L'AI sta raddoppiando le falle software scoperte: Google spiega perché il patching non basta più

L’Intelligenza Artificiale sta modificando il modo in cui le vulnerabilità informatiche vengono individuate e sfruttate.

È quanto emerge da una nuova analisi del Google Threat Intelligence Group, che ha esaminato i dati sulle falle divulgate e sugli attacchi osservati nel periodo compreso tra gennaio 2025 e agosto 2026.

La ricerca non si limita a misurare la quantità degli episodi, ma prova a distinguere l’aumento numerico dal reale cambiamento del rischio. Secondo gli autori, l’automazione sta incidendo sia sulla velocità della ricerca sia sulle caratteristiche degli exploit individuati. Il quadro che emerge riguarda quindi una trasformazione del ciclo di vita delle falle, dalla loro scoperta fino alla possibile trasformazione in strumenti utilizzabili dagli attaccanti.

Crescono le vulnerabilità, ma non tutte hanno lo stesso peso

Il numero mensile di vulnerabilità divulgate è passato da 5.045 a gennaio 2026 a 10.740 ad agosto, dopo aver raggiunto 10.477 a luglio. Il dato grezzo richiede però cautela: le procedure automatizzate di assegnazione dei codici CVE possono gonfiare il conteggio senza corrispondere a un aumento equivalente delle minacce concrete. Google cita, per esempio, circa 5.000 CVE associate al Linux Kernel nel periodo considerato, senza osservazioni di zero-day sfruttati attivamente.

Un segnale più significativo riguarda le falle classificate High-Risk secondo la metodologia proprietaria di Google Threat Intelligence, distinta dal punteggio CVSS. Queste sono salite da 131 a gennaio a 350 ad agosto, con una crescita del 167%, pur rappresentando il 3% delle divulgazioni complessive.

Anche lo sfruttamento reale è aumentato: nei primi otto mesi del 2026 sono state osservate 141 vulnerabilità sfruttate, contro 127 nell’intero 2025. La quota sul totale delle falle divulgate resta tuttavia molto contenuta, pari allo 0,23%. Questo suggerisce che l’aumento delle divulgazioni non si traduce automaticamente in un analogo incremento degli attacchi riusciti.

L’AI modifica anche il profilo delle falle scoperte

L’aspetto più interessante della ricerca riguarda le vulnerabilità individuate con l’assistenza dell’AI. Nel campione analizzato, queste presentano proporzioni differenti rispetto alle scoperte senza AI: quelle Low-Risk rappresentano il 39%, contro il 69% delle altre, mentre le Medium-Risk raggiungono il 58%, rispetto al 28%. La quota High-Risk passa invece dal 3% al 4%. Google precisa che si tratta di un indicatore iniziale e che l’attribuzione resta complessa, anche perché i repository CVE non dispongono ancora di metadati uniformi per identificare l’uso dell’AI.

Sul versante degli attacchi, gli zero-day non mostrano una crescita paragonabile a quella delle altre forme di sfruttamento. Il gruppo di ricerca ipotizza invece che gli strumenti basati su modelli linguistici possano rendere più efficiente l’analisi di patch, differenze tra versioni e codice PoC, facilitando la trasformazione di falle già note in exploit operativi.

La conseguenza per le organizzazioni è un cambiamento nella gestione delle priorità. Google propone di affiancare alla correzione automatizzata una selezione guidata dalla threat intelligence, concentrando le risorse sui sistemi realmente esposti e sulle vulnerabilità con maggiore rilevanza operativa. In questo scenario, la sfida non consiste soltanto nel correggere più rapidamente, ma nel decidere quali interventi meritino precedenza quando il volume delle segnalazioni continua ad aumentare.