Perché il mio scanner di sicurezza non rileva la classe di vulnerabilità che il mio assistente AI segnala più spesso?
Opportunità
Secondo il rapporto “2026 GenAI Code Security Report” di Veracode, gli assistenti di programmazione basati sull’intelligenza artificiale introducono una vulnerabilità di sicurezza nel 44-72% delle attività di generazione, a seconda del linguaggio utilizzato. Gli attuali strumenti SAST sono stati progettati e ottimizzati in base a modelli di codice scritti dall’uomo; non sono in grado di modellare le firme di vulnerabilità ricorrenti e specifiche del modello che un determinato strumento di IA produce. Uno studio comparativo tra modelli pubblicato su arXiv nel luglio 2026 ha rilevato che diversi modelli di linguaggio (LLM) concentrano il rischio in classi CWE prevedibili e distinte in basi di codice del tutto non correlate, e che gli attuali scanner non dispongono di profili specifici per i modelli in grado di sfruttare questa regolarità. Endorlabs ha confermato nel 2026 che gli scanner a modello fisso non rilevano i difetti che dipendono dal contesto tra i file, che è esattamente il punto in cui il codice generato dall’IA fallisce più spesso. Nessuno scanner di livello produttivo oggi offre profili specifici per il modello che ha generato il codice.
Perché è importante
Uno scanner in grado di riconoscere quale modello abbia generato un file può prevedere e individuare la classe di vulnerabilità che quel modello tende a produrre in modo eccessivo, trasformando una regolarità statistica in un vantaggio preciso in termini di rilevamento.
Come valuto l'opportunità
L'Opportunity Score è la mia valutazione personale, non una misurazione: quanto fa male, con quale frequenza colpisce e quanto poco esiste per risolverlo oggi. Un punteggio più alto significa che lo ritengo più degno di essere sviluppato.
Quanto dolore provoca quando si manifesta.
Quanto spesso le persone ci si imbattono davvero.
Quanti pochi strumenti validi esistono oggi per affrontarlo.
Altri problemi che vale la pena risolvere
Perché il software da cui dipendiamo di più è il peggiore da usare?
TechPerché non possiedo ancora nessuno dei dati che genero?
TechPerché non riesco a ottenere una ricevuta che dimostri che i miei dati sono stati effettivamente eliminati?
TechPerché non posso sapere se ciò che è in esecuzione corrisponde a quanto dichiarato nel mio SBOM?
TechPerché il mio agente IA instrada i dati sanitari europei attraverso un server statunitense senza preavviso?
TechPerché ogni catena di provenienza C2PA si spezza nel momento in cui i contenuti raggiungono i social media?