In Breve
- Qual è il principale effetto dell’AI sulla sicurezza?
- L’AI consente di analizzare codice e asset su una scala superiore a quella dei test manuali, aumentando la velocità di scoperta delle vulnerabilità.
- Perché il backlog delle vulnerabilità può crescere anche se le correzioni sono più rapide?
- Perché il volume delle nuove segnalazioni può aumentare più velocemente della capacità dei team di validarle, prioritizzarle e correggerle.
- Che cosa propone l’approccio CTEM?
- Un processo continuo che collega scoperta, validazione, prioritizzazione e remediation in base all’esposizione e al rischio per il business.
L’intelligenza artificiale sta aumentando rapidamente la capacità delle organizzazioni di individuare vulnerabilità nel software. Ma, secondo Kara Sprague, CEO di HackerOne, il vantaggio competitivo non dipende più soltanto dalla scoperta dei problemi: la fase decisiva è quella successiva, dalla validazione alla correzione verificata.
Nel corso dell’ultimo anno, riferisce Sprague citando i dati della piattaforma HackerOne, il tempo necessario ai team di sicurezza per risolvere una vulnerabilità critica si è ridotto di circa il 50%. Nello stesso periodo, tuttavia, il volume di vulnerabilità critiche irrisolte sarebbe aumentato di quasi 29 volte.
I due dati possono coesistere quando la capacità di individuazione cresce più rapidamente di quella necessaria per analizzare e correggere i problemi. I modelli di intelligenza artificiale possono leggere il codice e analizzare migliaia di asset alla ricerca di schemi di vulnerabilità noti, ma ogni segnalazione deve ancora essere verificata, contestualizzata e assegnata al team tecnico competente.
Il divario tra scoperta e risoluzione
Una vulnerabilità rilevata non è automaticamente una vulnerabilità sfruttabile o prioritaria. Secondo l’analisi di Sprague, i team devono stabilire se il problema è riproducibile, valutarne la gravità nello specifico ambiente operativo, determinare l’impatto sul business, procedere alla correzione e verificare che il rimedio sia efficace.
L’AI può comprimere soprattutto la prima fase del processo, mentre incide molto meno sulle attività successive. L’aumento dei report può quindi ampliare il carico di lavoro e rendere più difficile individuare le segnalazioni realmente urgenti.
La validazione come punto critico
La riduzione dei costi per produrre report di sicurezza convincenti può aumentare anche il numero di segnalazioni duplicate, teoriche o basate su un’interpretazione errata del bersaglio. Anche quando una segnalazione viene rapidamente generata, può richiedere ore di lavoro a un analista esperto per essere confermata o esclusa.
Per gestire questo volume, i programmi di sicurezza dovrebbero definire criteri chiari per le prove richieste. Ai ricercatori dovrebbe essere chiesto di dimostrare la riproducibilità della vulnerabilità e il possibile impatto sul business, usando gli strumenti automatizzati per migliorare la qualità delle evidenze e non soltanto per aumentare il numero dei report.
Il contesto aziendale resta determinante
La gravità tecnica non è sufficiente a stabilire quale vulnerabilità correggere per prima. La priorità dipende anche da fattori come l’importanza dei servizi per i ricavi, la presenza di dati regolamentati, il costo di un’interruzione e i controlli compensativi già disponibili.
Un rischio moderato preso singolarmente può diventare più serio quando si combina con altre debolezze. Comprendere come interagiscono sistemi, autorizzazioni e controlli distribuiti tra diverse aree dell’organizzazione richiede una valutazione contestuale che, secondo Sprague, resta un’attività in cui il contributo umano è essenziale.
La fonte cita inoltre i dati della piattaforma HackerOne: i ricercatori avrebbero ricevuto oltre 47 milioni di dollari nel primo semestre dell’anno, con una crescita superiore al 25% su base annua. Il dato, precisa l’autrice, non implica che tutti i ricercatori abbiano beneficiato allo stesso modo dell’aumento. L’automazione tende infatti ad assorbire le segnalazioni più ripetitive, mentre acquistano valore le competenze legate alla concatenazione delle vulnerabilità, alla logica di business e alla produzione di prove credibili.
Dal rilevamento alla risposta
Sprague collega questa esigenza al modello Continuous Threat Exposure Management, o CTEM, descritto come un processo continuo per comprendere la superficie d’attacco, individuare le debolezze, dimostrare quali siano realmente sfruttabili e indirizzare la remediation verso i rischi più rilevanti per il business.
In questa prospettiva, i programmi di bug bounty non verrebbero superati dall’AI, ma dovrebbero adeguarsi all’aumento del volume. Servono capacità di triage, responsabilità chiare tra sicurezza e sviluppo e una verifica indipendente delle correzioni, soprattutto quando la soluzione viene proposta da un sistema automatizzato.
Per i vertici aziendali, la fonte suggerisce di misurare la riduzione del rischio invece del semplice numero di segnalazioni. Tra gli indicatori citati figurano la conferma della sfruttabilità, la velocità di remediation, la ricorrenza dei problemi e l’ampiezza del backlog di vulnerabilità critiche ancora aperte.
La tesi centrale è che la prossima fase della sicurezza basata sull’AI non si giocherà sulla quantità di vulnerabilità scoperte, ma sulla capacità di distinguere l’esposizione reale e portare i problemi più pericolosi fino a una correzione verificata.