Project Glasswing: L’AI Trova Bug, Ma Chi Li Risolverà?

Recentemente, Anthropic ha sollevato un grande polverone con l’annuncio di Project Glasswing, un modello di intelligenza artificiale capace di identificare vulnerabilità nel software con una precisione impressionante. Un tale avanzamento ha spinto l’azienda a posticipare il rilascio pubblico del modello, concedendo accesso solo a giganti come Apple, Microsoft e Google, per aiutarli a trovare e correggere i bug prima che possano essere sfruttati.

Il Potere Scoperto dell’Intelligenza Artificiale

Il modello Mythos, centrale nel progetto Glasswing, ha rivelato difetti in ogni sistema operativo e browser principale, scoprendo bug che erano sfuggiti a decenni di esami umani e test approfonditi. Alcuni di questi erano addirittura presenti nel codice per oltre 27 anni, come nel caso di una vulnerabilità in OpenBSD, noto per la sua sicurezza. Questo risultato apre interrogativi sul panorama della cybersecurity: se la tecnologia è in grado di scoprire così tante fragilità, perché meno dell’1% viene effettivamente corretto?

La Corsa Contro il Tempo: Velocità degli Attaccanti vs. delle Difese

Le attuali difese informatiche operano secondo un ritmo lento. La maggior parte delle aziende impiega diversi giorni per identificare e risolvere vulnerabilità, mentre gli attaccanti attuano strategie che possono sfruttare l’AI per muoversi e colpire con una rapidità mai vista prima. Ad esempio, un attacco recente ha coinvolto 2.516 organizzazioni in 106 paesi, con un’intera catena di attacchi eseguita autonomamente da AI. Questa disparità di velocità ha aperto la porta a una crescente lacuna nel settore della sicurezza informatica.

Creare un Programma di Sicurezza Pronto per Mythos

Dopo aver appreso dell’efficacia di Glasswing, aziende e istituzioni devono riconsiderare come gestire le vulnerabilità. La vera domanda non è più “come trovare più bug”, ma piuttosto “come possiamo gestire migliaia di vulnerabilità ogni giorno?”. Molte organizzazioni, purtroppo, non sono pronte. La struttura attuale è basata su processi manuali e periodici che non sono in grado di affrontare il flusso massiccio di informazioni che una tecnologia come Mythos può generare.

Validazione in Tempo Reale

Un innegabile passo avanti è l’importanza della validazione in tempo reale. È fondamentale testare le difese ogni volta che una nuova minaccia emerge, senza aspettare i consueti audit trimestrali. Questa proattività è essenziale nell’attuale panorama della cybersicurezza, dove le minacce si evolvono costantemente.

Contestualizzazione delle Vulnerabilità

Un’altra necessità è una maggiore contestualizzazione delle vulnerabilità. I punteggi CVSS, sebbene utili, non forniscono informazioni sufficienti per decidere quali vulnerabilità affrontare. È cruciale considerare in che modo ogni vulnerabilità possa influenzare l’infrastruttura specifica di un’organizzazione, evitando di rimanere bloccati in frameworks generali e non adatti a scenari reali.

Conclusione

In un futuro dominato da tecnologie avanzate come Project Glasswing, la capacità di scoprire vulnerabilità non è sufficiente se non accompagnata da un piano efficace per la loro correzione. Le aziende italiane, come quelle globali, devono adattarsi a queste nuove dinamiche, investendo in processi di gestione delle vulnerabilità che siano agili, tempestivi e contestualizzati. Questa non è solo una questione di sicurezza informatica; è una questione di resilienza e capacità di adattamento nell’era digitale che ci attende.