Microsoft travolta dai bug scoperti dall'intelligenza artificiale: è arrivata la 'Bug Apocalypse'

L'intelligenza artificiale permette di individuare la vulnerabilità prima che possano essere sfruttate dai malintenzionati. Per Microsoft, però, questa evoluzione sta generando un problema inatteso: gli strumenti di analisi automatica sono ormai in grado di trovare falle molto più rapidamente di quanto i team di sviluppo riescano a correggerle.

Secondo quanto riportato da ProPublica sulla base di documenti interni e della registrazione di una riunione tenutasi a metà maggio presso il quartier generale di Redmond, il progetto Glasswing di Anthropic rappresenta uno dei principali programmi con cui Microsoft sta sperimentando l'impiego dell'intelligenza artificiale per la ricerca di vulnerabilità.

L'iniziativa coinvolge il modello Claude Mythos Preview, sviluppato da Anthropic e distribuito inizialmente a un numero ristretto di partner, tra cui Microsoft, Google, Apple e Amazon, con l'obiettivo di rafforzare la sicurezza dei rispettivi prodotti prima che strumenti analoghi diventino accessibili anche ai cybercriminali.

Nel corso dell'incontro, i responsabili del progetto avrebbero confermato che Mythos ha effettivamente mantenuto le aspettative. Il problema, però, è che il modello individua un numero di vulnerabilità senza precedenti, creando un accumulo di lavoro che gli ingegneri non riescono a smaltire nei tempi desiderati.

I numeri emersi durante la presentazione interna sono significativi. Nel solo mese di aprile, Mythos avrebbe identificato 90 vulnerabilità critiche e 141 importanti in SharePoint, mentre nella prima metà di maggio il conteggio sarebbe ulteriormente aumentato. Ai team di sviluppo è stato quindi chiesto di concentrare gli sforzi sulla riduzione del backlog, privilegiando le vulnerabilità considerate più pericolose.

La documentazione visionata da ProPublica suggerisce inoltre che il fenomeno non riguardi esclusivamente SharePoint. Centinaia di bug classificati come critici o importanti sarebbero stati individuati anche in prodotti come Microsoft 365, Teams e Copilot, molti dei quali risultavano ancora privi di correzione al momento della riunione.

L'approccio seguito da Microsoft ricalca una strategia consolidata nel settore, dove si assegna la priorità alle falle con maggiore impatto potenziale. Le vulnerabilità critiche e importanti vengono corrette per prime, mentre quelle di gravità moderata vengono rimandate a una fase successiva. Nei documenti interni non vengono invece citate quelle classificate come a bassa severità.

Secondo diversi esperti di sicurezza, questo metodo potrebbe però mostrare i propri limiti nell'era dell'intelligenza artificiale. I modelli più avanzati sono infatti in grado di concatenare più vulnerabilità apparentemente poco rilevanti per costruire catene di attacco molto più pericolose. In questo scenario, una serie di bug classificati come "moderati" o "bassi" potrebbe trasformarsi in un exploit di gravità elevata se sfruttata in combinazione.

La pressione aumenta ulteriormente considerando che il vantaggio temporale di cui dispongono aziende come Microsoft potrebbe ridursi rapidamente. Durante la riunione interna si faceva riferimento a una finestra temporale limitata prima che strumenti equivalenti fossero disponibili anche agli attaccanti.

Nel frattempo, il volume di aggiornamenti distribuiti da Microsoft continua a crescere. Dopo un Patch Tuesday che aveva già superato quota 200 vulnerabilità corrette, l'aggiornamento di luglio ha risolto oltre 600 falle, un dato che riflette la crescente capacità degli strumenti automatici di individuare problemi nel codice.

A complicare ulteriormente il quadro contribuisce anche la presenza di grandi quantità di codice legacy all'interno dei prodotti Microsoft. Software sviluppati e aggiornati nel corso di decenni accumulano inevitabilmente debito tecnico, rendendo sempre più complessa sia l'analisi completa del codice sia la correzione delle vulnerabilità emerse. Inoltre, parti del codice sorgente Microsoft trapelate nel corso degli anni potrebbero offrire agli attaccanti materiale utile da analizzare con strumenti basati sull'intelligenza artificiale.

Microsoft ha dichiarato a ProPublica di continuare a investire sia nel personale sia nelle tecnologie di triage automatizzato, sottolineando che la sicurezza rappresenta la principale priorità aziendale. L'azienda afferma inoltre di riesaminare costantemente criteri di classificazione delle vulnerabilità, processi interni e risorse dedicate, riconoscendo che la diffusione dell'intelligenza artificiale sta modificando profondamente il modo in cui l'intero settore dovrà affrontare la gestione delle falle di sicurezza.