Come l’AI ci aiuta a rendere più sicuro il software che usiamo

L’AI può rendere più sicuro il software che usiamo aiutandoci a trovare difetti sfuggiti ai controlli precedenti. È successo anche con Firefox, un browser sviluppato e analizzato da anni: nella collaborazione descritta da Anthropic nel marzo 2026, Claude Opus 4.6 ha contribuito a individuare 22 vulnerabilità in due settimane. Mozilla ne ha classificate 14 ad alta severità.

Non era un software appena scritto e mai verificato. Proprio per questo il caso è interessante: strumenti di analisi nuovi possono far emergere problemi anche in prodotti maturi. La loro scoperta non rende improvvisamente insicuro quel software. Offre la possibilità di correggere debolezze che prima non erano note.

La storia di Firefox permette di seguire questa possibilità fino al suo risultato concreto: un difetto individuato nel codice, una verifica da parte dei ricercatori, una correzione e, infine, un aggiornamento che raggiunge gli utenti. L’AI interviene all’inizio di questa sequenza, ma il beneficio dipende dal completarla.

Firefox: nuove falle in un software controllato da anni

I ricercatori di Anthropic scelsero Firefox proprio perché è un progetto complesso, ampiamente utilizzato e sottoposto a numerose verifiche. Come spiegano nel resoconto della collaborazione con Mozilla, iniziarono dal motore JavaScript, il componente che esegue il codice presente nelle pagine web.

Il motivo è concreto: un browser deve elaborare continuamente contenuti che non controlla. Una pagina può provenire da un sito affidabile oppure da qualcuno che cerca di sfruttare un errore. Per questo il modo in cui il browser gestisce memoria ed esecuzione del codice è una parte importante della sua sicurezza.

Secondo il resoconto, dopo circa venti minuti di esplorazione il modello segnalò un possibile errore di tipo use-after-free: il programma poteva utilizzare una porzione di memoria dopo che era stata liberata. I ricercatori riprodussero il problema in una macchina virtuale e lo sottoposero ad altre verifiche prima di inviarlo a Mozilla.

Il risultato importante non era una risposta convincente del modello, ma un difetto che altre persone potevano riprodurre. È questa differenza che trasforma un’ipotesi in una segnalazione utile. Il modello aveva indicato dove cercare; la verifica aveva stabilito che il problema esisteva davvero.

Come una segnalazione diventa una vulnerabilità confermata

Mentre i ricercatori controllavano i primi risultati, il modello continuava a produrre nuovi casi da esaminare. Questo non significava che ogni caso fosse una vulnerabilità: un input che provoca un arresto del programma non dimostra, da solo, che qualcuno possa compromettere il sistema.

La collaborazione con Mozilla servì anche a distinguere questi esiti. Anthropic descrive l’invio di 112 segnalazioni distinte durante il lavoro, a fronte delle 22 vulnerabilità individuate. Sono misure diverse: una descrive il materiale da esaminare, l’altra i problemi di sicurezza riconosciuti nell’ambito della ricerca.

Qui emerge il contributo specifico dell’AI. Può aiutare a esplorare il codice e costruire casi di prova, mentre i ricercatori e i manutentori devono interpretare i risultati, eliminare gli equivoci e decidere come intervenire. Il processo resta tecnico e verificabile, non si basa sulla fiducia nel modello.

L’AI rende più utile la ricerca quando produce evidenze che i manutentori possono controllare. Nel caso Firefox, il resoconto sottolinea il valore di test riproducibili, descrizioni del problema e proposte di correzione. Sono questi elementi che permettono a chi conosce il software di passare dalla segnalazione alla soluzione.

Trovare una falla non equivale neppure a saperla sfruttare. In un esperimento separato descritto da Anthropic, il modello produsse exploit soltanto in due casi, in un ambiente dal quale erano state rimosse alcune protezioni del browser, compresa la sandbox. Quel risultato non dimostra la capacità di compromettere automaticamente qualsiasi installazione di Firefox. Mostra invece perché scoperta, verifica e sfruttamento debbano essere considerati passaggi distinti.

Perché più vulnerabilità segnalate non significano solo cattive notizie

Il caso Firefox acquista una prospettiva più ampia osservando i dati sulle vulnerabilità raccolti da Epoch AI. Il progetto utilizza i record pubblici del CVE Program, che assegna identificativi alle vulnerabilità note, e permette di seguirne le pubblicazioni nel tempo.

Nell’analisi dedicata a luglio 2026, relativa a 21 grandi organizzazioni, le vulnerabilità critiche passano da 35 a gennaio a 98 ad aprile e 606 a luglio. Quelle ad alta severità passano, negli stessi mesi, da 268 a 600 e poi a 1.906. Sono i valori della tabella pubblicata in quell’analisi, non stime ricavate visivamente dal grafico.

È il tipo di crescita evocato dall’espressione “Cyber Risk Goes Parabolic”. Ma il dato misura le pubblicazioni delle vulnerabilità, non gli attacchi riusciti e nemmeno il momento della scoperta. Epoch AI precisa che pratiche di segnalazione e classificazioni differiscono tra le organizzazioni e che i conteggi storici possono essere rivisti. Il grafico, da solo, non dimostra quanto dell’aumento sia causato dall’AI.

Una parte del progresso nella sicurezza consiste nel rendere visibili problemi che prima non conoscevamo. Il caso Firefox mostra concretamente questa possibilità; la crescita delle segnalazioni ne rende più urgente la gestione. Non occorre interpretare ogni nuova CVE come la prova che il software stia peggiorando.

La domanda decisiva viene dopo: che cosa facciamo con ciò che abbiamo scoperto? Se il risultato è soltanto un elenco più lungo, il beneficio resta incompleto. Se le segnalazioni portano a correzioni, il software può diventare più sicuro.

Dalla falla scoperta alla correzione di Firefox

Per Firefox questo passaggio è documentato. Il bollettino di sicurezza della versione 148 elenca vulnerabilità corrette e attribuisce diverse scoperte ai ricercatori che hanno utilizzato Claude. Il lavoro non si è quindi fermato alle dichiarazioni del produttore del modello: è entrato nel processo di manutenzione del browser.

Correggere, però, richiede più che modificare una riga di codice. Bisogna verificare che il difetto non si presenti più e che il programma continui a funzionare come previsto. Una soluzione che elimina il problema ma introduce errori altrove non è ancora una buona correzione.

Nel proprio resoconto, Anthropic descrive proprio l’utilità di dare agli strumenti AI verifiche affidabili: test che controllino se il problema è ancora riproducibile e test che rilevino regressioni. Il superamento di questi controlli aiuta la revisione tecnica; non rende automaticamente approvabile ogni patch generata da un modello.

La scoperta migliora il software quando diventa una correzione verificata e distribuita. È qui che l’AI può contribuire oltre la ricerca iniziale, aiutando a preparare test e soluzioni candidate. I manutentori restano responsabili di valutare se quelle modifiche siano adatte al progetto.

Resta un ultimo passaggio. La nuova versione può essere disponibile, ma gli utenti devono ancora riceverla.

L’aggiornamento deve raggiungere i sistemi che usiamo

Per chi utilizza Firefox, il beneficio di una vulnerabilità corretta dipende dall’adozione di una versione che contiene la soluzione. Una patch pubblicata non modifica da sola tutte le installazioni precedenti. La distinzione sembra semplice, ma in azienda diventa un problema di gestione concreto.

Un browser può essere installato su molti dispositivi, aggiornati con procedure e tempi diversi. Prima di considerare risolto un problema, occorre sapere quali versioni siano ancora presenti e se la distribuzione dell’aggiornamento sia riuscita. Non basta che il team di sicurezza abbia letto il bollettino o che un aggiornamento sia stato approvato.

La stessa logica vale per gli altri software. Chi produce il componente deve correggerlo; chi lo integra deve verificare la compatibilità; chi gestisce i sistemi deve distribuire e controllare l’aggiornamento. Ogni passaggio può richiedere lavoro, e nessuno viene eliminato automaticamente dalla velocità con cui il modello ha trovato il difetto.

Il beneficio per l’utente arriva quando la correzione è presente nel software che sta effettivamente usando. Inventari aggiornati, responsabilità chiare e procedure di rilascio affidabili servono a completare questo percorso. L’AI può aiutare a confrontare bollettini e versioni installate, ma le sue indicazioni devono essere verificate sui sistemi reali.

È così che il caso di ricerca diventa una lezione per le imprese: investire nella scoperta è utile, purché sia possibile portarne i risultati fino alle applicazioni e ai dispositivi utilizzati ogni giorno.

Il valore dell’AI è nel software che riusciamo a migliorare

Firefox non racconta la storia di un browser improvvisamente diventato fragile. Racconta come nuovi strumenti possano contribuire a trovare difetti in un prodotto maturo, e come una collaborazione tra ricercatori e manutentori possa trasformare quelle scoperte in correzioni.

È una prospettiva diversa da quella suggerita da un grafico letto soltanto come allarme. Più vulnerabilità note possono rappresentare anche un’opportunità: problemi che prima non potevamo affrontare diventano finalmente identificabili e correggibili. L’opportunità si perde se la capacità di analizzare cresce senza una corrispondente capacità di verificare, correggere e aggiornare.

L’AI ci aiuta a rendere più sicuro il software quando collega la scoperta di una debolezza alla sua eliminazione dai sistemi reali. La sua utilità non si esaurisce nel numero di falle individuate. Si riconosce nella qualità del software che, dopo quel lavoro, continuiamo a usare.