Perché pubblicare codice scritto dall'IA non lascia alcuna traccia di quale modello lo abbia scritto?
Opportunità
Gli assistenti AI sono ormai autori di una quota significativa e crescente del codice in produzione, ma nessun formato di artefatto registra quale modello, versione o prompt abbia prodotto una determinata funzione. Quando una vulnerabilità è riconducibile a un pattern che una specifica generazione di modelli introduce sistematicamente, non esiste modo di interrogare una codebase o un registro di pacchetti per trovare ogni funzione con la stessa origine. I Software Bill of Materials standardizzati da SPDX e CycloneDX acquisiscono le dipendenze dalle librerie, non la provenienza della paternità del codice sorgente. Il sondaggio Cloudsmith sulla supply chain del 2026 ha rilevato che il 29 percento degli intervistati identifica il rischio dei pacchetti generati dall'IA come la principale preoccupazione per la sicurezza open source, e tre quarti delle organizzazioni trattano gli SBOM come artefatti di conformità statici piuttosto che strumenti di governance attiva. L'EU AI Act e l'US Executive Order on AI fanno entrambi riferimento all'integrità della supply chain del software, ma nessuno dei due specifica w
Perché è importante
La provenienza della paternità dell'IA è il divario negli SBOM che definirà il prossimo decennio di audit della supply chain software e di risposta agli incidenti.
Come valuto l'opportunità
L'Opportunity Score è la mia valutazione personale, non una misurazione: quanto fa male, con quale frequenza colpisce e quanto poco esiste per risolverlo oggi. Un punteggio più alto significa che lo ritengo più degno di essere sviluppato.
Quanto dolore provoca quando si manifesta.
Quanto spesso le persone ci si imbattono davvero.
Quanti pochi strumenti validi esistono oggi per affrontarlo.
Altri problemi che vale la pena risolvere
Perché il software da cui dipendiamo di più è il peggiore da usare?
TechPerché non possiedo ancora nessuno dei dati che genero?
TechPerché non riesco a ottenere una ricevuta che dimostri che i miei dati sono stati effettivamente eliminati?
TechPerché non posso sapere se ciò che è in esecuzione corrisponde a quanto dichiarato nel mio SBOM?
TechPerché ogni catena di provenienza C2PA si spezza nel momento in cui i contenuti raggiungono i social media?
TechPerché i miei test generati dall'IA non rilevano i bug che avrebbero dovuto individuare?