Cybersecurity
Il tempo a disposizione delle aziende per difendere il proprio perimetro si sta riducendo drasticamente, gli attacchi informatici secondo il rapporto Clusit 2025 sono aumentati del 42% rispetto al 2024 e nuove regole europee impongono requisiti di cybersicurezza lungo l’intero ciclo di vita dei prodotti digitali. Per molte PMI il rischio non è soltanto subire un attacco, ma arrivare impreparate agli obblighi normativi e alle sfide introdotte dall’intelligenza artificiale nello sviluppo software.
Per supportare le piccole e medie imprese in questa trasformazione nasce APPtake (Uptake of Innovative Application Cybersecurity Solutions), progetto europeo che vede coinvolto tra i partner il centro di innovazione digitale Cefriel e che punta a rendere accessibili alle PMI strumenti, metodologie e competenze per integrare la cybersicurezza lungo tutto il ciclo di sviluppo delle applicazioni. L’obiettivo principale del progetto, infatti, è la costruzione di un portafoglio di soluzioni DevSecOps, personalizzate per aiutare le aziende a prevenire e contrastare le minacce informatiche. Il termine DevSecOps rappresenta l’integrazione delle pratiche di sicurezza informatica (Security) nei processi di sviluppo (Development) e operativi (Operations).
Nell’ambito del progetto, Cefriel ha contribuito alla realizzazione di due paper dedicati a uno dei temi oggi più rilevanti per le imprese: come conciliare l’adozione dell’intelligenza artificiale con i requisiti di sicurezza, conformità e controllo richiesti dal Cyber Resilience Act (CRA).
Il paper “Programmazione assistita dall’IA e Cyber Resilience Act: obblighi, rischi e opportunità per i fabbricanti di prodotti digitali”, a cura di Angelo D’Amato, Fondatore di Vulnir, ed Enrico Frumento, Security Research Lead di Cefriel, chiarisce gli obblighi del Cyber Resilience Act e i rischi legati al codice generato dall’IA, indicando come gestire in modo coerente tracciabilità, controllo umano e DevSecOps, e riepilogandone le scadenze operative.
Il paper “Sicurezza nei sistemi potenziati dall’IA: da AI4Sec a Sec4AI”, a cura di Enrico Frumento, Security Research Lead di Cefriel, e Maura Pintor, Ricercatrice in Machine Learning Security dell’Università degli Studi di Cagliari, spiega come l’intelligenza artificiale possa rafforzare la cibersicurezza rilevando anomalie, classificando il traffico malevolo, analizzando il codice sorgente e assegnando priorità alle vulnerabilità oltre gli schemi predefiniti basati su regole (AI4Sec), ma, contestualmente, sia necessario proteggere gli stessi sistemi di IA, perché i modelli di machine learning possono essere ingannati sistematicamente mediante manipolazioni avversarie che causano classificazioni errate con un elevato grado di confidenza (Sec4AI).
Sicurezza e conformità nell’era del Cyber Resilience Act
Il Cyber Resilience Act (CRA) è il primo regolamento europeo a imporre requisiti obbligatori di cibersicurezza a tutti i prodotti con elementi digitali immessi sul mercato dell’UE. A differenza della normativa precedente – si legge nel paper – il CRA estende il proprio ambito di applicazione all’intero ciclo di vita del prodotto: dalla progettazione iniziale alla dismissione, compresi i servizi associati, il trattamento remoto dei dati e i relativi componenti software. Anche quando il codice è generato con l’IA, la responsabilità resta del fabbricante, che deve governare le dipendenze, le vulnerabilità e la conformità attraverso processi strutturati, controllo umano e pratiche DevSecOps che riducano la complessità e i costi delle correzioni successive. Per le imprese, la risposta alle nuove sfide è passare dal vibe coding all’ingegneria assistita. Il modello “human in control” assegna alle persone la definizione dell’architettura, la verifica della correttezza e la convalida della sicurezza. Modellazione, context engineering e principi classici dell’ingegneria del software aiutano a rendere il risultato più verificabile.
Mentre il processo di normazione del CRA avanza, il panorama dello sviluppo software cambia con la stessa rapidità e, per molti aspetti, nella direzione opposta a quella prevista dal regolamento. La diffusione del cosiddetto vibe coding – la pratica di delegare la generazione del codice ai modelli linguistici di grandi dimensioni (LLM), riducendo l’intervento umano alla sola definizione dei requisiti – introduce nuove categorie di rischio che il quadro normativo non ha ancora affrontato pienamente.
Sicurezza nei sistemi potenziati dall’IA: da AI4Sec a Sec4AI
Nel paper gli autori approfondiscono come portare sistemi di IA sicuri in contesti reali, a partire dall’assunto che la sicurezza richiede un approccio integrato. Per un’azienda, adottare l’IA non basta: occorre rendere sicuri sia i processi che la utilizzano, sia gli stessi sistemi di IA. Questo richiede dati di addestramento rappresentativi, test capaci di simulare attaccanti adattivi, controllo sul codice generato e monitoraggio continuo. Integrare questi elementi attraverso il paradigma MLSecOps e competenze umane qualificate permette di sviluppare soluzioni più affidabili, facilitare le valutazioni di conformità e rafforzare la fiducia di clienti e partner, evitando che vulnerabilità non governate si trasformino in debito tecnico difficile da recuperare.
AI4Sec usa l’IA per rilevare anomalie, classificare traffico malevolo, analizzare codice e dare priorità alle vulnerabilità. Sec4AI protegge gli stessi modelli da manipolazioni avversarie che possono causare errori ad alta confidenza e una falsa sensazione di sicurezza.
