Dodici minuti. È il tempo che è bastato a Mythos Preview, un modello di Anthropic, per passare dall’analisi di una vulnerabilità N-day alla costruzione di un proof-of-concept funzionante. Non è la performance in sé a meritare attenzione: è ciò che quella velocità dice sulla cybersecurity di oggi.
Una falla può restare nascosta nel codice per anni. Una volta individuata, però, diventa sfruttabile in una frazione del tempo che eravamo abituati a considerare necessario. La stessa accelerazione opera però nella direzione opposta: l’AI può scandagliare enormi quantità di codice, riconoscere anomalie e portare alla luce vulnerabilità sfuggite per anni all’analisi umana. È questa simultaneità a rendere il passaggio degno di analisi.
L’intelligenza artificiale non sta semplicemente aggiungendo strumenti più potenti all’arsenale di chi attacca e di chi difende. Sta modificando il tempo che separa una vulnerabilità dalla possibilità di sfruttarla e, contemporaneamente, dalla possibilità di correggerla.
Cybersecurity e AI: l’economia dell’attacco cambia
Il punto non è immaginare un’AI capace di sostituire integralmente l’attaccante umano. È osservare quanto rapidamente stia cambiando l’economia dell’attacco. Automatizzare alcune delle fasi più complesse significa ridurre tempi e competenze necessarie, moltiplicare gli obiettivi analizzabili e replicare attività sofisticate su una scala difficilmente raggiungibile attraverso il solo lavoro umano.
La stessa capacità tecnologica produce però risultati altrettanto rilevanti sul fronte difensivo. Nell’aprile 2026, Mozilla ha annunciato di aver corretto 271 vulnerabilità individuate con il supporto dell’AI in Firefox, 180 delle quali classificate come high severity. Alcune erano rimaste nel codice per oltre un decennio.
Questo avviene in uno scenario in cui la pressione cyber è già in forte crescita. Secondo il Rapporto Clusit 2026, nel 2025 sono stati registrati a livello globale oltre 5.000 incidenti cyber gravi, il 49% in più rispetto all’anno precedente. In Italia gli incidenti rilevati sono stati 507, in crescita del 42%.
Cyber resilience: la domanda che le imprese devono porsi
Se il tempo necessario per individuare e sfruttare una vulnerabilità si comprime, anche il modo in cui si misura la sicurezza deve evolvere. Non basta più chiedersi quante barriere siano state costruite intorno ai sistemi o quanti incidenti siano stati evitati. Diventa altrettanto urgente sapere quanto rapidamente un’organizzazione riesca ad accorgersi che qualcosa sta accadendo, a contenerne gli effetti e a riportare processi e servizi alla piena operatività.
Un’impresa può avere firewall, backup, sistemi di monitoraggio e procedure di sicurezza e non sapere con sufficiente precisione cosa accadrebbe se domani una parte della propria infrastruttura diventasse indisponibile. Quali processi si fermerebbero? Quali dipendenze emergerebbero? Quanto tempo servirebbe per ripristinare le attività? E quanto è stato realmente verificato, anziché semplicemente previsto, quel tempo di ripristino?
È su questo terreno che il concetto di cyber resilience acquista oggi un peso diverso. Non sostituisce la prevenzione, ma ne supera il limite implicito: l’idea che la maturità cyber si misuri principalmente sulla capacità di tenere l’attaccante fuori dal perimetro.
Quel perimetro è diventato sempre più difficile da definire. Cloud, piattaforme, software di terze parti, fornitori e infrastrutture condivise hanno creato ecosistemi in cui una vulnerabilità può produrre conseguenze molto lontane dal punto in cui ha avuto origine. Un’organizzazione può disporre di sistemi di sicurezza sofisticati ed essere comunque esposta attraverso uno dei nodi della propria catena digitale. La resilienza diventa così una grandezza concreta: capacità di rilevare, contenere, ripristinare e garantire continuità.
Agenti AI e cybersecurity: il nodo della governance
C’è un’altra evoluzione destinata a incidere profondamente sul modo in cui le imprese usano l’intelligenza artificiale: la diffusione degli agenti AI. Il salto rispetto all’AI generativa è netto. Un agente non si limita a produrre una risposta o a elaborare informazioni: può utilizzare strumenti, interagire con applicazioni e dati ed eseguire sequenze di attività per raggiungere un obiettivo.
Attività composte da più passaggi, interazioni tra sistemi diversi e workflow che oggi richiedono continui interventi manuali possono essere affidati ad agenti capaci di operare con crescente autonomia, lasciando alle persone le decisioni a maggiore valore. Più queste capacità entrano nei processi, più diventa necessario costruire intorno agli agenti un modello di governance adeguato. Policy, autorizzazioni, guardrail, tracciabilità e meccanismi di escalation permettono di definire il loro perimetro operativo e di estenderlo progressivamente.
La sicurezza diventa così una componente abilitante dell’AI agentica: non serve a limitarne le potenzialità, ma a creare le condizioni perché possano essere usate su scala, anche nei processi più critici per l’impresa. Cyber resilience e AI governance finiscono per incontrarsi su un terreno comune: costruire sistemi capaci di agire rapidamente, mantenendo controllo, verificabilità e responsabilità.
Dal CISO al board: la cybersecurity è una questione strategica
La NIS2 ha già formalizzato questo passaggio, portando la gestione del rischio cyber direttamente nelle responsabilità degli organi di gestione. L’intelligenza artificiale aggiunge oggi un livello ulteriore: non basta stabilire come proteggere l’organizzazione, bisogna anche decidere quale grado di autonomia attribuire alle tecnologie che operano al suo interno e a quelle incaricate di proteggerla.
È ormai riduttivo trattare la cybersecurity come una responsabilità esclusiva dell’IT o del CISO. Se un incidente può interrompere la produzione, compromettere dati, bloccare servizi, coinvolgere clienti e fornitori o propagarsi lungo una supply chain, siamo di fronte a un rischio che riguarda direttamente continuità operativa, reputazione e capacità dell’impresa di generare valore.
Il compito del board non è sostituirsi alle competenze tecniche. È fare in modo che la valutazione del rischio si traduca in decisioni su investimenti, priorità e responsabilità — e che alcune di queste decisioni siano state prese prima che si verifichi un incidente.
L’intelligenza artificiale renderà disponibili strumenti offensivi sempre più sofisticati e, contemporaneamente, capacità difensive che fino a pochi anni fa sarebbero state difficili da immaginare. Cercare di stabilire quale delle due parti conserverà stabilmente il vantaggio rischia però di essere la domanda sbagliata. Per le imprese ne esiste una molto più concreta: quanto siamo preparati a operare in un contesto in cui la velocità della tecnologia supera quella dei tradizionali processi decisionali?
La risposta non dipenderà soltanto dagli algoritmi scelti o dal numero di strumenti di sicurezza installati. Dipenderà dalla capacità di sapere quali processi sono realmente critici, quanto tempo ci si può permettere di tenerli fermi e come costruire le condizioni perché sistemi sempre più autonomi possano operare efficacemente all’interno dell’organizzazione.
Abbiamo costruito gran parte della cybersecurity per un mondo in cui le persone utilizzavano il software. Ora occorre prepararla a un mondo in cui una parte del software agirà per conto delle persone. È nell’incontro tra queste due esigenze — rendere l’impresa resiliente e governare l’autonomia dell’AI — che si giocherà una delle sfide più rilevanti dei prossimi anni.
Analisi a firma di Andrea Stecconi, CEO di Execus, società quotata su Euronext Growth Milan e attiva nei processi di trasformazione digitale per le imprese italiane.