Dalle celle che custodiscono sangue e plasma ai frigoriferi della grande distribuzione, i bersagli degli attacchi informatici emersi in questi giorni in tutta Europa sono sempre più vicini e gli effetti tangibili. Sotto minaccia costante anche i sistemi produttivi e le infrastrutture critiche, passando dalle banche ai servizi idrici, dalla sanità ai trasporti. Cambiano i bersagli e i fronti, ma quello che resta decisivo è il fattore tempo: riconoscere la minaccia e reagire prima che produca danni. In cybersecurity, il fattore tempo è sempre stato una variabile attenzionata. Ma oggi con la complicità dell’intelligenza artificiale, i criminali possono velocizzare in modo sostanziale la ricerca di vulnerabilità e la preparazione delle campagne, replicando le operazioni malevoli su larga scala. Per chi difende, invece, ogni nuova automazione deve ancora fare i conti con sistemi diversi, procedure interne, verifiche e autorizzazioni. Nel suo “Digital Defense Report 2026”, Microsoft indica che il tempo mediano tra l’individuazione di una vulnerabilità nel mondo reale e la sua conversione in un’arma di attacco utilizzabile è sceso ben sotto le 24 ore; per contro, nel caso di falle critiche esposte agli attacchi condotti via Internet, le imprese possono impiegare ancora da 30 a 60 giorni per correggere vulnerabilità critiche esterne. Una finestra potenzialmente enorme per portare a termine i tentativi di attacco, di cui l’AI è sicuramente il fattore abilitante, ma non l’unica causa dell’accelerazione del fenomeno. Per capire bene che cosa stia accadendo, occorre prendere consapevolezza che siamo al cospetto di una profonda trasformazione della cybersecurity, perché attività criminali che richiedevano competenze specifiche possono oggi essere delegate a strumenti automatici. Il rapporto di Microsoft ha osservato sistemi capaci di concatenare 32 fasi di un attacco in un ambiente di valutazione controllato, confermando le avanzatissime prestazioni raggiungibili in laboratorio e dando un’idea di come potrebbero evolvere gli attacchi completamente autonomi, oggi non ancora la norma. Il fattore tempo è quindi una componente chiave della sicurezza: l’intervallo entro il quale un’organizzazione riesce a capire che cosa sta succedendo, definire la risposta all’attacco e attuarla senza introdurre un nuovo rischio è dove si gioca l’integrità di dati, applicazioni e sistemi.
Il vantaggio di chi automatizza
Le rilevazioni del Threat Intelligence Group di Google confermano una pressione crescente sulle aziende. Le vulnerabilità “in sfruttamento attivo” (e quindi già in uso da parte dei cybercriminali) osservate dagli specialisti del gigante americano erano in media 10,5 al mese nel 2025 e sono salite a 18 nei primi otto mesi del 2026. Solo lo 0,23% delle vulnerabilità divulgate quest’anno, per contro, evidenziava lo stato di “sfruttamento attivo”, confermando come il numero delle segnalazioni non coincida con quello delle minacce effettive. Il cambiamento è in atto e lo dicono altri casi. A settembre, sempre Google ha descritto una campagna in cui un criminale cyber, dopo aver ottenuto accesso a una risorsa cloud, ha pianificato, costruito ed eseguito in meno di sei ore un’operazione automatizzata di raccolta di credenziali, arrivando a comprometterne migliaia. Un episodio circoscritto, che mostra però come l’AI possa ridurre le pause tra un passaggio e l’altro e rendere più efficiente un’operazione che prima avrebbe richiesto più lavoro umano.
Un altro esempio riguarda PHP2Shell, la doppia vulnerabilità critica individuata nel linguaggio impiegato da una quota rilevante dei siti Internet del pianeta: il caso è emerso in un’attività di ricerca coordinata con i manutentori del software, che hanno pubblicato le correzioni avvalend osi anche di modelli avanzati di AI per l’analisi e la costruzione di exploit. Amazon Web Services ha poi rilevato un tentativo di sfruttamento di un proprio “honeypot” (un software progettato per agire come un’esca) il 17 ottobre, prima della divulgazione pubblica del 21; ciò non prova l’effettiva compromissione, tanto che AWS ha precisato di non sapere se il tentativo avrebbe avuto successo su un sistema reale, ma ribadisce come l’allarme nasca dalla rapidità con cui individuazione, divulgazione e uso improprio delle vulnerabilità possono succedersi. Per le aziende, il problema sono le modalità di intervento per reagire alla minaccia: il tempo tecnico per operare la correzione spesso si scontra con quello dei processi dell’organizzazione, fra finestre di manutenzione, responsabilità distribuite, priorità di business e approvazioni.
La velocità ha bisogno di regole
La capacità dell’AI di automatizzare alcune fasi dell’attacco apre dunque uno scenario nuovo nelle strategie di difesa, e pone una domanda specifica: chi autorizza la risposta automatica? Un sistema che individua un comportamento anomalo potrebbe bloccare un account, isolare un computer, revocare una credenziale o fermare un servizio, ma se aspetta sempre l’autorizzazione di una persona fisica può arrivare tardi. Se agisce senza limiti, al contrario, può interrompere un’attività legittima o amplificare un errore. La soluzione a questo dilemma risponde a specifici parametri: stabilire in modo preventivo quali azioni un agente di intelligenza artificiale può compiere da solo, in quali condizioni e con quali limiti. Le misure reversibili e a basso impatto (per esempio mettere in quarantena un file sospetto) possono essere automatizzate più facilmente mentre per bloccare un sistema produttivo, cancellare dati o modificare privilegi estesi può essere necessario un controllo umano: la soglia dipende dal rischio, dal contesto e dalla possibilità di tornare indietro e servono registri chiari e tracciabilità delle autorizzazioni e delle azioni eseguite. La velocità che permette di ridurre il tempo tra allarme e risposta, in altre parole, diventa un fattore competitivo se si abbina alla capacità di dare priorità alle vulnerabilità davvero sfruttate, alla prontezza nel distribuire patch e alla chiarezza con cui l’impresa delega poteri a persone e sistemi automatici. La vera sfida, per i responsabili della sicurezza, è di governance.
