Il settore della sicurezza informatica si trova ad affrontare un improvviso e massiccio aumento delle vulnerabilità del software, un fenomeno descritto come una “crisi di scoperta di bug zero-day”. Spinto dal rapido progresso dell’intelligenza artificiale, l’enorme volume di bug segnalati sta superando la capacità degli sviluppatori e dei team di sicurezza di risolverli.
Una crisi di scala
La portata di questo afflusso non ha precedenti. I dati della Zero Day Initiative, il più grande programma di bug bounty indipendente dal fornitore al mondo, mostrano uno sconcertante aumento del 490% degli invii questo mese rispetto allo stesso periodo dell’anno scorso.
Non si tratta semplicemente di più segnalazioni; si tratta di un cambiamento fondamentale nel modo in cui vengono individuate le vulnerabilità. Questo “diluvio” sta costringendo le organizzazioni a prendere decisioni drastiche:
– Il programma Internet Bug Bounty ha completamente bloccato nuovi invii per gestire il carico di lavoro.
– cURL, un pezzo vitale di software open source, ha sospeso il suo programma di taglie per combattere il “rumore” e ridurre il carico mentale sui manutentori volontari.
– I team di sicurezza stanno lottando con il “triage”, il processo di smistamento di migliaia di report per determinare quali sono minacce reali e quali sono “slop AI” (report automatizzati di bassa qualità).
Dal “rumore” alle minacce di elevata gravità
Inizialmente, gli esperti temevano che l’intelligenza artificiale avrebbe generato principalmente report di “bassa qualità”, ovvero invii automatizzati e privi di senso che avrebbero fatto perdere tempo agli sviluppatori. Tuttavia, la tendenza si sta spostando verso qualcosa di molto più pericoloso.
Daniel Stenberg, sviluppatore principale di cURL, nota un’inversione critica: mentre il volume delle segnalazioni è elevato, anche la gravità e la qualità di questi bug stanno aumentando. Riferisce che il tasso di vulnerabilità confermate ora corrisponde o addirittura supera i livelli pre-AI.
Questo cambiamento è esemplificato dal recente sviluppo di Anthropic, Claude Mythos. Il modello di intelligenza artificiale ha dimostrato una capacità avanzata di scoprire e sfruttare autonomamente le vulnerabilità zero-day su tutti i principali sistemi operativi. Anthropic ha rivelato di aver trovato così tanti bug che possono rivelare prima solo quelli più gravi per evitare di sopraffare i manutentori. Hanno anche notato una statistica che fa riflettere: meno dell’1% delle vulnerabilità scoperte sono state completamente risolte dai rispettivi manutentori.
Le dinamiche della “corsa agli armamenti”.
Questa impennata evidenzia un crescente squilibrio nel panorama della sicurezza informatica. Sebbene l’intelligenza artificiale fornisca strumenti ai difensori, aumenta anche in modo significativo la produttività degli autori delle minacce.
| Aspetto | Impatto dell’intelligenza artificiale |
|---|---|
| Velocità di scoperta | Accelerando in modo esponenziale; trovare bug più velocemente di quanto gli umani riescano a risolverli. |
| Gravità della vulnerabilità | Passando da un “rumore” di basso livello a difetti zero-day critici e sfruttabili. |
| Vincolo delle risorse | Sovraccaricando i volontari open source e persino le grandi aziende come Microsoft. |
| Processo di triage | Richiedere l’IA per combattere l’IA; le aziende ora utilizzano modelli per filtrare lo “slop dell’intelligenza artificiale”. |
Microsoft ha recentemente rilasciato il secondo più grande aggiornamento di sicurezza mensile della storia, con molti esperti che indicano come probabile causa la scoperta basata sull’intelligenza artificiale. Anche se l’azienda è stata cauta nell’attribuire questo fenomeno esclusivamente all’intelligenza artificiale, la correlazione è difficile da ignorare.
Il percorso da seguire: ridimensionare la difesa
Il settore è attualmente intrappolato in un circolo vizioso. Per combattere l’ondata di bug generati dall’intelligenza artificiale, le organizzazioni di sicurezza sono costrette a utilizzare esse stesse l’intelligenza artificiale per classificare e filtrare i rapporti in arrivo.
La sfida centrale è quella della velocità. Se la velocità con cui i ricercatori (e gli hacker) trovano le vulnerabilità continua a superare la velocità con cui gli sviluppatori possono scrivere, testare e distribuire patch, la finestra di opportunità per gli aggressori si allargherà.
“Dobbiamo capire come aumentare le nostre soluzioni con la stessa rapidità con cui i ricercatori (e gli aggressori) aumentano le loro scoperte”, avverte Dustin Childs della Zero Day Initiative.
Conclusione
L’aumento della scoperta delle vulnerabilità basata sull’intelligenza artificiale ha creato un collo di bottiglia nella sicurezza del software, dove l’enorme volume di bug critici minaccia di sopraffare l’infrastruttura globale di patching. Il successo in questa nuova era dipenderà dalla capacità del settore di ampliare le proprie capacità difensive con la stessa rapidità con cui l’intelligenza artificiale aumenta quelle offensive.
