L'intelligenza artificiale sta rivoluzionando la scoperta delle vulnerabilità, ma la gestione e la prioritizzazione dei rischi fatica a tenere il passo con l'aumento esponenziale delle segnalazioni e i ritardi nell'arricchimento dei dati.
L'intelligenza artificiale sta trasformando il panorama della sicurezza informatica, accelerando la scoperta di nuove vulnerabilità a un ritmo senza precedenti. Tuttavia, questa rapidità mette sotto pressione l'intero ecosistema di gestione delle vulnerabilità, che fatica a processare, arricchire e prioritizzare le segnalazioni in modo tempestivo.
Un volume di vulnerabilità fuori controllo
Nel mese di aprile, il NIST ha annunciato modifiche operative al National Vulnerability Database (NVD) per adattarsi all'aumento delle segnalazioni. Il volume dei CVE ha superato la capacità del modello attuale di arricchimento: circa 30.000 vulnerabilità pubblicate prima del 1° marzo 2026 sono state riclassificate come "Not Scheduled". Se da un lato la priorità e l'automazione sono necessarie, dall'altro questa scelta comporta rischi non sempre evidenti per chi deve difendere le infrastrutture aziendali.
Secondo l'Action1 2026 Software Vulnerability Ratings Report, nel 2025 le vulnerabilità segnalate nei principali software aziendali sono cresciute del 92% rispetto al 2024. Quelle critiche e ad alta gravità sono aumentate del 103%, mentre i casi di esecuzione di codice da remoto sono saliti del 128%. Il sistema di gestione delle vulnerabilità, pensato per un'epoca con ritmi più lenti, oggi si trova a dover affrontare una mole di dati che rischia di generare backlog permanenti e decisioni di priorità che possono lasciare scoperte aree sensibili.
Le conseguenze dei ritardi nell'arricchimento
Concentrando l'arricchimento solo sui CVE più recenti, molte vulnerabilità già note e discusse da vendor e ricercatori restano prive di un contesto completo nel NVD. Questo crea una pericolosa asimmetria informativa: i team di sicurezza che si affidano al NVD rischiano di ricevere dati incompleti o in ritardo, mentre gli attaccanti possono già correlare advisory, patch, exploit e disclosure pubbliche senza attendere l'arricchimento ufficiale.
L'arricchimento non è un dettaglio formale: metadati strutturati, informazioni sulle piattaforme coinvolte, punteggi di gravità e dettagli di configurazione sono essenziali per valutare l'impatto reale di una vulnerabilità e la priorità di intervento. In assenza di queste informazioni, le organizzazioni sono costrette a decidere sulla base di dati frammentari o ad attendere chiarimenti, aumentando il rischio di exploit prima che la remediation sia avviata.
Backlog e incertezza: un rischio crescente
Un backlog che si alimenta continuamente senza una strategia chiara di smaltimento genera incertezza sulla copertura effettiva. Senza un impegno preciso a processare anche le segnalazioni più vecchie, alcune vulnerabilità vengono arricchite rapidamente, altre restano in sospeso, rendendo difficile per i team capire quali rischi siano realmente gestiti.
La mancanza di dati completi, come le informazioni CPE sui prodotti coinvolti, aumenta il rischio di falsi positivi e costringe i team a indagini inutili, mentre minacce reali possono passare inosservate. Nel tempo, questa situazione mina la fiducia nei dataset ufficiali e spinge le aziende a costruire pipeline di intelligence alternative, con costi e complessità operativa crescenti.
Un nuovo approccio alla gestione delle vulnerabilità
L'aumento delle vulnerabilità sfruttate nelle applicazioni aziendali è stato impressionante: il report Action1 segnala un +800% nell'ultimo anno. Per capire come le aziende possono reagire, è utile osservare anche come i principali vendor affrontano le emergenze: ad esempio, Microsoft ha recentemente corretto una vulnerabilità zero-day su Windows, dimostrando l'importanza di una risposta rapida e coordinata tra fonti diverse.
Il cambiamento imposto dal NIST non è una scelta irresponsabile: il problema di scala è reale e il modello attuale non era pensato per gestire volumi così elevati. Tuttavia, la responsabilità si sposta a valle: le organizzazioni devono integrare dati da più fonti - NVD, advisory dei vendor, provider indipendenti, piattaforme di threat intelligence e inventari interni - per ottenere una visione completa e aggiornata.
Dalla lista curata all'intelligence in tempo reale
La gestione delle vulnerabilità non può più basarsi su una singola fonte autorevole, ma richiede la capacità di sintetizzare informazioni incomplete in decisioni rapide e informate. Questo implica maturità organizzativa, strumenti avanzati e processi disciplinati, non sempre presenti in tutte le realtà.
Il NVD resta un tassello fondamentale, ma non può più essere considerato la baseline esaustiva: diventa uno degli input, spesso in ritardo rispetto alle dinamiche reali degli attacchi. La domanda chiave non è più "quali vulnerabilità esistono?", ma "quali ci riguardano, quali sono più rischiose e quanto velocemente possiamo intervenire?".
Come devono adattarsi i difensori
La prima lezione è che la gestione delle vulnerabilità non può più dipendere da una sola fonte di arricchimento. Il NVD mantiene un ruolo centrale, ma i team di sicurezza devono integrare intelligence aggregata da vendor e provider specializzati.
Raccogliere più feed non basta: serve trasformare l'intelligence frammentata in decisioni operative - questa vulnerabilità ci riguarda? Quanto è urgente? Come interveniamo subito? Action1, ad esempio, combina dati da VulnCheckNVD++, NIST NVD, CISA KEV Catalog, Microsoft MSRC e note di rilascio dei vendor, assegnando priorità in pochi minuti e correlando le informazioni con i dati reali degli endpoint aziendali.
Una volta identificato un endpoint vulnerabile, la remediation deve essere integrata nel workflow, senza passaggi manuali o esportazioni. Solo così si può passare dalla scoperta alla riduzione dell'esposizione in tempi compatibili con la velocità degli attacchi.
L'era dell'AI impone una nuova sfida: non conta solo quanto velocemente si scoprono le falle, ma quanto rapidamente si comprendono, si prioritizzano e si correggono. La remediation deve accelerare insieme alla scoperta.
