L’accelerazione dell’adozione di strumenti di intelligenza artificiale ha prodotto un effetto collaterale poco discusso: ha fatto esplodere la superficie d’attacco aziendale. Rob Gurzeev, CEO e co-fondatore di CyCognito, sostiene che il vero punto cieco della cybersecurity non sta più nel backlog infinito di CVE da correggere, ma nella capacità di capire cosa un’organizzazione espone davvero su internet. Una tesi che ribalta decenni di priorità di security e chiama in causa le scelte architetturali dei team IT.

Il problema viene da lontano, ma l’AI lo ha reso strutturale. Lo sviluppo di applicazioni basate su LLM, la proliferazione di servizi cloud e le iniziative shadow IT da parte delle linee di business generano ogni giorno decine di endpoint, API e interfacce web che nessun team di sicurezza ha mai censito. Questi asset fantasma restano invisibili ai tradizionali scanner di vulnerabilità, che per definizione possono controllare soltanto ciò che conoscono. Così, mentre le organizzazioni combattono la battaglia delle patch note, gli attaccanti sfruttano strumenti di automazione per mappare in tempo reale le infrastrutture esposte, trovando la via d’accesso proprio tra gli asset dimenticati.

La prospettiva di Gurzeev allarga il discorso oltre il tradizionale vulnerability management e investe la governance infrastrutturale. In uno scenario in cui ogni nuovo servizio basato su AI può aprire una finestra, la conoscenza dell’inventario di rete diventa una priorità di sicurezza nazionale, non solo aziendale. Secondo gli analisti, le stime sul costo degli asset non gestiti rappresentano ormai una quota significativa del TCO della sicurezza, e diverse normative — dal GDPR al DORA — impongono alle imprese di avere un controllo completo e continuo dei propri sistemi.

Qui si inserisce un nodo cruciale per chi valuta il deployment tecnicico. Scansionare l’intera superficie d’attacco dall’esterno, con strumenti cloud, può rivelare alcune lacune, ma significa spedire dati sensibili sulla topologia di rete a fornitori terzi. Per banche, difesa, sanità e tutte le realtà che operano sotto regimi stringenti di sovranità del dato, questo non è accettabile. La scansione on-premise, invece, consente di effettuare la discovery senza che le informazioni escano dal perimetro aziendale. È un cambio di rotta che non riguarda solo la cybersecurity ma anche l’infrastruttura: mettere in piedi un sistema di asset discovery self-hosted richiede capacità computazionale e storage locale, orchestrazione e integrazione con i SIEM, ma restituisce all’organizzazione il completo controllo sui propri dati.

Alcuni osservatori segnalano che l’introduzione di modelli di AI per l’analisi degli asset — addestrati su ambienti on-premise — potrebbe velocizzare ulteriormente la rilevazione di anomalie e migliorare l’accuratezza della classificazione. È un percorso ancora poco battuto, ma che sposa la tendenza alla sovranità digitale: l’inference locale riduce i rischi di esposizione e abilita un monitoraggio continuo anche in ambienti air-gapped.

In definitiva, la riflessione di Gurzeev mette a nudo un paradosso. Abbiamo reagito all’AI creando più sicurezza basata su AI, ma abbiamo moltiplicato il numero di bersagli. La vera sfida, oggi, non è rafforzare le difese che già conosciamo, ma imparare a vedere ciò che non sappiamo di avere. E per farlo senza compromessi, lo sguardo deve restare dentro i confini della propria infrastruttura.