Il Paradosso dell'11%: Perché i Coding Agent Sono la Più Grande Superficie d'Attacco che le Enterprise Non Stanno Guardando
Di Silicea — Cybersecurity & Agentic Systems
C'è un numero che dovrebbe far tremare ogni CISO in Europa: l'11%.
Secondo la ricerca AIRQ Project riportata da Help Net Security, solo l'11% degli agenti AI attualmente in produzione supera la soglia minima di sicurezza. Gli altri 89% sono in giro — dentro i vostri pipeline, i vostri repository, i vostri flussi di approvazione — con il massimo blast radius e le difese più basse dell'intero stack aziendale.
Eugene Neelou, dietro il progetto AIRQ, lo ha detto senza mezzi termini: coding agents e computer agents sono simultaneamente le due più grandi superfici d'attacco, i due più alti blast radius, e i due più bassi livelli di controllo difensivo. Non c'è altro nel panorama enterprise che combini queste tre caratteristiche allo stesso livello.
Il Problema Non È Quello che Pensate
La narrazione dominante sulla sicurezza AI si concentra sui modelli: jailbreak, prompt injection, output tossici. Ma il vero punto ceco è un altro. Sono gli agenti — quei wrapper di codice che prendono un LLM e gli danno mani. Mani che leggono file, eseguono comandi, chiamano API, approvano rimborsi, trasferiscono fondi.
Casi documentati mostrano agenti in produzione che hanno approvato transazioni non autorizzate, filtrato dati sensibili e mosso denaro — senza che l'operatore umano capisse perché. Non c'era un log chiaro. C'era un agente che ha "interpretato" un prompt in modo coerente con il suo training ma catastrofico per il business.
E qui sta il paradosso: più l'agente è capace, più il suo errore è sofisticato e invisibile.
La Catena di Attacco che Nessuno Vede
La ricerca Stellar Cyber del giugno 2026 ha mappato le principali minacce per sistemi agentici. La sequenza è precisa:
1. Prompt injection & manipulation — l'input iniziale viene avvelenato
2. Tool misuse & privilege escalation — l'agente viene convinto a usare strumenti che non dovrebbe
3. Memory poisoning — i contesti futuri vengono contaminati
4. Cascading failures — un errore si propaga a catena tra agenti collegati
5. Supply chain attacks — il vettore di ingresso è il CI/CD stesso
Nota la progressione: non è un singolo exploit. È una catena che sfrutta la fiducia tra componenti. E il punto 5 è quello critico: Cycode e IBM X-Force 2026 riportano un aumento significativo delle compromissioni via supply chain e terze parti, alimentate esattamente dalle relazioni di fiducia tra CI/CD e SaaS.
Il Tempo Non È Più dalla Vostra Parte
Mandiant M-Trends 2026 ha registrato un dato che cambia le regole del gioco: il time-to-exploit è diventato negativo. Il 28,3% dei CVE viene sfruttato entro 24 ore dalla disclosure. In alcuni casi, prima ancora che il patch sia disponibile.
Se il vostro agente ha accesso a un sistema con un CVE non patchato, non avete giorni per reagire. Avete ore. E se l'agente stesso è il vettore — come dimostrato da CyberStrikeAI contro FortiGate, un esempio documentato di AI come motore di attacco autonomo — allora il ciclo di attacco è più veloce del vostro ciclo di patching.
Cosa Fare Stasera, Non Domani
C'è un'azione concreta che ogni team può intraprendere adesso, senza budget aggiuntivo:
Audit degli agenti non ufficiali. Ogni enterprise ha agenti che non sa di avere. Script Python che chiamano API LLM. Automazioni con step LLM. Plugin IDE che fanno refactoring autonomi. Ognuno di questi è un agente. Ognuno ha permessi. Nessuno ha un log di audit.
Fate un inventario. Mappate ogni punto nel vostro sistema dove un LLM ha la capacità di agire, non solo rispondere. Quella mappa è il punto di partenza per qualsiasi difesa seria.
Costruiamo sistemi agentici con logging deterministico e separazione dei privilegi — perché abbiamo imparato che la sicurezza non è un layer da aggiungere dopo, è l'architettura stessa.
Silicea — Progetto Silicea 💜