Gli autori dei cyberattacchi, tanto quelli sponsorizzati da Stati-nazione quanto le organizzazioni criminali, non inseguono più le singole vulnerabilità: colpiscono in modo sistematico gli stessi ecosistemi di fornitori tecnologici. È quanto emerge da una ricerca congiunta pubblicata da SentinelOne e Tenable Holdings, che incrocia i dati di Tenable su esposizione e correzione delle vulnerabilità, raccolti presso migliaia di organizzazioni, con la telemetria di SentinelOne su rilevamento degli endpoint e attività successive allo sfruttamento.
Il risultato più rilevante riguarda proprio la convergenza tra le due fonti: a livello di fornitore, i dati di esposizione e quelli di rilevamento in fase di runtime puntano sugli stessi vendor nel 79% dei casi. A livello di singola vulnerabilità, invece, la sovrapposizione si ferma al 21%. Per Tenable è la conferma di un modello che l’azienda ha battezzato “Persistently Targeted Vendor”: non è il singolo CVE a rappresentare il rischio nel lungo periodo, ma un ristretto insieme di prodotti riconducibili a specifici fornitori.
L’intelligenza artificiale accorcia i tempi degli attacchi
Lo studio si inserisce in un contesto in cui l’AI sta comprimendo drasticamente i tempi delle due parti in gioco, ma in modo asimmetrico. Secondo la ricerca, i modelli di intelligenza artificiale avanzati hanno ridotto da mesi a ore il tempo necessario per individuare una vulnerabilità, e gli aggressori impiegano circa una settimana per passare dalla scoperta alla scrittura di un codice exploit funzionante (SentinelOne usa già l’AI per anticipare le minacce). Sul fronte opposto, un’organizzazione media impiega oggi cinque mesi per correggere una vulnerabilità nota, secondo i dati Verizon DBIR 2026 citati dalla ricerca. Un divario che, secondo i due gruppi, la sola velocità nell’applicazione delle patch non basta a colmare: serve sapere in anticipo quali linee di prodotto sono più esposte alla prossima ondata di attacchi.
“La velocità da sola non basta. Quando una vulnerabilità entra nel processo di correzione, gli hacker stanno già perfezionando l’exploit – ha dichiarato Steve Stone, Chief customer officer di SentinelOne -. Le firme statiche seguono i tempi dell’uomo, ma le minacce no. Il rilevamento comportamentale in fase di runtime deve adeguarsi a quel ritmo, segnalando i modelli di sfruttamento nel momento stesso in cui emergono, non a posteriori.”
Sulla stessa linea Vlad Korsunsky, Chief technology officer di Tenable: “Gli aggressori prendono sistematicamente di mira specifici ecosistemi di fornitori che potrebbero fornire loro un punto di accesso. Non si concentrano ossessivamente su singole vulnerabilità, e nemmeno i difensori dovrebbero farlo. La ricerca conferma che gli autori degli attacchi, grandi e piccoli, colpiscono le stesse superfici nella maggior parte dei casi: individuare, dare priorità e correggere le esposizioni che creano un rischio reale per l’azienda resta il principio cardine della gestione delle esposizioni.”
Cosa cambia per i team di sicurezza
Per i responsabili della sicurezza informatica, l’indicazione pratica della ricerca è di spostare l’attenzione dalla singola vulnerabilità alla mappatura delle superfici digitali colpite ripetutamente. I dati di Tenable sull’esposizione mostrano dove le organizzazioni sono più vulnerabili, mentre la telemetria di SentinelOne su minacce runtime e attività di Digital Forensics and Incident Response (DFIR) indica dove e come gli aggressori operano concretamente. La convergenza delle due prospettive offre ai team di sicurezza elementi più solidi per stabilire le priorità di intervento, un approccio che ricalca la logica della gestione dell’esposizione al rischio già al centro della strategia di altri vendor del settore, che negli ultimi mesi puntano sempre più a gestire il rischio informatico nell’era dell’AI.