tutta una questione di velocità

Le vulnerabilità vengono individuate sempre più velocemente, spesso grazie all’intelligenza artificiale. È un cambiamento che potrebbe far pensare a un aumento del rischio legato all’open source, oggi presente in oltre tre quarti del codice utilizzato dalle imprese. L’analisi di Chris Wright, Chief Technology Officer e Senior Vice President di Red Hat, propone però una lettura diversa: il problema non è l’open source, ma la capacità delle organizzazioni di reagire con la stessa rapidità con cui emergono le nuove minacce.

Cybersecurity: l’AI accelera la scoperta delle vulnerabilità, ma le aziende faticano a stare al passo

Negli ultimi anni gli strumenti basati sull’intelligenza artificiale hanno cambiato il modo in cui vengono individuate le vulnerabilità software. Se in passato potevano servire mesi per scoprire una falla critica, oggi bastano poche ore. È un’accelerazione che riguarda l’intero ecosistema digitale e che mette sotto pressione soprattutto i processi interni delle aziende.

Secondo Wright, questo scenario non dimostra che l’open source sia diventato meno sicuro. Al contrario, la natura aperta del codice continua a rappresentare uno dei suoi principali punti di forza. Chiunque può analizzare il software, individuare anomalie e contribuire alla loro risoluzione. Lo stesso principio, osserva il manager di Red Hat, oggi beneficia anche dell’AI, che aumenta enormemente la capacità di ispezione del codice.

La criticità emerge altrove. Il numero di vulnerabilità registrate continua a crescere e, dal 2016, le CVE pubblicate sono aumentate di oltre il 520%. Nonostante questo, meno dell’1% delle vulnerabilità individuate dall’intelligenza artificiale è stato corretto. Il divario, quindi, non riguarda la capacità di trovare i problemi, ma quella di portarli rapidamente in produzione sotto forma di patch, dopo verifiche, test e procedure di approvazione.

A complicare ulteriormente il quadro c’è un altro elemento: molte grandi organizzazioni utilizzano gli stessi componenti open source, come Spring Framework, Log4j, OpenSSL o Pandas. Eppure, invece di condividere il lavoro, finiscono spesso per analizzare le stesse vulnerabilità in modo indipendente, sviluppare correzioni separate e mantenere modifiche private che restano inutilizzabili per il resto della community. Il risultato è uno spreco di risorse che rallenta tutti e lascia l’ecosistema esposto più a lungo.

Dalla collaborazione alla remediation automatizzata: come cambia la sicurezza della supply chain

Per ridurre davvero il tempo di esposizione alle minacce, l’analisi individua una serie di interventi concreti. Il primo riguarda la scelta di fornitori che contribuiscano attivamente ai progetti open source che distribuiscono, partecipando allo sviluppo, al backporting delle patch e alla gestione responsabile delle vulnerabilità.

Un altro passaggio fondamentale consiste nel costruire un inventario completo delle dipendenze software, così da sapere con precisione quali librerie e quali versioni siano realmente presenti nei sistemi aziendali. Da qui diventa possibile misurare il tempo necessario per far arrivare una correzione dalla community fino agli ambienti di produzione, individuando i colli di bottiglia che rallentano il processo.

La velocità, però, richiede anche un cambio di approccio. Wright sottolinea la necessità di automatizzare le pipeline di rebuild e redeploy, perché aggiornamenti gestiti manualmente non riescono più a tenere il passo con un panorama di minacce che evolve nell’arco di poche ore.

In questa prospettiva si inserisce anche Project Lightwell, iniziativa sviluppata congiuntamente da IBM e Red Hat per automatizzare la remediation delle vulnerabilità e riportare le correzioni direttamente nei progetti open source di origine. L’obiettivo non è creare fork privati destinati a essere mantenuti nel tempo, ma interrompere un ciclo che aumenta costi e complessità, facendo confluire ogni miglioramento nella base di codice condivisa.

L’idea di fondo attraversa tutta l’analisi: la sicurezza dell’open source non dipende soltanto dalla qualità del codice, ma dalla capacità dell’intero ecosistema di collaborare e distribuire rapidamente le correzioni. In un contesto in cui l’AI accelera la scoperta delle vulnerabilità, la differenza non la farà chi le individua per primo, ma chi riuscirà a trasformare quella scoperta in una protezione efficace nel minor tempo possibile.

Amazon Fire TV Stick HD (ultimo modello), TV gratuita e in diretta, telecomando vocale Alexa, alimentazione tramite TV, configurazione semplice, trova serie TV più velocemente con Alexa+

• Potenzia la tua TV in un batter d’occhio: Fire TV Stick HD è il nostro dispositivo per lo streaming in HD più veloce di sempre, con una navigazione semplificata che ti porta direttamente ai tuoi film, serie TV e TV in diretta. Porta il tuo intrattenimento sempre con te grazie al nuovo design ultra-portatile. E guarda i contenuti prendere vita con immagini nitide in Full HD e supporto Wi-Fi 6.
• La nuova esperienza Fire TV (versione 2026): il nostro più grande aggiornamento di Fire TV introduce un design nuovo e moderno che ti porta rapidamente ai tuoi contenuti di intrattenimento. Sfoglia categorie di contenuti dedicate, aggiungi più app ai preferiti e ricevi consigli personalizzati da Alexa+. Meno tempo a scorrere, più tempo a guardare.
• Tutte le tue app in un unico posto: Prime Video, Netflix, YouTube, Disney+, Raiplay, Mediaset Infinity, Timvision, Apple TV, HBO Max e migliaia di altre. È facile trovare cosa guardare tra centinaia di migliaia di film ed episodi TV, inclusi oltre migliaia di episodi di contenuti gratuiti con pubblicità. Potrebbero essere applicati costi di abbonamento.
• Il nostro lettore multimediale più portatile: sottile e leggero, senza ingombri extra. Si collega direttamente alla porta HDMI della TV senza bloccare le altre porte.
• Più facile che mai da configurare: grazie all’alimentazione diretta, il dispositivo è alimentato dalla tua TV con il cavo USB-C incluso, senza bisogno di un adattatore da parete.