Le vulnerabilità generate dall'intelligenza artificiale stanno riducendo il tempo a disposizione per l'applicazione delle patch e richiedono una difesa più rapida

L'intelligenza artificiale sta accelerando ogni fase del ciclo di vita delle vulnerabilità. Le nuove falle vengono individuate più rapidamente e gli hacker agiscono più velocemente che mai per sfruttarle dopo la loro divulgazione. Due notizie di questa estate illustrano bene questo cambiamento.

Il "Patch Tuesday" di Microsoft del luglio 2026 è passato alla storia come il più grande aggiornamento di sicurezza nella storia del programma, con un numero record di 622 correzioni. Questo numero record di correzioni ha riguardato l'ecosistema Windows, Microsoft Office, SharePoint, i servizi Azure e Visual Studio. Tra le vulnerabilità figuravano tre zero-day, due delle quali già oggetto di sfruttamento attivo.

Un articolo pubblicato su Infosecurity Magazine evidenzia una nuova realtà: i modelli di intelligenza artificiale stanno riducendo il lasso di tempo che intercorre tra la divulgazione di una vulnerabilità e il suo sfruttamento. La vulnerabilità critica React2Shell è stata sfruttata dagli autori delle minacce nel giro di un solo giorno dalla sua divulgazione.

L'idea tradizionale secondo cui il "Patch Tuesday" fornisca una serie di aggiornamenti gestibile e prevedibile non è più valida. Tre cambiamenti fondamentali stanno determinando questa evoluzione:

1. L'intelligenza artificiale individua le vulnerabilità più rapidamente che mai : grazie all'intelligenza artificiale, le vulnerabilità vengono individuate molto più rapidamente di quanto i team di sicurezza riescano a valutarle e classificarle manualmente in base alla priorità.
2. Il lasso di tempo tra la scoperta delle vulnerabilità e il loro sfruttamento si sta riducendo: la stessa automazione che aiuta ricercatori e fornitori a individuare più rapidamente le falle è a disposizione anche degli hacker, che stanno già utilizzando strumenti di intelligenza artificiale per orchestrare campagne di attacco e identificare obiettivi su larga scala. La trasformazione delle vulnerabilità in armi avviene ormai nel giro di poche ore, non più in giorni o settimane.
3. L'individuazione delle vulnerabilità alla velocità dell'IA richiede un rilevamento e una correzione alla stessa velocità: se l'individuazione cresce in modo esponenziale e l'applicazione delle patch rimane manuale, il divario tra le vulnerabilità segnalate e quelle corrette non potrà che aumentare.
4. Gli hacker sfruttano sempre più spesso le vulnerabilità a catena: tali vulnerabilità possono derivare dalla combinazione di più punti deboli, proprio il tipo di schema che gli hacker, avvalendosi dell’intelligenza artificiale, sanno individuare con grande efficacia.

Un flusso di lavoro gestito manualmente non è mai stato concepito per colmare un divario di 24 ore su centinaia di endpoint e centinaia di CVE nella stessa versione. La gestione delle patch non è più solo una sfida legata al flusso di lavoro. È una sfida di scala. Cercare di classificare manualmente più di 600 CVE su ambienti Windows, Office, SQL Server, SharePoint e Azure non è più fattibile. Le organizzazioni hanno bisogno di una soluzione automatizzata, intelligente e scalabile.

Se gli hacker agiscono alla velocità dell’intelligenza artificiale, le capacità di difesa informatica devono stare al passo con loro, ridefinendo il concetto stesso di una corretta gestione delle patch:

• La visibilità deve essere continua, non periodica. Non è possibile reagire a una finestra di attacco di 24 ore se l'ultima scansione delle risorse risale a tre settimane fa.
• I punti ciechi nell'inventariodiventano un rischiocritico . Le organizzazioni non possono applicare patch alle risorse che non riescono a individuare, lasciando così esposti gli endpoint non gestiti e quelli su cui è in esecuzione software obsoleto.
• La definizione delle priorità deve essere automatizzata. Con centinaia di CVE che arrivano contemporaneamente, la classificazione manuale della gravità non riesce a tenere il passo con gli aggressori che stanno già testando exploit contro lo stesso elenco. I team di sicurezza hanno bisogno di un sistema automatizzato di valutazione della gravità e della vulnerabilità per sapere quali patch non possono attendere 48 ore, come nel caso delle vulnerabilità di BitLocker e AD FS emerse a luglio.
• L'implementazione deve essere rapida e verificabile. Sapere che esiste una patch non significa essere protetti. La protezione diventa effettiva solo quando si ha la conferma che la patch sia stata installata su tutti gli endpoint esposti, compresi quelli che il reparto IT non sempre si ricorda di controllare.
• Il divario tra la segnalazione di una vulnerabilità e la sua correzione rappresenta ormai il principale indicatore di rischio. Non si tratta più di stabilire se esista o meno una patch, ma di quanto tempo impiega la propria organizzazione ad applicarla. Questo aspetto deve essere misurato in ore, non in settimane. L’aumento vertiginoso delle vulnerabilità fa sì che i ritardi nell’applicazione delle patch diventino il rischio predefinito piuttosto che l’eccezione, allungando il periodo di esposizione man mano che gli arretrati aumentano.

I “Patch Tuesday” da record e lo sfruttamento delle vulnerabilità entro 24 ore non sono eventi isolati. Rappresentano l’inizio di una nuova realtà. Le organizzazioni che considerano la gestione delle patch come un’attività manuale e periodica, svolta in tutta fretta, continueranno a rimanere indietro. Questi numeri da record relativi all’individuazione e allo sfruttamento delle vulnerabilità rendono necessaria l’automazione dell’intero ciclo di vita delle vulnerabilità, dall’individuazione alla definizione delle priorità fino alla distribuzione. Ciò aiuta le organizzazioni a prepararsi ad assorbire il numero record di rilasci senza dover ricorrere a misure di gestione delle crisi.

Ciò significa passare da un approccio del tipo “applicare le patch quando possibile” a un flusso di lavoro continuo e automatizzato. Questo approccio prevede la visibilità in tempo reale su ogni endpoint, una definizione delle priorità basata sul rischio che metta in evidenza le vulnerabilità (CVE) più rilevanti e un’implementazione che non dipenda da una pianificazione manuale.