L’intelligenza artificiale entra sempre più nel cuore della difesa cibernetica americana. La Cybersecurity and Infrastructure Security Agency (CISA), l’agenzia federale responsabile della protezione delle infrastrutture critiche degli Stati Uniti, sta utilizzando Mythos, il nuovo modello di AI sviluppato da Anthropic e specializzato nella sicurezza informatica, per individuare vulnerabilità all’interno dei repository software delle amministrazioni federali.
La notizia, riportata da Reuters sulla base di fonti vicine al dossier, conferma una tendenza ormai evidente: i modelli di intelligenza artificiale non vengono più impiegati soltanto per automatizzare attività amministrative o migliorare la produttività, ma stanno diventando strumenti operativi a supporto delle attività di cyber defence, vulnerability assessment e secure software development.
AI al servizio della sicurezza del codice
Secondo le informazioni emerse, le analisi vengono condotte dall’Attack Surface Evaluation Team di CISA, il gruppo specializzato nell’esecuzione di penetration test, red teaming e valutazioni di sicurezza sui sistemi delle agenzie federali.
L’obiettivo è individuare rapidamente errori di programmazione, configurazioni insicure e vulnerabilità potenzialmente sfruttabili da cybercriminali o gruppi di cyber espionage sostenuti da Stati nazionali.
In pratica, Mythos viene impiegato come un acceleratore delle tradizionali attività di code review, consentendo agli analisti di individuare con maggiore rapidità punti deboli che, in un ecosistema software composto da milioni di righe di codice, potrebbero facilmente sfuggire ai controlli manuali.
Secondo due delle fonti citate da Reuters, le prime campagne di analisi avrebbero già portato all’individuazione di un numero elevato di vulnerabilità, anche se non sono stati diffusi dettagli sulla loro gravità né sull’entità del software già sottoposto a verifica.
Una nuova frontiera del vulnerability management
L’iniziativa rappresenta uno dei casi più concreti di impiego dell’intelligenza artificiale generativa nel ciclo di gestione delle vulnerabilità. Negli ultimi anni, le attività di Application Security (AppSec) si sono evolute grazie all’integrazione di strumenti di Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST), Software Composition Analysis (SCA) e tecnologie di analisi assistita dall’AI.
Modelli come Mythos promettono di compiere un ulteriore salto qualitativo perché non si limitano a riconoscere pattern già noti, ma sono in grado di comprendere il contesto del codice, individuare errori logici, correlare vulnerabilità tra componenti differenti e suggerire possibili modalità di sfruttamento o di correzione.
Per organizzazioni complesse come la pubblica amministrazione statunitense, dove convivono software legacy, applicazioni cloud-native e migliaia di progetti sviluppati da fornitori differenti, un supporto di questo tipo può ridurre significativamente i tempi necessari per identificare le superfici di attacco.
Perché il controllo del codice è diventato strategico
L’attenzione verso la sicurezza del codice sorgente è cresciuta notevolmente dopo gli attacchi alla supply chain software degli ultimi anni. Incidenti come SolarWinds hanno dimostrato come la compromissione di un singolo componente possa propagarsi lungo l’intera catena di fornitura, coinvolgendo migliaia di organizzazioni pubbliche e private.
Per questo motivo le agenzie governative stanno investendo sempre di più nell’analisi preventiva del software e nell’automazione dei controlli di sicurezza, in linea anche con gli indirizzi del Secure Software Development Framework (SSDF) promosso dal National Institute of Standards and Technology (NIST).
L’intelligenza artificiale non sostituisce gli esperti di cybersecurity, ma può aumentare in modo significativo la loro capacità di analizzare grandi quantità di codice e di stabilire priorità nella gestione delle vulnerabilità.
Il caso Anthropic tra innovazione e tensioni politiche
L’adozione di Mythos assume particolare rilevanza anche per il complesso rapporto tra Anthropic e il governo americano. Nei mesi scorsi la società, che ha recentemente avviato il percorso verso una quotazione in Borsa negli Stati Uniti, aveva attraversato una fase di forte tensione con l’amministrazione federale dopo aver rifiutato di eliminare alcune salvaguardie integrate nei propri modelli, progettate per impedirne l’utilizzo in sistemi di sorveglianza interna o in applicazioni militari completamente autonome.
La vicenda aveva portato il Dipartimento della Difesa ad attribuire temporaneamente ad Anthropic una classificazione di rischio nella supply chain, decisione successivamente sospesa da un giudice federale. Nel frattempo, tuttavia, il dialogo tra l’azienda e le agenzie di sicurezza sembra essersi progressivamente normalizzato.
Secondo indiscrezioni già emerse nei mesi scorsi, anche la National Security Agency (NSA) starebbe sperimentando Mythos in ambienti classificati per attività di analisi della sicurezza, a conferma del crescente interesse delle strutture federali verso strumenti di AI specializzati nella cyber defence.
La sfida: velocità contro complessità
L’utilizzo di modelli come Mythos evidenzia una trasformazione ormai in corso nel settore della cybersecurity. La superficie di attacco delle organizzazioni continua ad aumentare, il volume di codice prodotto cresce a ritmi senza precedenti e le vulnerabilità vengono sfruttate dai criminali informatici in tempi sempre più rapidi dopo la loro scoperta.
In questo scenario, l’intelligenza artificiale può rappresentare un importante moltiplicatore di capacità per i Security Operation Center e per i team di Application Security, consentendo di individuare criticità prima che possano essere sfruttate dagli attaccanti. Naturalmente, il giudizio finale rimane nelle mani degli analisti umani: ogni vulnerabilità identificata dall’AI deve essere validata, contestualizzata e gestita secondo processi consolidati di risk management.
Novità su Google, per aggiungere Key4Biz tra le tue fonti preferite, clicca qui
