Revisori di codice AI sotto attacco: i bot cacciatori di bug sono pronti per il grande salto?

Promessa e pericolo: la corsa alla sicurezza AI

L’annuncio di Anthropic su Claude Code Security - uno strumento progettato per analizzare il codice, rilevare vulnerabilità e suggerire correzioni - ha mandato onde d’urto nel settore tecnologico. L’azienda si è vantata che il suo motore AI avanzato avesse scoperto centinaia di vulnerabilità zero-day, alimentando entusiasmo e ansia. Eppure, al di sotto dei titoli, i professionisti della sicurezza applicativa invitano alla cautela.

I primi utenti segnalano velocità di scansione lente e un preoccupante tasso di falsi positivi. In un test ampiamente condiviso, un analista ha rilevato che Claude Code Security ha impiegato 17 minuti per esaminare un campione, segnalando tre vulnerabilità - due delle quali erano falsi allarmi. Strumenti concorrenti come OpenGrep hanno ottenuto risultati simili in meno di un minuto. Neatsun Ziv, CEO di OX Security, ha osservato che le scansioni di Claude costano significativamente di più rispetto agli strumenti di analisi statica consolidati, sollevando interrogativi su scalabilità ed efficacia dei costi.

L’approccio AI attuale solleva anche preoccupazioni di processo. Usare la stessa AI sia per scrivere sia per revisionare il codice, sostengono alcuni, introduce una rischiosa mancanza di separazione - un po’ come lasciare la volpe a guardia del pollaio. Le best practice di sicurezza impongono che nessun singolo sviluppatore debba essere sia autore sia revisore dello stesso codice; a quanto pare, l’AI non è esente da questa regola.

Debito di sicurezza e la vera sfida

La spinta verso uno sviluppo più rapido - potenziato dall’AI - ha portato a un’impennata delle vulnerabilità irrisolte, con il report 2026 di Veracode che mostra un aumento marcato sia del debito di sicurezza complessivo sia di quello grave. Esperti come Julian Totzek-Hallhuber di Veracode affermano che, sebbene gli strumenti AI possano aiutare gli sviluppatori a comprendere e correggere il codice, è improbabile che sostituiscano completamente i processi di sicurezza sfumati e multilivello necessari nelle pipeline moderne.

Forse, soprattutto, trovare le vulnerabilità è solo metà della battaglia. La parte davvero difficile, dicono i leader AppSec più esperti, è correggerle - su larga scala, in codebase estese, senza mandare in crisi sistemi critici. L’AI può aiutare a spiegare e a dare priorità ai problemi, ma una remediation senza attriti resta un ostacolo ostinato.

Guardando avanti: potenziamento, non sostituzione

Dunque, i revisori di codice AI sono una rivoluzione o solo un altro strumento nella cassetta degli attrezzi? Il consenso: sono un’aggiunta promettente, soprattutto per dare senso al codice sfornato dallo sviluppo guidato dall’AI. Ma, per ora, il loro ruolo è complementare - non una pallottola d’argento. Mentre i team di sicurezza corrono per stare al passo con una programmazione sempre più veloce, l’arte della revisione del codice potrebbe tornare in auge - con un piccolo aiuto dai nostri colleghi robotici.