Prima di procedere
Il panorama della sicurezza informatica globale sta affrontando un mutamento paradigmatico senza precedenti, dove la velocità dell'intelligenza artificiale ha iniziato a superare sistematicamente la capacità di risposta umana. Al centro di questa tempesta perfetta si trova Microsoft, che attraverso il programma Project Glasswing ha ottenuto un accesso privilegiato a Mythos, l'ultimo e più potente modello linguistico sviluppato da Anthropic. Originariamente concepito per rafforzare le difese, Mythos si è rivelato uno strumento fin troppo efficiente, portando alla luce vulnerabilità strutturali nei prodotti di punta dell'azienda a una velocità tale da mandare in cortocircuito i protocolli di correzione tradizionali.
Secondo documenti interni emersi da una riunione strategica tenutasi a metà maggio, i vertici di Redmond hanno dovuto ammettere una realtà scomoda: l'intelligenza artificiale sta vincendo la corsa contro i programmatori. Durante l'incontro, è stato rivelato che nel solo mese di aprile, Mythos ha identificato 90 falle critiche e 141 errori gravi all'interno di SharePoint, il software di collaborazione aziendale utilizzato da milioni di organizzazioni in tutto il mondo. Il trend non ha mostrato segni di rallentamento a maggio, mese in cui il numero di bug rilevati è ulteriormente aumentato, estendendosi a macchia d'olio su altre piattaforme nevralgiche come Microsoft 365, Teams e l'assistente Copilot.
La crisi ha raggiunto il suo apice il 31 maggio, data di scadenza del periodo di accesso preliminare al modello Mythos. La dirigenza ha imposto ritmi di lavoro estenuanti agli ingegneri, consapevoli che una volta rilasciata una patch pubblica, i cybercriminali impiegano meno di ventiquattro ore per analizzarla e colpire i sistemi non ancora aggiornati. Questo fenomeno, noto come vulnerabilità 1-day, mette Microsoft in una posizione di costante svantaggio tattico. Per gestire questo volume mastodontico di segnalazioni, l'azienda ha adottato una strategia di triage estremamente aggressiva, decidendo di concentrare tutte le risorse umane esclusivamente sulle minacce classificate come 'critiche' o 'importanti'. Le vulnerabilità di livello 'moderato' sono state messe in attesa, mentre quelle 'lievi' sono state del tutto rimosse dai piani di intervento immediato.
Questo approccio, sebbene logico dal punto di vista della gestione delle risorse, nasconde un rischio sistemico che gli esperti di sicurezza chiamano 'attack chaining' o concatenazione degli attacchi. Mythos ha dimostrato che un attaccante dotato di strumenti IA non ha bisogno di una singola grande porta aperta; può invece sfruttare una serie di piccoli bug, apparentemente innocui se presi singolarmente, per creare un percorso d'accesso che porta dritto al cuore dei dati sensibili degli utenti. Microsoft ha confermato di essere consapevole di questa tecnica, dichiarando che l'analisi dei rischi tiene conto della potenziale concatenazione, ma la realtà dei fatti parla di una capacità di intervento saturata. Nel mese di giugno, l'azienda ha rilasciato oltre 200 patch di sicurezza, stabilendo un record storico che è stato però immediatamente polverizzato il 14 luglio, quando l'aggiornamento mensile ha corretto oltre 600 errori.
Nonostante gli sforzi titanici di luglio, il volume complessivo di bug non risolti non sembra destinato a stabilizzarsi a breve. Gli analisti paragonano la situazione a quella di un pronto soccorso durante una catastrofe: i medici sono costretti a scegliere chi salvare, ignorando ferite che, sebbene minori al momento, potrebbero degenerare in complicazioni letali se non trattate. Un problema fondamentale è la cronica carenza di personale all'interno del Microsoft Security Response Center. Storicamente, la filosofia aziendale di Redmond ha privilegiato lo sviluppo di nuovi prodotti, visti come generatori di profitto, rispetto alla manutenzione e alla sicurezza, considerate centri di costo. Di conseguenza, i migliori ingegneri sono stati spesso destinati alla creazione di nuove funzionalità di intelligenza artificiale generativa, lasciando la difesa del perimetro a team sottodimensionati.
La vulnerabilità non riguarda solo il software proprietario. Microsoft, come il resto dell'industria tecnologica, poggia su fondamenta di codice open source mantenuto spesso da volontari. Se un modello come Mythos viene applicato a queste infrastrutture condivise, il rischio di un effetto domino globale diventa una certezza. Nel 2026, la protezione del codice non può più essere un processo esclusivamente manuale. Esperti indipendenti suggeriscono che Microsoft debba cambiare radicalmente rotta, investendo non solo in IA che trovino i bug, ma in sistemi autonomi capaci di generare codice correttivo, testarlo e distribuirlo senza l'intervento umano, colmando il divario temporale che attualmente favorisce i criminali informatici. Finché questo passaggio non sarà completato, gli utenti rimarranno in un equilibrio precario, dove la trasparenza sulle falle scoperte è l'unica vera, seppur debole, difesa disponibile.
