Anthropic ha giudicato Mythos troppo rischioso per una distribuzione generale e ha scelto di collaborare con un gruppo ristretto di partner, tra cui Cisco, per utilizzarlo a scopo difensivo . La lezione per chi gestisce infrastrutture è chiara: l’IA può scoprire e trasformare i difetti software in exploit a una velocità superiore a quella dei normali processi umani di analisi e correzione. Il tradizionale intervallo tra vulnerabilità e patch, un tempo misurato in settimane, può ridursi a pochi minuti .

A Cisco Live 2026, Cisco ha risposto con Live Protect, una piattaforma di sicurezza runtime pensata per proteggere l’infrastruttura durante il periodo compreso tra la divulgazione di una vulnerabilità e l’applicazione della correzione definitiva.

Che cos’è Cisco Live Protect?

Cisco Live Protect è una funzionalità di sicurezza integrata direttamente in NX-OS, il sistema operativo degli switch Cisco Nexus. Consente agli amministratori di distribuire controlli compensativi convalidati da Cisco — definiti “scudi” — su sistemi in esecuzione, senza riavvii, aggiornamenti software, interruzioni del servizio o finestre di manutenzione .

Il punto da chiarire è fondamentale: Live Protect non è una patch. Non sostituisce gli aggiornamenti permanenti né la normale gestione del ciclo di vita del software. È invece una misura d’emergenza temporanea e mirata, applicata dopo la divulgazione di una vulnerabilità per ridurre subito l’esposizione, mentre i team testano, pianificano e installano la correzione definitiva attraverso i consueti processi di change management . Cisco descrive questa funzione come una sorta di “sistema immunitario digitale” per i propri prodotti .

Il ruolo di eBPF e Tetragon

Alla base di Live Protect ci sono eBPF, acronimo di extended Berkeley Packet Filter, e Tetragon, tecnologie sviluppate dal team Cisco Isovalent, lo stesso gruppo associato al progetto open source Cilium .

In pratica, eBPF permette di eseguire policy di sicurezza direttamente nel kernel del control plane dello switch. Questo offre visibilità sul contesto completo del sistema e una latenza ridotta rispetto a un’architettura che si limiti a osservare gli eventi dall’esterno .

L’approccio a livello kernel consente di osservare e controllare il comportamento nel punto stesso in cui viene eseguito, invece di affidarsi esclusivamente a sistemi di monitoraggio esterni o a procedure di risposta posticipate. Le protezioni possono intervenire, tra gli altri casi, contro vulnerabilità di escalation dei privilegi e attacchi DDoS rivolti al control plane di rete, monitorando chiamate di sistema, processi e attività sui file .

Le tre modalità degli scudi

Gli scudi di Live Protect possono essere gestiti in tre modalità, così da graduare la risposta in base al rischio e alla fase di validazione :

• Monitor: rileva e registra i comportamenti potenzialmente associati a un exploit, senza bloccarli. È utile per verificare la policy prima dell’applicazione effettiva.
• Enforce: applica il blocco a runtime e impedisce lo sfruttamento della vulnerabilità sul sistema attivo.
• Disable: disattiva uno scudo specifico, ad esempio quando la vulnerabilità non è più rilevante o la policy interferisce con un’operazione legittima.

Un elemento importante è la gestione del ciclo di vita. Dopo l’applicazione della patch permanente e la completa risoluzione della vulnerabilità, lo scudo corrispondente viene ritirato automaticamente . In questo modo i controlli compensativi non rischiano di trasformarsi in modifiche temporanee dimenticate e mantenute indefinitamente nell’ambiente di produzione.

Live Protect è disponibile in generale sugli switch Cisco Nexus 9000 Series. Cisco prevede inoltre l’estensione del supporto ad altri prodotti del proprio portafoglio; tra gli apparati indicati figurano anche gli Smart Switch N9300 Series .

Perché Claude Mythos ha cambiato la strategia

All’inizio di aprile 2026, Anthropic ha presentato Claude Mythos Preview, un modello frontier non rilasciato pubblicamente e capace, secondo i test dell’azienda, di identificare e scrivere exploit funzionanti per vulnerabilità zero-day nei principali sistemi operativi e browser . Alcuni difetti erano sopravvissuti a decenni di revisione umana e a milioni di test automatizzati .

Cisco era tra i 12 partner iniziali di Project Glasswing, il programma ad accesso limitato di Anthropic per usare Mythos in modo difensivo, individuando e correggendo vulnerabilità prima che potessero essere sfruttate .

La conseguenza operativa è il cosiddetto “exploit window”, cioè il periodo in cui una vulnerabilità è nota ma la patch non è ancora stata distribuita. Se gli attaccanti possono automatizzare la ricerca e la costruzione degli exploit, attendere la prossima finestra di manutenzione non è più una strategia sufficiente. È in questo spazio che Cisco colloca gli scudi runtime di Live Protect.

Divulgazioni di sicurezza due volte al mese

Cisco ha accompagnato il lancio con una modifica al proprio modello di divulgazione delle vulnerabilità. A partire da luglio 2026, l’azienda è passata da un approccio basato soprattutto su comunicazioni ad hoc ed emergenziali a un calendario programmato due volte al mese :

• le divulgazioni sono previste per il primo e il terzo mercoledì di ogni mese;
• Cisco fornirà sette giorni di preavviso sulle tecnologie interessate da ciascun rilascio;
• l’obiettivo è permettere ai clienti di pianificare con maggiore prevedibilità test, aggiornamenti e finestre di manutenzione, invece di reagire a comunicazioni pubblicate su tempistiche imprevedibili .

Secondo Cisco, l’accelerazione della ricerca delle vulnerabilità da parte dell’IA ha reso insostenibile il modello puramente reattivo . Un calendario regolare non elimina la necessità di applicare rapidamente le patch, ma offre ai team una struttura più prevedibile per organizzare le attività.

Cisco Cloud Control: IA agentica per l’infrastruttura

Live Protect non è stata l’unica novità presentata a Cisco Live 2026. Cisco ha annunciato anche Cisco Cloud Control, una piattaforma di IA agentica per gestire e proteggere infrastrutture IT critiche .

La piattaforma si basa sul Cisco Data Fabric, alimentato dalla piattaforma Splunk, e punta a fornire telemetria trasversale tra prodotti, piattaforme, servizi e agenti Cisco. Modelli di IA progettati per casi d’uso specifici dovrebbero supportare le operazioni, la raccolta e l’interpretazione della telemetria e il miglioramento del livello di sicurezza . L’iniziativa comprende anche la preparazione di reti e sistemi di cifratura alle minacce dell’era post-quantistica .

Resilient Infrastructure Services in tre fasi

Cisco ha inoltre presentato Resilient Infrastructure Services, un framework di servizi strutturato in tre fasi per affrontare la gestione delle vulnerabilità in un contesto accelerato dall’IA. La disponibilità è prevista a partire da luglio 2026 .

• Fase 1 — Valutazione dell’esposizione: individuazione immediata della superficie d’attacco e mappatura delle minacce, con azioni operative e di sicurezza ordinate per priorità.
• Fase 2 — Remediation strutturata: applicazione dei controlli compensativi e definizione del percorso verso l’installazione delle patch definitive mentre i team di prodotto preparano le correzioni.
• Fase 3 — Resilienza continua: attività di rafforzamento e adattamento costanti in risposta all’evoluzione delle capacità di Cisco e delle minacce .

Le tre fasi non devono essere interpretate come passaggi rigidamente consecutivi: formano un ciclo iterativo che si adatta al mutare del panorama degli attacchi .

Una difesa continua, non più soltanto periodica

L’insieme degli annunci segnala un cambiamento nella filosofia di sicurezza di Cisco. L’applicazione delle patch resta indispensabile, ma la difesa dalle vulnerabilità non viene più considerata soltanto un’attività periodica di manutenzione.

Live Protect interviene nel frattempo con scudi runtime incorporati nel sistema operativo; il nuovo calendario delle divulgazioni rende più prevedibile la pianificazione; Cloud Control aggiunge un livello di gestione e telemetria basato sull’IA; Resilient Infrastructure Services organizza valutazione, mitigazione e rafforzamento in un processo continuo.

La sintesi è semplice: non è una patch, è uno scudo. Per gli operatori di rete alle prese con exploit che possono essere generati più rapidamente di quanto un’organizzazione riesca ad aggiornare i propri sistemi, quello scudo serve a guadagnare il tempo necessario per applicare la correzione definitiva.

Anthropic ha giudicato Mythos troppo rischioso per una distribuzione generale e ha scelto di collaborare con un gruppo ristretto di partner, tra cui Cisco, per utilizzarlo a scopo difensivo . La lezione per chi gestisce infrastrutture è chiara: l’IA può scoprire e trasformare i difetti software in exploit a una velocità superiore a quella dei normali processi umani di analisi e correzione. Il tradizionale intervallo tra vulnerabilità e patch, un tempo misurato in settimane, può ridursi a pochi minuti .

A Cisco Live 2026, Cisco ha risposto con Live Protect, una piattaforma di sicurezza runtime pensata per proteggere l’infrastruttura durante il periodo compreso tra la divulgazione di una vulnerabilità e l’applicazione della correzione definitiva.

Che cos’è Cisco Live Protect?

Cisco Live Protect è una funzionalità di sicurezza integrata direttamente in NX-OS, il sistema operativo degli switch Cisco Nexus. Consente agli amministratori di distribuire controlli compensativi convalidati da Cisco — definiti “scudi” — su sistemi in esecuzione, senza riavvii, aggiornamenti software, interruzioni del servizio o finestre di manutenzione .

Il punto da chiarire è fondamentale: Live Protect non è una patch. Non sostituisce gli aggiornamenti permanenti né la normale gestione del ciclo di vita del software. È invece una misura d’emergenza temporanea e mirata, applicata dopo la divulgazione di una vulnerabilità per ridurre subito l’esposizione, mentre i team testano, pianificano e installano la correzione definitiva attraverso i consueti processi di change management . Cisco descrive questa funzione come una sorta di “sistema immunitario digitale” per i propri prodotti .

Il ruolo di eBPF e Tetragon

Alla base di Live Protect ci sono eBPF, acronimo di extended Berkeley Packet Filter, e Tetragon, tecnologie sviluppate dal team Cisco Isovalent, lo stesso gruppo associato al progetto open source Cilium .

In pratica, eBPF permette di eseguire policy di sicurezza direttamente nel kernel del control plane dello switch. Questo offre visibilità sul contesto completo del sistema e una latenza ridotta rispetto a un’architettura che si limiti a osservare gli eventi dall’esterno .

L’approccio a livello kernel consente di osservare e controllare il comportamento nel punto stesso in cui viene eseguito, invece di affidarsi esclusivamente a sistemi di monitoraggio esterni o a procedure di risposta posticipate. Le protezioni possono intervenire, tra gli altri casi, contro vulnerabilità di escalation dei privilegi e attacchi DDoS rivolti al control plane di rete, monitorando chiamate di sistema, processi e attività sui file .

Le tre modalità degli scudi

Gli scudi di Live Protect possono essere gestiti in tre modalità, così da graduare la risposta in base al rischio e alla fase di validazione :

• Monitor: rileva e registra i comportamenti potenzialmente associati a un exploit, senza bloccarli. È utile per verificare la policy prima dell’applicazione effettiva.
• Enforce: applica il blocco a runtime e impedisce lo sfruttamento della vulnerabilità sul sistema attivo.
• Disable: disattiva uno scudo specifico, ad esempio quando la vulnerabilità non è più rilevante o la policy interferisce con un’operazione legittima.

Un elemento importante è la gestione del ciclo di vita. Dopo l’applicazione della patch permanente e la completa risoluzione della vulnerabilità, lo scudo corrispondente viene ritirato automaticamente . In questo modo i controlli compensativi non rischiano di trasformarsi in modifiche temporanee dimenticate e mantenute indefinitamente nell’ambiente di produzione.

Live Protect è disponibile in generale sugli switch Cisco Nexus 9000 Series. Cisco prevede inoltre l’estensione del supporto ad altri prodotti del proprio portafoglio; tra gli apparati indicati figurano anche gli Smart Switch N9300 Series .

Perché Claude Mythos ha cambiato la strategia

All’inizio di aprile 2026, Anthropic ha presentato Claude Mythos Preview, un modello frontier non rilasciato pubblicamente e capace, secondo i test dell’azienda, di identificare e scrivere exploit funzionanti per vulnerabilità zero-day nei principali sistemi operativi e browser . Alcuni difetti erano sopravvissuti a decenni di revisione umana e a milioni di test automatizzati .

Cisco era tra i 12 partner iniziali di Project Glasswing, il programma ad accesso limitato di Anthropic per usare Mythos in modo difensivo, individuando e correggendo vulnerabilità prima che potessero essere sfruttate .

La conseguenza operativa è il cosiddetto “exploit window”, cioè il periodo in cui una vulnerabilità è nota ma la patch non è ancora stata distribuita. Se gli attaccanti possono automatizzare la ricerca e la costruzione degli exploit, attendere la prossima finestra di manutenzione non è più una strategia sufficiente. È in questo spazio che Cisco colloca gli scudi runtime di Live Protect.

Divulgazioni di sicurezza due volte al mese

Cisco ha accompagnato il lancio con una modifica al proprio modello di divulgazione delle vulnerabilità. A partire da luglio 2026, l’azienda è passata da un approccio basato soprattutto su comunicazioni ad hoc ed emergenziali a un calendario programmato due volte al mese :

• le divulgazioni sono previste per il primo e il terzo mercoledì di ogni mese;
• Cisco fornirà sette giorni di preavviso sulle tecnologie interessate da ciascun rilascio;
• l’obiettivo è permettere ai clienti di pianificare con maggiore prevedibilità test, aggiornamenti e finestre di manutenzione, invece di reagire a comunicazioni pubblicate su tempistiche imprevedibili .

Secondo Cisco, l’accelerazione della ricerca delle vulnerabilità da parte dell’IA ha reso insostenibile il modello puramente reattivo . Un calendario regolare non elimina la necessità di applicare rapidamente le patch, ma offre ai team una struttura più prevedibile per organizzare le attività.

Cisco Cloud Control: IA agentica per l’infrastruttura

Live Protect non è stata l’unica novità presentata a Cisco Live 2026. Cisco ha annunciato anche Cisco Cloud Control, una piattaforma di IA agentica per gestire e proteggere infrastrutture IT critiche .

La piattaforma si basa sul Cisco Data Fabric, alimentato dalla piattaforma Splunk, e punta a fornire telemetria trasversale tra prodotti, piattaforme, servizi e agenti Cisco. Modelli di IA progettati per casi d’uso specifici dovrebbero supportare le operazioni, la raccolta e l’interpretazione della telemetria e il miglioramento del livello di sicurezza . L’iniziativa comprende anche la preparazione di reti e sistemi di cifratura alle minacce dell’era post-quantistica .

Resilient Infrastructure Services in tre fasi

Cisco ha inoltre presentato Resilient Infrastructure Services, un framework di servizi strutturato in tre fasi per affrontare la gestione delle vulnerabilità in un contesto accelerato dall’IA. La disponibilità è prevista a partire da luglio 2026 .

• Fase 1 — Valutazione dell’esposizione: individuazione immediata della superficie d’attacco e mappatura delle minacce, con azioni operative e di sicurezza ordinate per priorità.
• Fase 2 — Remediation strutturata: applicazione dei controlli compensativi e definizione del percorso verso l’installazione delle patch definitive mentre i team di prodotto preparano le correzioni.
• Fase 3 — Resilienza continua: attività di rafforzamento e adattamento costanti in risposta all’evoluzione delle capacità di Cisco e delle minacce .

Le tre fasi non devono essere interpretate come passaggi rigidamente consecutivi: formano un ciclo iterativo che si adatta al mutare del panorama degli attacchi .

Una difesa continua, non più soltanto periodica

L’insieme degli annunci segnala un cambiamento nella filosofia di sicurezza di Cisco. L’applicazione delle patch resta indispensabile, ma la difesa dalle vulnerabilità non viene più considerata soltanto un’attività periodica di manutenzione.

Live Protect interviene nel frattempo con scudi runtime incorporati nel sistema operativo; il nuovo calendario delle divulgazioni rende più prevedibile la pianificazione; Cloud Control aggiunge un livello di gestione e telemetria basato sull’IA; Resilient Infrastructure Services organizza valutazione, mitigazione e rafforzamento in un processo continuo.

La sintesi è semplice: non è una patch, è uno scudo. Per gli operatori di rete alle prese con exploit che possono essere generati più rapidamente di quanto un’organizzazione riesca ad aggiornare i propri sistemi, quello scudo serve a guadagnare il tempo necessario per applicare la correzione definitiva.