Tempesta perfetta: perché lo sviluppo con AI sta superando la sicurezza

Il problema della velocità: quando l’AI scrive codice troppo in fretta

Sviluppare software con l’aiuto dell’intelligenza artificiale è come guidare a 200 all’ora in un quartiere residenziale: l’auto va veloce, ma il guidatore non è sempre pronto a reagire. Questa è la metafora che usano gli esperti di sicurezza per descrivere la situazione attuale.

Il vero problema non è l’AI in sé, ma la differenza tra la velocità con cui si genera codice e la capacità di controllarlo. I modelli producono funzioni pronte per la produzione in pochi secondi, mentre molti team non hanno mai ricevuto una formazione specifica sulla revisione della sicurezza.

Perché rivedere codice generato da AI è diverso

Quando si esamina codice scritto da un altro sviluppatore, si cerca di capire l’intenzione dietro le righe. Con l’AI le cose cambiano: il modello non conosce il contesto del progetto, i vincoli di sicurezza o la logica di business. Si limita a ricombinare pattern visti durante l’addestramento, inclusi quelli non sicuri.

Per questo motivo usare l’AI come un partner di pensiero (“vibe coding”) è molto diverso dal lasciarle scrivere intere funzionalità in autonomia. Nel primo caso il controllo umano resta costante. Nel secondo si dà per scontato che l’AI comprenda i requisiti di sicurezza, cosa che raramente accade.

Il collo di bottiglia nei team AppSec

I team di Application Security erano già sotto pressione prima dell’arrivo dell’AI. Controllare il codice di oltre 100 sviluppatori con una sola persona era già difficile. Ora che la produzione di codice è ancora più rapida, il divario si è allargato.

Aggiungere scanner automatici ai vecchi strumenti non basta. Serve un cambio di approccio: la sicurezza deve entrare nel ciclo di sviluppo fin dall’inizio, non come controllo finale.

La mancanza di formazione

La revisione del codice è una competenza. Quella sicura è ancora più specifica. E controllare output generati dall’AI richiede la consapevolezza di cosa il modello sa fare e dove può fallire. La maggior parte delle aziende non ha ancora inserito questi concetti nei programmi di onboarding.

Spedire codice AI-assisted senza una base di alfabetizzazione security significa accettare rischi che spesso non si misurano.

Cosa fare

Non si tratta di rallentare. Si tratta di inserire l’awareness security nel modo in cui gli sviluppatori usano l’AI già dal primo giorno. Questo include training mir<|eos|>