Project Glasswing: Come Prepararsi alla Rivoluzione dell'AI nella Scoperta di Vulnerabilità

Project Glasswing di Anthropic: una nuova era nella scoperta delle vulnerabilità

Il recente lancio di Project Glasswing da parte di Anthropic ha acceso un dibattito intenso su ciò che l'intelligenza artificiale potrebbe presto fare per la scoperta delle vulnerabilità. Tuttavia, la domanda più utile per la maggior parte dei team di sicurezza è come prepararsi e, soprattutto, come cogliere le opportunità di ciò che verrà.

Come scritto in un nostro precedente articolo, Cosa significa Project Glasswing per i leader della sicurezza, l'IA sta diventando sempre più capace di individuare i difetti del software. La pressione che ne deriva ricade sui team responsabili della decisione su cosa sia importante, della validazione del rischio, dell'assegnazione della proprietà e dell'avvio delle operazioni di rimedio in ambienti già difficili da gestire. Crediamo che le organizzazioni che trarranno maggior beneficio dalla prossima ondata di IA saranno quelle che comprendono sufficientemente il proprio ambiente per utilizzare questi modelli emergenti con intenti specifici, piuttosto che stratificarli su processi immaturi e sperare che la velocità da sola risolva l'arretrato.

Un momento cruciale per i team di sicurezza

Il numero di vulnerabilità software pubblicamente tracciate ha battuto record quasi ogni anno nell'ultimo decennio, mentre il rischio della catena di fornitura è continuato ad aumentare. La maggior parte dei team stava già sentendo la pressione di più risultati di quanto potessero elaborare in modo pulito. Il programma Common Vulnerabilities and Exposures (CVE), il sistema standard per identificare e tracciare le vulnerabilità note, ha registrato 48.185 divulgazioni nel 2025, un aumento del 20% rispetto al 2024, con circa il 40% di queste vulnerabilità divulgate classificate come alte o critiche.

Nel 2026, il ritmo era già di centinaia di nuovi CVEs al giorno quando sono stati citati questi dati. Questo dice qualcosa di importante sull'ambiente attuale: la sfida non è stata necessariamente la mancanza di risultati, ma piuttosto la conversione di un flusso crescente di risultati in una riduzione del rischio misurabile.

La realtà è che pochissime organizzazioni concederanno a un modello un accesso illimitato ai loro ambienti più sensibili non appena queste capacità diventano più ampiamente disponibili. La fiducia verrà costruita per gradi: l'adozione iniziale si concentrerà molto probabilmente sulla riduzione dell'arretrato, sul supporto alla triage, sui test di patch e su attività di rimedio ripetitivo di livello inferiore che consumano tempo senza comportare lo stesso livello di rischio operativo dei sistemi più critici dell'azienda. Questo è un punto di partenza più realistico e porta a una domanda più utile. Prima che i team applichino l'IA in modo più ampio, devono comprendere il proprio ambiente abbastanza bene da usarla intenzionalmente.

Stabilire le basi prima di integrare l'IA

La promessa di Project Glasswing e di quasi ogni altra iniziativa di sicurezza alimentata dall'IA è piuttosto simile: sfruttare l'IA per identificare schemi, riassumere il rischio, suggerire correzioni e accelerare il lavoro ripetitivo. Indipendentemente dalla tecnologia, il successo dipende ancora da quanto bene un'organizzazione comprende il proprio ambiente, il contesto intorno a ciascun risultato e il processo utilizzato per agire su di esso.

Un modello può generare più output di quanto un team possa fare da solo, ma quell'output diventa rumore se l'organizzazione non è in grado di rispondere a domande di base come ambito, proprietà, criticità ed esposizione. I team hanno bisogno di una visione chiara e continuamente aggiornata dell'ambiente prima di poter decidere dove applicare l'IA, cosa mantenere guidato dall'uomo e quali parti dell'arretrato siano sicure da spingere attraverso flussi di lavoro più automatizzati.

Il panorama dell'IA sta già cambiando rapidamente e continuerà a farlo, motivo per cui questo momento dovrebbe spingere a una strategia più preemptiva e resiliente piuttosto che un altro giro di hype sugli strumenti. Inseguire ogni nuova capacità man mano che arriva costringerà inevitabilmente i team a riorganizzarsi continuamente intorno all'ultimo annuncio. Un percorso più solido è quello di fare le cose giuste per prime: comprendere l'ambiente, i percorsi di attacco e gli asset che contano di più; ma soprattutto, stabilire il processo e le persone dietro queste decisioni. Poi utilizzare l'IA dove migliora significativamente la velocità, la coerenza e la concentrazione.

Perché la gestione della superficie di attacco dovrebbe far parte di questa base

Una base solida inizia con la visibilità. I team di sicurezza hanno bisogno di una visione in tempo reale di ciò che esiste nell'ambiente, cosa è esposto, come gli asset si connettono tra loro e quali sistemi hanno il maggiore impatto aziendale se qualcosa va storto. È qui che la gestione della superficie di attacco diventa centrale. L'approccio di Rapid7 attraverso Surface Command è costruito intorno a una visione continua della superficie di attacco in tutto il patrimonio digitale, che aiuta i team a comprendere dove si trovano le esposizioni e come si relazionano ai sistemi internet-facing, business-critici o comunque ad alto impatto.

Questo è importante per l'adozione dell'IA tanto quanto lo è per le operazioni di sicurezza quotidiane. I team non possono applicare l'IA in modo strategico se devono indovinare quali parti dell'ambiente sono di priorità inferiore, a quali asset appartengono quali proprietari o dove una nuova vulnerabilità divulgata potrebbe creare un rischio aziendale reale. Una visione migliore della superficie di attacco fornisce alle organizzazioni il contesto necessario per segmentare correttamente il problema. Questo lo rende molto più facile da iniziare con i casi d'uso giusti, sia che si tratti di riduzione dell'arretrato in sistemi a basso impatto, prioritizzazione mirata di asset esposti o triage più rapido dove il quadro del rischio è già ben compreso.

La proprietà fa parte di questa base. La rimedio rallenta quando nessuno può identificare rapidamente chi possiede l'applicazione, l'ambiente o il flusso di lavoro interessato. I team di sicurezza perdono già tempo lì oggi e l'IA renderà solo più visibile questo collo di bottiglia se inizia a segnalare problemi più velocemente di quanto le organizzazioni possano assegnarli. La gestione della superficie di attacco aiuta a trasformare questa ambiguità in qualcosa di più azionabile collegando l'esposizione al contesto dell'ambiente e alla probabile proprietà.

Come la gestione delle vulnerabilità e delle esposizioni trasforma la visibilità in azione

Una volta compreso l'ambiente, i team hanno ancora bisogno di un modo per passare dai risultati agli esiti. È qui che la gestione delle vulnerabilità e delle esposizioni diventa lo strato operativo che mantiene il lavoro ben radicato.

Il maggiore valore qui non è semplicemente raccogliere più dati sulle vulnerabilità. È la prioritizzazione e la validazione mirata. Quando una divulgazione arriva, i team devono sapere se il problema interessa un asset esposto, se c'è prova di sfruttamento o interesse degli attaccanti, se il sistema interessato è business-critico e se i controlli esistenti riducono già parte del rischio. Questo è il tipo di contesto che aiuta le organizzazioni a decidere cosa merita un'attenzione immediata e cosa può essere gestito attraverso un ciclo di rimedio normale.

È qui che l'intelligenza artificiale può aiutare a far avanzare la rimedio più velocemente. Invece di chiedere ai team di collegare manualmente i segnali di sfruttamento, la criticità degli asset e l'intelligence sulle vulnerabilità da soli, l'IA può distillare quel contesto direttamente nel flusso di lavoro di rimedio. Questo rende più facile comprendere perché un problema è importante, qual è l'impatto probabile e cosa fare dopo, riducendo il divario tra la scoperta e una decisione sicura su come rispondere.

Ci aspettiamo che la maggior parte delle organizzazioni utilizzi l'IA per assistere, o in alcuni casi prendere il controllo, della triage di livello inferiore, della pulizia dell'arretrato, dei test di patch e di attività di rimedio ripetitivo di livello inferiore che consumano tempo senza comportare lo stesso livello di rischio operativo dei sistemi più critici dell'azienda. Questo è un punto di partenza più realistico e porta a una domanda più utile. Prima che i team applichino l'IA in modo più ampio, devono comprendere il proprio ambiente abbastanza bene da usarla intenzionalmente.