Qualys: gestire il rischio informatico nell’era dell’AI

Qualys ha riunito partner e clienti al ROCon Connect Milano 2026, un evento progettato per fare il punto sull’evoluzione del panorama della sicurezza informatica alla luce dell’avvento dei modelli di intelligenza artificiale di nuova generazione. Al centro del dibattito: gli effetti di Claude Mythos Preview sulla cybersecurity, le soluzioni sviluppate attorno alla Qualys Cloud Platform e il ruolo degli agenti AI nella gestione del rischio informatico. L’obiettivo è definire le migliori modalità per passare da un approccio reattivo a uno proattivo nella gestione delle minacce informatiche.

L’impatto di Mythos: la velocità macchina come nuovo standard

L’arrivo di Claude Mythos Preview,  il modello AI sviluppato da Anthropic, noto per le sue capacità senza precedenti nell’analisi, scrittura e correzione di codice e soprattutto nella scoperta di vulnerabilità informatiche, ha ridefinito le regole del gioco nel settore della cybersecurity. Le aziende non possono più permettersi di aspettare settimane per applicare una patch, devono operare a velocità macchina e correggere una vulnerabilità in poche ore.

Se nel 2018-2019 il tempo medio tra la scoperta e lo sfruttamento di una vulnerabilità da parte dei cyber criminali superava i due mesi, l’intervallo si è ridotto progressivamente fino ad arrivare a meno di un giorno nel 2024. L’era della gestione delle vulnerabilità a velocità umana è dunque terminata. I modelli di AI più avanzati sono oggi in grado di individuare vulnerabilità, concatenare gli exploit e sfruttarle in una finestra temporale che nessun team umano potrebbe coprire. Le organizzazioni che non dispongono degli strumenti per rispondere a velocità macchina sono destinate a restare indietro e diventare bersagli.

Il problema delle vulnerabilità non gestite

Uno dei paradossi più critici del settore è che, nonostante lo sfruttamento delle vulnerabilità abbia superato il furto delle credenziali come principale vettore di attacco, il numero di specialisti che se ne occupa attivamente sta diminuendo. Secondo un report di Verizon, nel recente passato veniva gestito il 38% delle vulnerabilità critiche; oggi quella percentuale è scesa al 26%. Il tempo medio per il rilascio di una patch, nel frattempo, è salito da 32 a 43 giorni. A complicare ulteriormente il quadro, gli specialisti tendono a concentrarsi sulle vulnerabilità più recenti, trascurando quelle storiche che persistono nei sistemi. I cyber criminali conoscono questa dinamica e ne approfittano. Ivan Milenkovic, vice president of Cyber Risk Technology, sottolinea: “Mythos ha segnato un punto di svolta, ma non esiste un solo modello AI sul mercato: OpenAI ha il suo, Mistral sta per lanciarne uno. I CISO devono tenere conto di questa nuova realtà. La CSA CISO Community ha già pubblicato il documento “Expedited Strategy Briefing for CISO”, in cui si evidenzia come gli aggressori stiano ottenendo vantaggi asimmetrici grazie alle tecnologie AI più avanzate.”

Un dato tuttavia conforta: secondo un report di Qualys TRU, nel 2025 le vulnerabilità effettivamente sfruttate dagli attaccanti rappresentavano solo lo 0,74% del totale di quelle note. Con la giusta strategia di assegnazione delle priorità, è quindi possibile concentrare risorse limitate sui vettori di rischio informatico più concreti.

La risposta di Qualys: velocità, priorità e automazione

La strategia di Qualys si articola su tre pilastri: agire a velocità macchina, adottare una hyper-prioritisation delle vulnerabilità critiche e automatizzare il processo di remediation. Lo scorso anno, Qualys ha installato oltre 150 milioni di patch a livello mondiale, di cui 40 milioni in modalità automatizzata, riducendo l’MTTR (Mean Time To Repair) a meno di sette giorni rispetto ai 20-30 giorni tipici di un approccio tradizionale. Lo strumento centrale è Enterprise TruRisk Management (ETM), la piattaforma di punta di Qualys. ETM si basa su un archivio unificato che raccoglie tutte le informazioni relative agli asset aziendali, aggrega i fattori di rischio informatico, integra dati provenienti da servizi di threat intelligence anche di terze parti e tiene conto del contesto di business specifico di ciascun cliente. Da questa base, la piattaforma assegna priorità al rischio, organizza le risposte necessarie e genera report per amministratori IT e management.

A marzo di quest’anno è stata introdotta TruConfirm, una funzionalità che verifica se un determinato exploit può essere effettivamente utilizzato nell’ambiente del cliente. Assegna le priorità in base a controlli calibrati sull’infrastruttura specifica, escludendo dall’intervento urgente le vulnerabilità non sfruttabili in quel contesto.

Sul fronte della remediation automatica, TruRisk Eliminate applica patch in modo automatizzato, ma con un passaggio di verifica preliminare: il sistema testa che la correzione sia valida e non produca effetti indesiderati in produzione. La logica è intelligente, dato che non sempre la soluzione ottimale è una patch. In alcuni casi è sufficiente modificare i permessi di accesso a un file critico; in altri, eliminare un’applicazione vulnerabile non utilizzata.

Qualys è inoltre parte del Project Glasswing, l’iniziativa collaborativa globale sulla sicurezza informatica guidata da Anthropic, che si avvale di Claude Mythos Preview. Questa partnership garantisce a Qualys accesso privilegiato alla tecnologia AI più avanzata disponibile.

Gli agenti AI: ROCky, Nyra, Syd, Val, Sara e Grant

Per supportare gli specialisti IT nella gestione del rischio informatico, Qualys ha sviluppato un sistema di agenti AI, ciascuno progettato per automatizzare una fase specifica del processo.

ROCky è un assistente conversazionale che permette di valutare e gestire il rischio tramite query in linguaggio naturale. Fornisce suggerimenti su dove concentrare le attività di correzione e genera report per il management. Va precisato però che ROCky si limita a fornire informazioni, non è un agente in senso stretto, ma un’interfaccia dedicata alla piattaforma.

Gli agenti veri e propri sono cinque.

1. Nyra assegna priorità alle vulnerabilità in funzione delle minacce attive, allineando la postura di rischio informatico dell’azienda sulle falle che gli attaccanti stanno effettivamente sfruttando.
2. Syd monitora in modo continuativo la superficie di attacco dell’infrastruttura IT, individuando esposizioni ad alto rischio – passaggi aperti, basi dati esposte, certificati scaduti, servizi vulnerabili – e sintetizza i risultati nel report EASM (External Attack Surface Management).
3. Val valida se le esposizioni ad alto rischio informatico siano concretamente sfruttabili in produzione, utilizzando le stesse tecniche dei cyber criminali per condurre test controllati.
4. Sara identifica gli aggiornamenti periodici delle patch, mappa gli asset coinvolti e i CVE ad alta priorità, inoltre crea automaticamente job di bonifica per ambienti di test e di produzione.
5. Grant (in arrivo a breve) identifica in modo continuativo componenti a rischio informatico, account (identità), permessi e vie di accesso, in ambienti sia on-premise sia cloud, consentendo la mitigazione con priorità e semplificando la conformità normativa.

Il mercato italiano e la posizione di Qualys in Europa

Abbiamo chiesto a Emilio Turani, regional vice president, Southern Europe  e a Cecil Perez, head of Europe dell’azienda, lo scenario italiano e il confronto con il mercato europeo e statunitense.

Dal vostro punto di vista, qual è la situazione del mercato italiano? E come opera Qualys nel nostro Paese?

Emilio Turani: “Le grandi aziende italiane – principale mercato di riferimento di Qualys – sono sostanzialmente allineate alle realtà internazionali. Non sorprende: le imprese di grandi dimensioni operano in contesti multinazionali e devono confrontarsi con normative e mercati di Paesi diversi, il che le spinge ad adottare standard coerenti con le best practice globali.
In Italia, Qualys ha recentemente ottenuto il rinnovo della certificazione ACN a livello QC2 & POD per i dati critici. L’azienda serve circa 500 clienti nel Paese – su un totale mondiale di oltre 10.000 – ed è in costante crescita, supportata da specialisti locali. Opera al 100% tramite canale e dispone di un data center nei pressi di Milano, pienamente conforme ai criteri di governance e sovranità dei dati.
Il tema della sovranità si intreccia con quello del rischio informatico, che è oggi diventato a tutti gli effetti rischio di business. Il CISO di nuova generazione non è più solo un guardiano della sicurezza: è un architetto che permette all’azienda di gestire il rischio informatico in maniera consapevole, traducendo le vulnerabilità tecniche in linguaggio comprensibile per il board.”

Dal vostro punto di vista, ci sono differenze tra Europa e Stati Uniti?

Cecil Perez: “Non credo ci sia una grande differenza. Le minacce sono le stesse, la velocità è la stessa. Si tratta di un fenomeno globale, non regionale. Quello che sta succedendo è che Internet, come lo conosciamo, da molti anni dà accesso a tutti, sia ai buoni sia ai cattivi. In questo momento, da un punto di vista economico, i malintenzionati si dirigono dove ci sono i soldi.
Credo che ci troviamo a un punto di svolta dal punto di vista del settore. I modelli di AI più avanzati stanno cambiando il modo in cui si comportano i clienti e i fornitori, perché stanno cambiando la nostra percezione di velocità.

Prima pensavamo alla velocità in termini di ore, giorni, mesi, come la natura umana. Ora pensiamo in nanosecondi. Un exploit recente è stato realizzato in circa ventisette secondi.
Stiamo vivendo un’evoluzione per passare da una modalità reattiva a una proattiva. Aggiungiamo a questo tutte le dinamiche geopolitiche in atto nel mondo, sia dal punto di vista dei fornitori sia da quello delle aziende.”