Dodici minuti. È quanto è bastato a Mythos Preview, un modello di Anthropic, per passare dall’analisi di una vulnerabilità N-day alla costruzione di un proof-of-concept funzionante, una dimostrazione concreta della capacità di individuarla e riprodurne il funzionamento. Più che la performance in sé, è ciò che quella velocità significa per la cybersecurity a meritare attenzione.
Una vulnerabilità può rimanere nascosta nel codice per anni e, una volta individuata, diventare sfruttabile in una frazione del tempo che eravamo abituati a considerare necessario. Ma la stessa accelerazione opera nella direzione opposta: l’AI può scandagliare enormi quantità di codice, riconoscere anomalie e portare alla luce falle che erano sfuggite per anni all’analisi umana. È questa simultaneità a rendere il passaggio particolarmente interessante. L’intelligenza artificiale non sta semplicemente aggiungendo strumenti più potenti all’arsenale di chi attacca e di chi difende: sta modificando il tempo che separa una vulnerabilità dalla possibilità di sfruttarla e, contemporaneamente, dalla possibilità di correggerla.
Il punto non è immaginare un’intelligenza artificiale capace di sostituire integralmente l’attaccante umano. È osservare quanto rapidamente stia cambiando l’economia dell’attacco. Automatizzare alcune delle fasi più complesse significa ridurre tempi e competenze necessarie, moltiplicare gli obiettivi analizzabili e replicare attività sofisticate su una scala difficilmente raggiungibile attraverso il solo lavoro umano. La stessa capacità tecnologica può però produrre risultati altrettanto significativi sul fronte difensivo. Nell’aprile 2026, Mozilla ha annunciato di aver corretto 271 vulnerabilità individuate con il suo supporto in Firefox, 180 delle quali classificate high severity. Alcune erano rimaste nel codice per oltre un decennio.
Questa accelerazione si inserisce, peraltro, in uno scenario nel quale la pressione cyber è già in forte crescita. Secondo il Rapporto Clusit 2026, nel 2025 sono stati registrati a livello globale oltre 5.000 incidenti cyber gravi, il 49% in più rispetto all’anno precedente. In Italia gli incidenti rilevati sono stati 507, in crescita del 42%.
Ed è qui che, per le imprese, cambia la domanda: quanto tempo serve a un’impresa per ripartire?
Se il tempo necessario per individuare e sfruttare una vulnerabilità si comprime, anche il modo in cui misuriamo la sicurezza deve evolvere. Non basta più chiedersi quante barriere siano state costruite intorno ai sistemi o quanti incidenti siano stati evitati. Diventa altrettanto importante sapere quanto rapidamente un’organizzazione sia in grado di accorgersi che qualcosa sta accadendo, contenerne gli effetti e riportare processi e servizi alla piena operatività. È una differenza sostanziale. Un’impresa può avere firewall, backup, sistemi di monitoraggio e procedure di sicurezza e non sapere con sufficiente precisione che cosa accadrebbe se domani una parte della propria infrastruttura diventasse indisponibile. Quali processi si fermerebbero? Quali dipendenze emergerebbero? Quanto tempo sarebbe necessario per ripristinare le attività? E quanto è stato realmente verificato, anziché semplicemente previsto, quel tempo di ripristino?
È su questo terreno che il concetto di cyber resilience acquista oggi un peso diverso. Non sostituisce la prevenzione, ma ne supera il limite implicito: l’idea che la maturità cyber possa essere misurata principalmente sulla capacità di tenere l’attaccante fuori dal perimetro.
Quel perimetro, del resto, è diventato sempre più difficile da definire: cloud, piattaforme, software di terze parti, fornitori e infrastrutture condivise hanno creato ecosistemi nei quali una vulnerabilità può produrre conseguenze molto lontane dal punto in cui ha avuto origine. Un’organizzazione può disporre di sistemi di sicurezza sofisticati ed essere comunque esposta attraverso uno dei nodi della propria catena digitale. In questo scenario, la resilienza diventa una grandezza molto concreta: capacità di rilevare, contenere, ripristinare e garantire continuità. Significa passare da una sicurezza prevalentemente percepita a una sicurezza misurabile e verificabile, nella quale tempi di risposta e ripristino, dipendenze critiche e capacità effettiva di mantenere operativi i processi diventano parte della valutazione del rischio.
L’autonomia dell’AI pone una nuova questione di governance
C’è poi un’altra evoluzione destinata a incidere profondamente sul modo in cui le imprese utilizzano l’intelligenza artificiale: la diffusione degli agenti AI. Il salto rispetto all’AI generativa è significativo. Un agente non si limita a produrre una risposta o a elaborare informazioni: può utilizzare strumenti, interagire con applicazioni e dati ed eseguire sequenze di attività per raggiungere un obiettivo.
È un passaggio che amplia enormemente le possibilità di applicazione dell’AI nei processi aziendali. Attività composte da più passaggi, interazioni tra sistemi diversi e workflow che oggi richiedono continui interventi manuali possono essere affidati ad agenti capaci di operare con crescente autonomia, lasciando alle persone le decisioni e le attività a maggiore valore. Più queste capacità entrano nei processi, più diventa importante costruire intorno agli agenti un modello di governance all’altezza della loro autonomia. Policy, autorizzazioni, guardrail, tracciabilità e meccanismi di escalation permettono di definire con precisione il loro perimetro operativo e di estenderlo progressivamente in funzione delle esigenze dell’organizzazione.
La sicurezza diventa così una componente abilitante dell’AI agentica: non serve a limitarne le potenzialità, ma a creare le condizioni perché possano essere utilizzate su scala, anche nei processi più rilevanti per l’impresa. Lo stesso principio vale quando l’AI viene applicata alla cybersecurity. Un sistema capace di individuare un comportamento anomalo, correlare segnali provenienti da fonti diverse e intervenire rapidamente può ridurre drasticamente i tempi di risposta. Anche in questo caso, autonomia, governance e capacità di controllo procedono insieme.
Cyber resilience e AI governance finiscono così per incontrarsi su un terreno comune: costruire sistemi capaci di agire rapidamente, mantenendo controllo, verificabilità e responsabilità.
Dal CISO al board
È qui che una questione apparentemente tecnologica diventa inevitabilmente una questione di governance: la NIS2 ha già formalizzato questo passaggio portando la gestione del rischio cyber direttamente nelle responsabilità degli organi di gestione. L’intelligenza artificiale aggiunge oggi un livello ulteriore: non basta stabilire come proteggere l’organizzazione, bisogna anche decidere quale grado di autonomia attribuire alle tecnologie che operano al suo interno e a quelle incaricate di proteggerla.
Per questo è ormai riduttivo trattare la cybersecurity prevalentemente come una responsabilità dell’IT o del CISO. Se un incidente può interrompere la produzione, compromettere dati, bloccare servizi, coinvolgere clienti e fornitori o propagarsi lungo una supply chain, siamo di fronte a un rischio che riguarda direttamente continuità operativa, reputazione e capacità dell’impresa di generare valore. Il compito del board non è naturalmente sostituirsi alle competenze tecniche, è fare in modo che la valutazione del rischio possa tradursi in decisioni su investimenti, priorità e responsabilità e, soprattutto, che alcune di queste decisioni siano state prese prima che si verifichi un incidente.
L’intelligenza artificiale renderà disponibili strumenti offensivi sempre più sofisticati e, contemporaneamente, capacità difensive che fino a pochi anni fa sarebbero state difficili da immaginare. Cercare di stabilire quale delle due parti conserverà stabilmente il vantaggio rischia però di essere la domanda sbagliata. Per le imprese ne esiste una molto più concreta: quanto siamo preparati a operare in un contesto nel quale la velocità della tecnologia supera quella dei tradizionali processi decisionali? La risposta non dipenderà soltanto dagli algoritmi scelti o dal numero di strumenti di sicurezza installati. Dipenderà dalla capacità di sapere quali processi sono realmente critici, quanto tempo possiamo permetterci di tenerli fermi, come reagire quando qualcosa va storto e come costruire le condizioni perché sistemi sempre più autonomi possano operare efficacemente all’interno dell’organizzazione.
Abbiamo costruito gran parte della cybersecurity per un mondo nel quale le persone utilizzavano il software. Ora dobbiamo prepararla a un mondo nel quale una parte del software agirà per conto delle persone. Ed è probabilmente nell’incontro tra queste due esigenze – rendere l’impresa resiliente e governare l’autonomia dell’AI – che si giocherà una delle sfide più rilevanti della cybersecurity dei prossimi anni.
