I segnali d’allarme si erano accumulati da quando i sistemi di IA di frontiera avevano iniziato a suscitare timori che la scoperta delle vulnerabilità avrebbe subito un’accelerazione. Ma le falle di PHP — individuate da ricercatori umani impegnati in uno sforzo assistito dall’IA, anziché da modelli che agivano da soli — hanno reso concreta tale prospettiva. PHP è alla base di circa il 70% dei siti web, il che significa che una debolezza vecchia di decenni aveva una portata enorme una volta scoperta.¹

Entro mercoledì, la normale coreografia della divulgazione coordinata aveva iniziato a disfarsi. Ricercatori e fornitori avevano preparato patch e notifiche riservate, ma le informazioni sui bug sono circolate prima della pubblicazione prevista. La PHP Foundation ha affermato che Chainguard aveva «violato unilateralmente l’embargo», spingendo governi e aziende a mettere siti offline anziché rischiare una violazione.²

La corsa ai ripari ha reso concreta la minaccia dell’IA senza però, finora, produrre il suo esito peggiore. Cloudflare ha visto i tentativi di attacco salire da migliaia prima della divulgazione a milioni dopo, mentre Amazon ha affermato che lo sfruttamento era diffuso. Eppure, funzionari tedeschi non hanno segnalato alcun uso riuscito della falla e i ricercatori hanno scoperto che i bug erano più difficili da trasformare in armi di quanto il volume delle scansioni suggerisse.²

Ciò ha invitato a paragoni con il bug del millennio: un avvertimento spaventoso che ha mobilitato i difensori in tempo. Gli esperti di sicurezza mettono in guardia dal confondere questa fuga per un margine ristretto con la sicurezza. «Non dobbiamo aspettare altri due anni prima che questo accada (di nuovo)», ha detto Samantha Lewis, responsabile dell’intelligence sulle minacce di Armadin. «Potrebbero essere tre ore da adesso».³

La disputa più profonda riguarda ciò che l’episodio dice sulla capacità del web di rispondere. Una visione vede un sistema tenuto insieme da «colla e sogni», in cui i piccoli operatori e gli enti pubblici non dispongono delle risorse di Amazon o Cloudflare.¹ Un’altra lo considera la prova che la disciplina di base — applicare patch, autenticazione a più fattori, contenimento e piani di ripristino — funziona ancora. Ma Tomer Schwartz di Wiz sostiene che il futuro non possa dipendere da singoli amministratori che applicano manualmente le correzioni: l’IA potrebbe aiutare a trovare e testare vulnerabilità rapidamente, mentre «l’applicazione manuale delle patch non sarà scalabile».⁴