Chiedere a un modello di intelligenza artificiale di scrivere codice è ormai routine per molti sviluppatori, ma c'è un dettaglio che spesso sfugge: quasi il 44% del codice generato senza istruzioni specifiche sulla sicurezza contiene almeno una falla. Il dato arriva da Veracode, che lo misura da quattro edizioni consecutive del suo report, segnalando una criticità che non accenna a ridursi.
Perché l'AI sbaglia sulla sicurezza
I modelli linguistici sono addestrati a produrre codice che funziona, non codice che resiste agli attacchi. Quando la richiesta non menziona esplicitamente la sicurezza, l'AI tende a privilegiare la semplicità e la rapidità, trascurando validazione degli input, gestione delle credenziali e controllo degli accessi. Il risultato è un codice apparentemente corretto che, in produzione, apre la porta a vulnerabilità note e sfruttabili.
I cinque controlli da fare sempre
Prima di integrare codice generato dall'AI, è indispensabile una verifica sistematica. Primo: controllare la gestione degli input, perché injection e cross-site scripting restano le falle più frequenti. Secondo: verificare che credenziali, chiavi API e token non siano scritti in chiaro nel codice. Terzo: analizzare la logica di autenticazione e autorizzazione, spesso semplificata in modo pericoloso. Quarto: passare il codice attraverso strumenti di analisi statica e test di sicurezza automatici. Quinto: rivedere le dipendenze esterne suggerite dal modello, che possono essere obsolete o contraffatte.
L'AI resta un alleato prezioso per accelerare lo sviluppo, ma la responsabilità della sicurezza rimane interamente umana. Trattare ogni riga generata come codice da revisionare, e non come verità preconfezionata, è la differenza tra un'accelerazione dei processi e un rischio concreto per l'azienda.
