabilità critiche il 20 ottobre e pubblicato le correzioni il giorno successivo. Reuters ha riportato che sette professionisti della sicurezza informatica hanno avvertito che le falle scoperte con l’IA potrebbero contribuire a nuove interruzioni.17 È una valutazione dei rischi possibili, non la prova che la scoperta tramite IA causerà sempre un incidente.
Trovare più in fretta non basta
L’IA può aiutare a individuare prima le debolezze, ma il test su Firefox mostra che può anche accelerare la creazione di exploit.3 Le fonti disponibili non stabiliscono quale dei due effetti prevarrà nel complesso. Nel breve periodo, la priorità è collegare la scoperta a una verifica efficace e a correzioni distribuite rapidamente: altrimenti, un flusso crescente di segnalazioni rischia di trasformarsi soprattutto in una coda più lunga per manutentori e utenti.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "L’IA trova vulnerabilità a un ritmo che mette sotto pressione chi deve risolverle"?
Palo Alto Networks ha dichiarato che l’IA ha individuato oltre 14.000 vulnerabilità finora non rilevate nel software open source e ha eguagliato in tre settimane un anno di test manuali: è un dato riferito dall’aziend...
What are the key points to validate first?
Palo Alto Networks ha dichiarato che l’IA ha individuato oltre 14.000 vulnerabilità finora non rilevate nel software open source e ha eguagliato in tre settimane un anno di test manuali: è un dato riferito dall’aziend... Anthropic ha segnalato oltre 29.000 vulnerabilità candidate, ma dice di averne potute esaminare manualmente circa 6.000.
What should I do next in practice?
In un test controllato, il modello GLM 5.3 ha trasformato correzioni di Firefox pubbliche ma non ancora distribuite in attacchi funzionanti contro sei versioni.