Come ethical hacker, passo le mie giornate a pensare come un criminale per proteggere chi si affida a me. Per anni, il nostro arsenale è stato fatto di scanner automatizzati, script in Python scritti alle tre di notte e una buona dose di caffeina. Ma oggi, l’elefante nella stanza ha un nome: Intelligenza Artificiale.
Sui forum, su LinkedIn e nelle conference di cybersecurity si parla solo di questo: l’AI applicata al penetration testing. Ma fermiamoci un secondo. Siamo di fronte a una rivoluzione epocale che ci renderà super-hacker, o stiamo per aprire il vaso di Pandora della sicurezza informatica?
Analizziamo la cosa da vicino, senza filtri e senza hype.
La Rivoluzione: Il Co-Pilota Infaticabile
Parliamoci chiaro: una grossa fetta del pentesting tradizionale è, per dirla brutalmente, noiosa. L’enumerazione, lo scanning delle porte, l’analisi di log chilometrici o la ricerca di pattern noti nel codice. Qui, l’AI non è solo utile, è divina.
I moderni modelli di Machine Learning e gli LLM (Large Language Models) stanno ridefinendo la fase di Reconnaissance e di Code Review. Strumenti alimentati da AI possono scansionare milioni di righe di codice sorgente in frazioni di secondo, identificando non solo le solite CVE, ma suggerendo patch contestualizzate.
In fase di OSINT (Open Source Intelligence), l’AI è in grado di correlare dati apparentemente scollegati, trovando credenziali esposte o mappando l’infrastruttura di un target con una precisione che richiederebbe a un team umano settimane di lavoro. L’AI non dorme, non si distrae e non soffre di alert fatigue. In questo senso, la rivoluzione è già in atto: ci sta liberando dal lavoro sporco per lasciarci fare ciò che conta davvero.
Il Rischio: Allucinazioni, Pigrizia e Nemici Simmetrici
Ma c’è il rovescio della medaglia, e fa paura. Il primo rischio è la falsa sensazione di sicurezza. L’AI è bravissima a prevedere pattern, ma non “capisce” il contesto. E a volte, allucina.
Immaginate di affidarvi ciecamente a un tool di AI per un vulnerability assessment e che questo vi restituisca un report con vulnerabilità inesistenti o, peggio, che ignori una falla critica perché non rientra nei suoi pattern di addestramento. I falsi negativi nell’AI possono costare milioni.
Poi c’è il rischio della degenerazione delle skill. Se la nuova generazione di ethical hacker si affida solo al “pulsante magico” dell’AI, cosa succederà quando l’algoritmo fallirà? Il pensiero laterale, la creatività e la capacità di out-of-the-box thinking sono muscoli che, se non allenati, si atrofizzano.
Infine, il rischio più grande: l’Adversarial AI. I bad guys non stanno a guardare. I criminali usano già l’AI per generare malware polimorfico che evade gli EDR, per creare campagne di phishing iper-personalizzate e per automatizzare gli attacchi brute-force rendendoli “intelligenti”. Se noi usiamo l’AI per difenderci, loro la usano per attaccare. È una corsa agli armamenti algoritmica.
E non dimentichiamo il rischio Data Privacy: dare in pasto a un LLM pubblico il codice sorgente proprietario o i log di un cliente per un’analisi rapida è un suicidio contrattuale e legale.
Il Fattore Umano: Perché la Macchina non (ci) sostituirà
Ecco la mia conclusione, maturata sul campo: l’AI non ruberà il lavoro all’ethical hacker, ma l’ethical hacker che usa l’AI ruberà il lavoro a quello che non lo fa.
L’AI trova la falla nel server. Ma trova la falla nella logica di business? Capisce che un amministratore di sistema, stanco e sotto pressione, cliccherà su quel link perché è venerdì pomeriggio? Il vero penetration testing è un mix di psicologia, sociologia e creatività distruttiva. L’AI manca di context awareness. Non può negoziare, non può intuire le dinamiche aziendali, non può fare social engineering guardando negli occhi un dipendente (o simulandolo in modo credibile).
Il Verdetto: L’Era del Centauro
Il futuro del pentesting non è “Uomo contro Macchina”, ma Uomo più Macchina. Nel mondo degli scacchi, dopo che Deep Blue ha battuto Kasparov, è nato il “Centaur Chess”: un team composto da un umano e un’AI che batteva sia i computer puri che i grandi maestri umani.
Nel cybersecurity dobbiamo diventare tutti Centauri. Dobbiamo usare l’AI per automatizzare il 70% del lavoro, per scalare i nostri attacchi e per scrivere script in secondi. Ma il restante 30% — l’intuizione, la strategia, la comprensione del business e l’etica — deve rimanere saldamente nelle nostre mani.
L’AI è un’arma potentissima. Sta a noi decidere se usarla per costruire difese inespugnabili o se lasciarci illudere dalla sua onnipotenza, finendo per abbassare la guardia.
E voi, da che parte state? Vi fidate ciecamente del vostro scanner AI o controllate ancora a mano ogni singola riga del report? Parliamone nei commenti.