La demo funziona, i dati compaiono, il cliente sorride e qualcuno propone di andare in produzione prima del fine settimana. Potenza dell’intelligenza artificiale che genera codice, ma se nessuno controlla, cosa succede? Il Vibe Security Radar di Georgia Tech, università statunitense, prova a misurare vulnerabilità reali attribuibili a strumenti di generazione del codice. La versione disponibile a oggi con copertura fino al 24 marzo 2026 mostra 78 vulnerabilità collegate all’IA, 43 classificate come critiche o alte. Non parliamo di virgole fuori posto, ma di comandi eseguibili, autenticazioni aggirate, segreti esposti, autorizzazioni sbagliate e configurazioni che, quando manca un valore, si aprono invece di chiudersi.
Prima di proclamare la superiorità dell’errore artificiale rispetto a quello umano, conviene frenare. Il radar vede soprattutto ciò che lascia una firma, quindi non tutto può essere attribuito e quindi non dimostra che l’IA produca più vulnerabilità dei programmatori, tuttavia i numeri sono un segnale, pur non essendo una classifica dei colpevoli.
A questo proposito un’analisi pubblicata il 13 luglio scorso aggiunge il punto di vista degli sviluppatori. Quarantaquattro professionisti hanno svolto compiti di sicurezza con e senza l’aiuto di GitHub Copilot. Il supporto dell’IA ha migliorato alcuni aspetti del funzionamento del codice, ma non ha migliorato in modo significativo l’uso sicuro delle interfacce e molti non hanno notato che le soluzioni restavano insicure. Un altro studio preliminare ha osservato applicazioni costruite con il cosiddetto vibe coding (programmazione in linguaggio naturale tramite IA), lasciando al sistema gran parte della produzione e delle modifiche. Sono emersi difetti ricorrenti: logica provvisoria rimasta in produzione, input non controllati, segreti esposti e verifiche degli accessi insufficienti. Senza dubbio prompt migliori riducono alcuni errori, ma non cancellano il problema.
La notizia, dunque, non è che l’intelligenza artificiale scriva un codice vulnerabile. Anche gli esseri umani ci riescono con continuità. La novità è la velocità: una funzione può essere generata in pochi secondi, ma comprenderne le dipendenze, immaginare come possa essere abusata, provarla nei casi limite e stabilire chi ne risponde richiede ancora tempo umano. Abbiamo montato un motore da corsa su un’automobile lasciando invariati freni e sterzo.
Se milioni di sviluppatori utilizzano gli stessi modelli, uno schema sbagliato può essere replicato in più progetti. La complessità distribuisce la fragilità: basta un punto difettoso e trovarlo diventa il vero lavoro.
Cambia anche il mestiere dello sviluppatore. Il valore si sposta dalla scrittura alla revisione. Eppure le organizzazioni continuano a premiare il numero di funzionalità consegnate e la velocità di rilascio. Abbiamo allargato la fabbrica senza ingrandire il reparto qualità.
Il codice generato dall’IA dovrebbe entrare nei processi come il lavoro di un collaboratore velocissimo, junior e privo di reputazione da perdere. Le parti che gestiscono identità, autorizzazioni, segreti, input e collegamenti esterni devono essere controllate. I test devono fermare la pubblicazione, non diventare un rapporto letto dopo l’incidente. La provenienza del codice deve restare tracciabile, perché la responsabilità non può evaporare insieme al cursore.
Il problema del vibe coding non è che la macchina produca al posto nostro, ma che, se quello che ha scritto funziona, smettiamo subito di domandarci che cosa abbia scritto.