Riassunto:
Secondo il New York Times, l'intelligenza artificiale sta scoprendo le vulnerabilità della sicurezza software a un ritmo senza precedenti e gli ingegneri responsabili della loro risoluzione trovano sempre più difficile tenere il passo. Le aziende tecnologiche e i manutentori di software open source si stanno affrettando a correggere le vulnerabilità prima che gli hacker possano sfruttarle per proteggere il software che alimenta un’ampia gamma di siti Web e servizi online.
Il 21 ottobre, Fouad Matin, responsabile della preparazione e del lavoro di sicurezza della rete OpenAI, aveva inizialmente pianificato di festeggiare il suo compleanno con gli amici la sera.
Ma quel giorno ha dormito solo circa due ore ed era impegnato a coordinare la riparazione di due gravi vulnerabilità della sicurezza scoperte dall'intelligenza artificiale. Una volta sfruttate, queste vulnerabilità potrebbero avere un impatto su un’ampia gamma di servizi Internet. Tra le persone coinvolte nel trattamento figurano ricercatori di sicurezza di startup e giganti della tecnologia, nonché funzionari governativi negli Stati Uniti e in altri paesi.
Nella sua lista di cose da fare, ci sono altre lacune scoperte dall'intelligenza artificiale che aspettano di essere risolte.
Mateen ha affermato che OpenAI ha organizzato più team responsabili della sicurezza della rete e ha investito molta potenza di calcolo per individuare e risolvere i problemi. Ritiene che le società di intelligenza artificiale abbiano la responsabilità di affrontare i rischi rivelati da questa tecnologia, con l’obiettivo finale di scansionare e applicare patch il più possibile al software mondiale.
La velocità di scoperta delle vulnerabilità è aumentata in modo significativo, esercitando una pressione senza precedenti su coloro che risolvono le vulnerabilità.
Secondo OpenAI, l'azienda ha iniziato a utilizzare la propria tecnologia per eseguire la scansione di software open source nel maggio di quest'anno. Da allora, ricercatori interni ed esterni hanno scoperto più di 1.300 vulnerabilità utilizzando il suo modello. Questo tipo di software può essere utilizzato gratuitamente, è ampiamente utilizzato in vari servizi di rete e supporta un gran numero di funzioni di Internet.
Google ha inoltre utilizzato l'intelligenza artificiale per scoprire e correggere 1.072 vulnerabilità nel browser Chrome nel giugno di quest'anno, superando il numero totale risolto nei due anni precedenti. Dall'inizio di quest'anno, Chrome ha risolto vulnerabilità più gravi rispetto agli otto anni precedenti messi insieme.
Microsoft ha rilasciato 1.461 patch solo nell'ottobre di quest'anno, superando le 1.247 patch dell'intero 2025.
Agli occhi di alcuni manutentori del software, questa intensità di lavoro potrebbe essere appena iniziata.
Matteo Collina è il chief technology officer della startup Platformmatic ed è coinvolto nel mantenimento dello strumento di sviluppo open source Node.js. Aziende tecnologiche come Uber e Netflix utilizzano questo strumento.
"Quello che sta succedendo adesso è solo il primo passo e la situazione sarà dieci volte peggiore." Ha detto Collina.
Secondo la OpenJS Foundation, un'organizzazione no-profit che supporta Node.js, quest'anno Node.js ha identificato e corretto 50 vulnerabilità della sicurezza, più di qualsiasi altro anno nella sua storia. Nel febbraio di quest’anno, il progetto ha ricevuto 4,6 volte il consueto numero di segnalazioni di vulnerabilità.
Questo mese, OpenAI ha contattato nuovamente Colina per avvisarlo di una vulnerabilità appena scoperta. I potenziali aggressori potrebbero usarlo per invadere i sistemi su Internet e rubare dati.
Per gestire il crescente numero di segnalazioni, Colina ora lavora sette giorni su sette e lascia che l'agente AI continui a gestire le attività per lui durante la notte.
"Nessuno sa cosa diventerà questa professione in futuro." Ha detto.
In passato, l'individuazione delle vulnerabilità del software era un lavoro che dipendeva in larga misura dall'esperienza personale. Le aziende tecnologiche assumono ricercatori di sicurezza per rivedere il codice e pagano anche gli hacker white hat per trovare e segnalare problemi attraverso programmi "bug bounty".
L'intelligenza artificiale sta cambiando la velocità e il valore di questo lavoro.
Può continuare a cercare, riprendendo laddove i ricercatori umani avrebbero potuto rinunciare. Può anche esaminare piccoli difetti sparsi in diversi codici e combinarli in attacchi pericolosi.
Volker Dusch, ingegnere della sicurezza presso la PHP Foundation, lo capisce chiaramente. La fondazione, che cura il linguaggio di programmazione PHP, la scorsa settimana ha rivelato una grave vulnerabilità scoperta dall'intelligenza artificiale.
Dusch ha affermato che due anni fa scoprire una vulnerabilità della sicurezza è stato un grosso problema. Ora il riconoscimento da parte dei colleghi che ne deriva sta diminuendo e il modo in cui l’intero settore valuta questo lavoro sta cambiando.
Tuttavia, l'aumento delle segnalazioni di vulnerabilità comporta anche un notevole onere aggiuntivo.
Dalla fine dello scorso anno, i manutentori di software open source hanno notato un aumento significativo nel numero di segnalazioni. Alcuni di essi rivelano minacce gravi, altri sono rapporti generati dall’intelligenza artificiale di bassa qualità, confusi e non testati.
Alla fine di gennaio di quest'anno, il progetto open source curl ha annunciato che avrebbe smesso di pagare le bug bounty perché non era in grado di far fronte all'afflusso di segnalazioni.
Allo stesso tempo, le capacità offensive dell'IA rendono anche i difensori sempre più nervosi.
Nell'aprile di quest'anno, Anthropic ha dichiarato che il modello Mythos sviluppato aveva forti capacità di hacking e non poteva essere aperto al pubblico in sicurezza. L’azienda ha quindi reso disponibile il modello a un gruppo di aziende fidate e agenzie governative per ispezionare e applicare patch ai sistemi attraverso un programma chiamato Project Glasswing. OpenAI e Google forniscono inoltre ai difensori modelli di intelligenza artificiale incentrati sulla sicurezza informatica.
Ma i modelli in grado di individuare e sfruttare le vulnerabilità stanno diventando sempre più disponibili.
La società di valutazione dell'intelligenza artificiale Vals AI ha recentemente istituito un compito di attacco simulato, richiedendo al modello di invadere un'azienda fittizia. I risultati del test hanno mostrato che un modello avanzato di OpenAI, aperto solo ai difensori approvati, ha completato l’81% degli obiettivi del test; seguito subito dopo da un modello disponibile gratuitamente della società cinese DeepSeek, con un tasso di completamento del 73%.
Con il proliferare di tali capacità, i team di sicurezza nella Silicon Valley stanno accelerando le indagini. Temono che la stessa vulnerabilità possa presto essere scoperta dagli aggressori.
Un processo di riparazione PHP mostra su chi ricade esattamente questa pressione.
Nel luglio di quest'anno, i ricercatori della società di sicurezza informatica Calif hanno iniziato a consentire agli agenti di intelligenza artificiale di ispezionare PHP. Secondo i rapporti, circa il 70% dei siti web utilizza questo linguaggio di programmazione. Un gruppo di ricerca ha scoperto che una vulnerabilità rimasta nascosta nel codice per più di un decennio potrebbe consentire agli aggressori di eseguire codice dannoso sui siti Web interessati.
Calif ha quindi contattato Dusch e i ricercatori di Wiz, una società di sicurezza di proprietà di Google, che ha scoperto vulnerabilità simili. Sono coinvolti anche gli ingegneri di OpenAI e della PHP Foundation.
Il team ha collaborato per settimane in un canale Slack riservato, coordinando le soluzioni telefonicamente ogni giorno. Il CEO di Calif, Thai Duong, ha affermato che la correzione coinvolge circa 200 file ed è un massiccio aggiornamento della patch.
Mentre preparavano la patch, hanno informato anche le agenzie governative, la società di infrastrutture Internet Cloudflare e altre organizzazioni, sperando di espandere il più possibile la copertura della riparazione.
Il periodo in cui la vulnerabilità è stata rilevata ma non è stata riparata in modo approfondito è diventata la fase più stressante per i partecipanti.
Il CEO di Cloudflare, Matthew Prince, ha affermato di aver trascorso gli ultimi due mesi in uno stato di estrema paura che qualcun altro scoprisse presto la vulnerabilità o che le informazioni venissero trapelate prima che una patch fosse pronta.
Prevede che nei prossimi due anni, in media, ogni settimana apparirà una grave vulnerabilità che colpirà l'intera Internet.
Nel settore della sicurezza ci sono giudizi diversi sulla situazione futura.
Il 22 ottobre, il vice capo responsabile della sicurezza informatica di Anthropic, Jason Clinton, ha dichiarato sui social media che, sebbene la situazione negli ultimi quattro giorni sia stata grave, peggiorerà in futuro prima di migliorare.
Prince ritiene che la scoperta di questi problemi di lunga data renderà Internet più sicuro. Prevede che i prossimi due anni saranno pessimi, ma una volta completata questa tornata di riparazioni, le persone potranno aspettarsi un Internet molto più sicuro.
Commenti