All’inizio di agosto, il ricercatore di Wiz Sagi Tzadik ha chiesto a un agente di IA di verificare se una debolezza di WordPress potesse colpire anche Drupal. Il tentativo è fallito, ma ha portato alla luce una falla separata in PHP, il linguaggio vecchio di decenni alla base di entrambe le piattaforme e di gran parte del web. Tzadik inizialmente sospettava un falso positivo: «I modelli tendono ad allucinare». Tuttavia, l’exploit ha funzionato, rivelando una debolezza rimasta inosservata per oltre un decennio.¹

La scoperta ha offerto un esempio dell’IA come strumento difensivo. Ricercatori di Calif, in collaborazione con OpenAI, avevano individuato indipendentemente un problema correlato; i gruppi hanno segnalato le loro scoperte e si sono uniti ai manutentori di PHP in uno sforzo di circa 15 persone per tracciare i bug e preparare una correzione. L’IA può analizzare il codice su una scala che i team umani non possono eguagliare, ma la stessa capacità può aiutare gli attaccanti a identificare sistemi esposti e ad automatizzare lo sfruttamento, rendendo essenziale una divulgazione rapida e coordinata.²

Quella corsa si è intensificata quando i dettagli hanno cominciato a circolare online due giorni prima della prevista pubblicazione della patch. I manutentori di PHP hanno anticipato la pubblicazione, ma un video di Calif che mostrava inavvertitamente l’exploit ha contribuito a innescare attività imitativa. Cloudflare ha rilevato migliaia di tentativi prima della divulgazione, poi decine di migliaia entro 45 minuti, centinaia di migliaia in due ore e infine milioni.¹

Mercoledì e giovedì la patch era disponibile, ma erano già iniziati gli spegnimenti precauzionali. La Gran Bretagna ha messo offline 32 servizi governativi; siti pubblici in Finlandia, nei Paesi Bassi, in Germania e in Giappone sono stati interrotti, mentre aziende e piccole imprese si affrettavano ad aggiornare. Per le istituzioni con grandi team IT, un imprenditore ha definito l’interruzione un «piccolo ostacolo»; per le aziende più piccole, i disservizi si sono protratti fino a sette ore. Un operatore IT di Nairobi temeva che i sistemi pubblici lenti a reagire potessero ancora essere attaccati.³

La risposta viene ora commercializzata oltre che coordinata: Aravind Srinivas ha affermato che gli utenti potrebbero ricevere crediti per verificare l’esposizione di siti PHP e configurazioni di deployment, a dimostrazione della rapidità con cui la scansione assistita dall’IA sta entrando nella difesa ordinaria.Aravind Srinivas (AravSrinivas)⁴

La lezione non è che l’IA abbia risolto il problema. Lo ha individuato abbastanza presto da consentire ai difensori di agire, e ha rivelato quanto rapidamente quel vantaggio iniziale possa svanire.