Perché nel 2026 stanno esplodendo le vulnerabilità: AI trova bug che nessuno vedeva

Il 2026 sta mettendo sotto pressione i team incaricati della sicurezza del software.

L’aumento delle vulnerabilità individuate con strumenti di Intelligenza Artificiale sta infatti creando un problema insolito: trovare i difetti è diventato più rapido, mentre verificarli, correggerli e distribuire le patch richiede ancora tempi e risorse umane.

Craig Lawson, research vice president di Gartner, ritiene che questa fase possa produrre un effetto diverso nel 2027. Secondo la sua analisi, l’impiego di strumenti come Mythos di Anthropic potrebbe accelerare la rimozione del technical debt accumulato nelle basi di codice mature. Non significa necessariamente meno CVE in assoluto, ma potrebbe tradursi in una riduzione della gravità media delle vulnerabilità nelle versioni future del software.

Mythos sta cambiando la ricerca delle vulnerabilità

Anthropic ha utilizzato Claude Mythos Preview nell’ambito del progetto Glasswing per analizzare migliaia di progetti open source. A maggio l’azienda riferiva di avere esaminato oltre 1.000 progetti e individuato 23.019 potenziali vulnerabilità, comprese 6.202 classificate come ad alta o critica gravità. Un campione di 1.752 risultati è stato sottoposto a verifica indipendente: il 90,6% è risultato valido e il 62,4% è stato confermato come problema ad alta o critica gravità.

La capacità di individuare difetti complessi modifica quindi una delle fasi più costose della sicurezza applicativa. Mythos ha trovato vulnerabilità anche in software con una lunga storia di controlli, compreso OpenBSD. Anthropic ha inoltre documentato casi nei quali il modello è riuscito non soltanto a riconoscere una falla, ma anche a costruire un exploit. È proprio questa combinazione tra analisi del codice e verifica pratica a rendere l’automazione particolarmente rilevante per i difensori.

Il risultato immediato, tuttavia, è un aumento del lavoro per chi deve gestire gli aggiornamenti. The Register cita oltre 970 patch distribuite da Microsoft in una sola settimana e riporta l’interpretazione di Lawson secondo cui una parte dei difetti appena scoperti potrebbe appartenere a codice sviluppato anni fa. L’idea è che l’ondata di analisi possa contribuire a eliminare progressivamente vulnerabilità rimaste nascoste per molto tempo.

Perché il 2027 potrebbe alleggerire il lavoro

La previsione di Gartner riguarda soprattutto la qualità delle vulnerabilità, più che il semplice conteggio dei CVE. Lawson sostiene che il 2027 potrebbe vedere una diminuzione netta della gravità delle falle, dopo un periodo nel quale strumenti AI hanno sottoposto basi di codice consolidate a controlli molto più estesi. È una valutazione prospettica, non un dato statistico già dimostrato, e dipenderà dalla capacità dei fornitori di trasformare le scoperte in correzioni effettivamente distribuite.

La stessa automazione potrebbe modificare anche il lavoro dei team di sicurezza. Lawson ha ipotizzato che attività oggi associate al red teaming, spesso organizzate come esercizi periodici e costosi, possano diventare molto più frequenti grazie agli strumenti AI. Un’organizzazione potrebbe analizzare con maggiore continuità il proprio software, produrre segnalazioni e accelerare alcune correzioni, comprese misure temporanee applicabili prima della patch definitiva.

Resta però un limite fondamentale: trovare una vulnerabilità non equivale a correggerla. Ogni modifica deve essere verificata per evitare regressioni, problemi di compatibilità o nuove falle. Il possibile beneficio del 2027 dipenderà quindi non soltanto dalla capacità di Mythos e strumenti analoghi di trovare più difetti, ma dalla velocità con cui sviluppatori e team di sicurezza riusciranno a gestire quel volume di risultati. Il 2026 potrebbe rappresentare una fase di forte pressione; la riduzione del carico futuro resta invece un’ipotesi da verificare.