L’intelligenza artificiale sta cambiando radicalmente il modo in cui si sviluppa il software. Dagli assistenti di coding ai sistemi di sviluppo sempre più autonomi, le organizzazioni stanno entrando in un’era in cui le applicazioni possono essere create, distribuite ed aggiornate a una velocità senza precedenti. Naturalmente, questo cambiamento comporta chiari vantaggi, ma cambia profondamente anche il modo in cui la sicurezza deve essere affrontata.
Il dibattito sullo sviluppo software assistito dall’intelligenza artificiale si è concentrato soprattutto sulla sicurezza del codice generato. Infatti, gli strumenti di IA possono introdurre logiche errate, dipendenze non sicure o funzioni “allucinate” che sembrano plausibili, ma che comportano dei rischi. Per questo gli sviluppatori hanno ancora bisogno di controlli solidi, test accurati e revisione continua in ogni fase del processo.
Ma le applicazioni non operano in modo isolato. Si inseriscono in un contesto che comprende infrastrutture cloud, API, sistemi di gestione delle identità, strumenti SaaS, componenti open source, integrazioni di terze parti e, in molte organizzazioni, la tecnologia operativa (OT). Ed è proprio in questo ecosistema che oggi si concentra gran parte dell’esposizione cyber. Molte organizzazioni verificano il codice mentre viene scritto, ma spesso non hanno una visione completa dell’ambiente in cui quel codice verrà eseguito. Così facendo, si individuano i singoli problemi, senza però considerare come questi siano collegati tra loro. E, con l’accelerazione dello sviluppo basato sull’intelligenza artificiale, questo divario diventa sempre più difficile da gestire.
Indice degli argomenti
L’IA sta amplificando l’esposizione cyber
L’intelligenza artificiale ha abbassato drasticamente la soglia di accesso alla creazione di software. Oggi più persone, con meno competenze tecniche, possono sviluppare applicazioni e generare codice in modo rapido e con uno sforzo minimo rispetto al passato.
Questo sta creando una nuova forma di esposizione informatica. Il punto non è solo che l’IA possa scrivere codice imperfetto; il problema è che può produrne di più, più in fretta e in più aree dell’azienda. Ogni nuova applicazione, ogni API, ogni integrazione e ogni dipendenza aggiunge un ulteriore potenziale punto d’ingresso per gli attaccanti.
Per questo non è possibile considerare i potenziali rischi solo dopo che il software è stato scritto o implementato. La sicurezza deve accompagnare gli strumenti di sviluppo basati sull’IA durante la generazione del codice, intervenendo in tempo reale per individuare comportamenti rischiosi e prevenire gli errori prima che entrino nel software.
Per riuscirci, però, non basta la classica scansione del codice. Serve una comprensione più ampia dell’esposizione che quel codice può creare una volta inserito nel contesto aziendale.
Anche il codice pulito ha bisogno di contesto
Una riga di codice sicura può comunque contribuire a rendere insicuro un sistema. Ad esempio, un’applicazione generata dall’intelligenza artificiale può utilizzare librerie approvate, superare l’analisi statica ed evitare vulnerabilità evidenti. Tuttavia, se viene implementata con autorizzazioni eccessive, collegata a dati sensibili o esposta tramite un’API scarsamente protetta, il profilo di rischio cambia completamente.
Lo stesso vale per le dipendenze. Un team di sviluppo può concentrarsi sulla presenza di vulnerabilità note in un pacchetto, ma gli aggressori spesso cercano catene di debolezza. Questi ultimi possono sfruttare un servizio esposto, un’identità configurata in modo errato, un componente obsoleto e una lacuna nelle autorizzazioni cloud per creare un percorso di attacco. I singoli problemi potrebbero non sembrare critici di per sé, ma insieme possono diventare la via d’accesso all’organizzazione.
Ecco perché la consapevolezza contestuale è fondamentale. I team di sicurezza devono comprendere come si interconnettono risorse, identità, applicazioni, infrastrutture e processi aziendali. Devono sapere quali vulnerabilità sono solo teoriche, quali sono effettivamente sfruttabili e quali potrebbero avere il maggiore impatto operativo.
L’Application Security tradizionale non basta più
Gli strumenti di sviluppo basati sull’intelligenza artificiale sono in grado di generare rapidamente grandi volumi di codice. Gli agenti autonomi possono prendere decisioni, richiamare API, aggiornare i sistemi ed eseguire attività in diversi ambienti. Inoltre, le piattaforme low-code e no-code consentono a un numero sempre maggiore di team, al di fuori del settore ingegneristico tradizionale, di sviluppare servizi digitali. Il risultato è un ecosistema di sviluppo più distribuito e più difficile da gestire.
Gli strumenti tradizionali di Application Security (AppSec) continuano ad avere un ruolo importante, ma da soli non sono più sufficienti. La sola analisi del codice non permette a un’organizzazione di sapere se un nuovo servizio generato dall’intelligenza artificiale abbia accesso a dati sensibili dei clienti. Non mostra se un’identità disponga di autorizzazioni eccessive nei sistemi cloud, né rivela se un problema apparentemente a basso rischio possa, insieme ad altre vulnerabilità, compromettere una risorsa critica.
I team di sicurezza devono passare dall’analisi di singoli casi alla valutazione dei rischi in un contesto più ampio. Devono intervenire in una fase più precoce del processo di sviluppo. Se l’intelligenza artificiale contribuisce alla scrittura del software, i team di sicurezza devono essere in grado di guidare tale processo in tempo reale, correggendo le decisioni non sicure prima che vengano integrate nel codice o nei flussi di lavoro.
Trasformare il caos dell’IA in controllo
Le organizzazioni stanno già passando da esperimenti di IA su piccola scala a sistemi più integrati e autonomi, in grado di operare in tutti i flussi di lavoro; pertanto, la prossima fase dell’IA aziendale dipenderà dal controllo.
Senza una solida governance, l’intelligenza artificiale può generare confusione. I tool AI possono essere in grado di generare codice, innescare azioni, interagire con i dati e collegare sistemi in modo immediato, ma molte organizzazioni non hanno ancora una chiara comprensione di dove tali strumenti operino, a cosa possano accedere o di come le loro azioni possano influire sull’azienda nel suo complesso.
Le organizzazioni devono comprendere cosa gli strumenti di IA possono vedere, cosa modificano, con quali sistemi interagiscono e quale esposizione possono creare. Ma devono anche collegare tale comprensione all’impatto sul business, in modo che i team possano dare priorità alle questioni più rilevanti.
La gestione dell’esposizione ai rischi informatici sta assumendo un ruolo centrale in questo cambiamento. Aiuta le organizzazioni a superare la gestione reattiva delle vulnerabilità per arrivare a una comprensione continua di come si configurano i rischi nell’intero ambiente. Anziché considerare ogni problema allo stesso modo, consente ai team di concentrarsi sulle esposizioni che creano reali vie di accesso alle interruzioni dell’attività.
Mettere in sicurezza il futuro dello sviluppo guidato dall’IA
Il software generato dall’intelligenza artificiale non scomparirà. E non dovrebbe farlo. Gli incrementi di produttività sono troppo significativi e la pressione a innovare è troppo forte.
Ma le organizzazioni non possono considerare lo sviluppo dell’IA semplicemente come una versione più veloce del vecchio modello, in quanto modifica l’intero panorama dell’esposizione informatica.
Il rafforzamento della sicurezza del codice rimane fondamentale. Gli sviluppatori hanno bisogno di strumenti sicuri, processi di revisione rigorosi e correzioni in tempo reale quando i sistemi di intelligenza artificiale forniscono raccomandazioni non sicure. Ma la sicurezza deve estendersi anche oltre il codice stesso.
La vera sfida è capire l’esposizione nel suo contesto. Il futuro dello sviluppo sicuro non dipenderà solo dal rafforzamento del codice. Dipenderà dalla capacità delle organizzazioni di dare all’IA regole chiare e limiti precisi, mantenere la consapevolezza del contesto in ambienti complessi e intervenire sulle esposizioni che contano prima che lo facciano gli attaccanti.
Partecipa alla community