La cybersecurity in Italia dopo gli attacchi degli agenti AI in America

Dopo Hugging Face, l'agente di intelligenza artificiale di OpenAI ha colpito ancora prendendo di mira la newyorkese Modal Labs. Notizia paradossale se si considera che l'agente AI è sfuggito all'ambiente isolato in cui veniva addestrato, che lo ha fatto in piena autonomia e che, soprattutto, è passato attraverso un account configurato da un dipendente senza autenticazione. Il segnale di una rivoluzione copernicana, perché ci si avvia in territori inesplorati in cui, oltre a permeare ogni aspetto della nostra vita, il digitale ne diventa attore, progettista, architetto.

Per questo la sicurezza informatica non può più essere considerata una funzione IT o questione tecnica, ma parte determinate e strutturale, qualcosa che afferisce alle fondamenta dell’edificio. Ergo, sono convinto che dopo gli anni della digital transformation siamo entrati nell’era della cyber transformation.

Il governatore della Banca d'Italia, Fabio Panetta, ha certificato che nel triennio 2023-2025 gli incidenti che hanno coinvolto intermediari italiani sono cresciuti dell'80% rispetto al periodo precedente, con quelli di matrice cibernetica raddoppiati, avvertendo che l'AI sta modificando frequenza e natura degli attacchi. Il Rapporto Clusit 2026 colloca l'Italia al 9,6% degli attacchi gravi mondiali: una quota enormemente superiore al peso del Paese sul pil globale. L'intelligenza artificiale, integrata nei processi insieme al cloud, non fa che moltiplicare le superfici esposte e agisce da acceleratore su un divario che era già lì.

La cybersecurity, del resto, sconta un peccato originale: essere stata definita, per trent'anni, come protezione del dato, quindi una materia tecnica confinata nell'IT. Ma così facendo, è rimasta fuori delle priorità del business. Si sono formati due mondi paralleli — quello che parla di firewall e patch e quello che parla di crescita, clienti e mercati — che a un certo punto hanno smesso di dialogare.

Nessun amministratore delegato si sveglia la mattina preoccupato per una patch non installata: si preoccupa di fermo produzione, ordini non evasi, clienti persi, danni reputazionali. Ma questi ormai vengono anche dagli attacchi cyber. Oltre l'80% degli incidenti più gravi registrati in Europa, secondo Enisa, è legato a ransomware ed estorsioni digitali il cui obiettivo non è sottrarre informazioni ma interrompere la capacità dell'organizzazione di operare.

Che le aziende italiane non abbiano ancora colto questo passaggio lo dice una ricerca che come Strategic Management Partners abbiamo condotto su 80 medie e grandi imprese, attraverso interviste strutturate ai Ciso. In oltre la metà i controlli sui rischi cyber sono sporadici: il 45% effettua una sola valutazione l'anno, una su dieci non ha nemmeno una frequenza definita. In due casi su tre non esistono indicatori per misurare il livello di sicurezza raggiunto, il che significa che i consigli di amministrazione discutono di cybersecurity senza disporre di metriche.

Il dato più critico riguarda però la filiera: solo il 12% delle imprese verifica regolarmente i propri fornitori, il 25% non effettua alcun controllo, il 63% procede in modo occasionale. E questo mentre Dora impone già agli intermediari finanziari di presidiare l'intera catena dei fornitori Ict: chi non si adegua rischia di uscire non soltanto dal perimetro di sicurezza, ma da quello di mercato.

Qui si misura la distanza tra consapevolezza e governance. Le imprese hanno capito che il rischio esiste, ma investono soprattutto per adeguarsi alle normative europee — Nis2, Dora, AI Act — senza trasformare la compliance in uno strumento di governo. Finché resta un adempimento, resterà un costo.

Eppure quelle stesse norme offrono l'occasione opposta: per la prima volta il legislatore europeo porta il rischio cyber dentro le responsabilità dirette del management e dei consigli di amministrazione, chiedendo non un certificato da esibire all'audit, ma la dimostrazione che il governo del rischio esiste, è documentato, evolve nel tempo.

La compliance, in termini operativi, è diventata continua. Il presupposto, però, è un cambio di linguaggio: tradurre le vulnerabilità in impatto economico, rispondere alla sola domanda che un vertice si pone davvero — quanto costa un'interruzione di 24, 48 o 72 ore, e quale investimento riduce concretamente quel rischio. Non si investe in ciò che fa paura; si investe in ciò che si riesce a misurare.

È il salto che il sistema produttivo italiano non ha ancora compiuto. Dopo gli anni della digital transformation ci attendono quelli della cyber transformation: passare dalla sicurezza del dato alla sicurezza del business, dal controllo tecnologico a una total business resilience che tenga insieme governance, processi ed ecosistema dei fornitori.

Le imprese che guideranno il prossimo decennio non saranno quelle con più tecnologia, ma quelle capaci di continuare a generare valore anche quando tutto il resto diventa imprevedibile. L'agente che sfugge al proprio recinto non è, in fondo, un problema di intelligenza artificiale: è un test di resilienza organizzativa. E oggi, in Italia, la maggioranza delle imprese quel test non lo passerebbe. (riproduzione riservata)

*Founder & Equity Partner, Strategic Management Partners