Benvenuti sul nostro blog.

Principali feed di threat intelligence nel 2026

I migliori feed di threat intelligence nel 2026 | Aikido Security

Mettiamo a confronto i migliori feed di threat intelligence del 2026: Aikido Intel, Socket Threat Feed, Snyk Security Database, OSV.dev e Spectra Intelligence (ReversingLabs)

I migliori strumenti di endpoint security per sviluppatori nel 2026

I migliori strumenti di endpoint security per sviluppatori nel 2026 | Aikido

Un confronto tra i migliori strumenti di endpoint security per sviluppatori nel 2026. Analizziamo Aikido Security, GitGuardian Developer Endpoint Protection, Koi Security, Socket e CrowdStrike Falcon

Aikido finanzia la sicurezza di Node.js

Aikido si unisce all'iniziativa di OpenJS per finanziare la sicurezza di Node.js

Aikido è partner inaugurale del Security Stewardship Program di OpenJS, finanziando bug bounty e supporto ai maintainer per Node.js.

Aikido si unisce al Security Stewardship Program di OpenJS come partner inaugurale, finanziando bug bounty e supporto ai maintainer per proteggere Node.js.

Aikido Security ottiene l'autorizzazione FedRAMP di livello "Moderate"

Aikido ha ottenuto l'autorizzazione FedRAMP Moderate, portando la correzione automatica delle vulnerabilità basata su intelligenza artificiale alle agenzie federali statunitensi.

Le migliori alternative a CodeQL nel 2026

Le migliori alternative a CodeQL nel 2026 | Aikido

Confronto tra le migliori alternative a CodeQL in base a falsi positivi, correzioni, costi e altro: Aikido Security, Semgrep, Snyk Code, SonarQube, Checkmarx e Veracode

Le migliori alternative a Greptile nel 2026

Le migliori alternative a Greptile nel 2026 | Aikido

Confrontiamo le migliori alternative a Greptile nel 2026 per copertura, falsi positivi, profondità di revisione e altro ancora: Aikido Security, CodeRabbit, Qodo, Graphite, SonarQube e CodeAnt AI

Rilevato un nuovo worm Go supplychain.local

I pacchetti npm e PyPI di MemTensor colpiti dal malware "supplychain.local"

"supplychain.local": codice malese rinvenuto nel plugin npm di MemTensor (0.1.21, 0.1.23) e in MemoryOS su PyPI (2.0.34).

Il Cyber Resilience Act è arrivato! Sfatare i miti e prime impressioni

La prima scadenza del Cyber Resilience Act è arrivata l'11 settembre 2026. Come appare la nuova Single Reporting Platform e quattro falsi miti sul CRA sfatati.

Invia un'e-mail a GitLab, esegui il push sul ramo main

GitLab ti fornisce un indirizzo email privato per creare issue. Se compromesso, chiunque ne sia in possesso può effettuare il push del codice, eseguire job CI/CD e aggirare le restrizioni IP su tutti i tuoi progetti pubblici e privati.

La campagna Graphalgo si estende ai provider Terraform e ai moduli Go

Il malware Graphalgo si diffonde a Terraform e Go

Aikido ha rilevato malware Go collegato a Graphalgo nei provider Terraform e nei moduli Go, che sfrutta trigger mirati, Slack e C2 basati su blockchain.

Il malware Graphalgo si è ora diffuso a Go, comparendo in due provider Terraform e due moduli Go.

Aikido e Deel: configurazione una tantum, sicurezza garantita per ogni noleggio

Codice, cloud e dispositivi protetti automaticamente non appena viene assunto qualcuno tramite Deel.

Presentazione di Aikido Altar: il modello che rende possibile la security intelligence sovrana

Aikido Altar: IA open-weight per la sicurezza sovrana

Aikido Altar è un modello di IA compatto e open-weight progettato per la security intelligence sovrana, che alimenta il pentesting on-prem e air-gapped di Aikido Machine.

I migliori strumenti di penetration test con IA on-premise nel 2026

I migliori strumenti di penetration test con IA on-premise 2026 | Aikido Security

I migliori strumenti on-premise di penetration test con IA del 2026 per i team operanti in settori regolamentati, confrontati in base al supporto air-gap, alla profondità whitebox e alla copertura applicativa

L'Aikido ottiene la certificazione AWS Security Competency per la sicurezza delle applicazioni

AWS ha conferito ad Aikido il riconoscimento Security Competency per Application Security, a conferma della capacità di Aikido di proteggere le applicazioni dal codice al cloud fino al runtime.

AWS ha verificato il nostro lavoro: siamo ufficialmente un partner AWS Security Competency per la sicurezza applicativa.

Le migliori alternative a Qodo per l'assistenza al codice basata su IA

Confronto tra le migliori alternative a Qodo nel 2026

Le migliori alternative a Qodo per la revisione del codice tramite IA nel 2026, messe a confronto in base a rumore, sicurezza e costi, per aiutarti a scegliere lo strumento più adatto al tuo team.

Le migliori alternative ad Aqua Security per la sicurezza cloud-native nel 2026

Confronto tra le prime 6 alternative ad Aqua Security nel 2026

Confronta le migliori alternative ad Aqua Security nel 2026: Aikido, Wiz, Prisma Cloud, Sysdig, Orca e CrowdStrike, valutando copertura, distribuzione, prezzi e compatibilità.

Dependabot vs Renovate (2026): Quale scegliere?

Dependabot vs Renovate

Un confronto tra Dependabot e Renovate in termini di configurazione, monorepo, piattaforme e sicurezza, oltre al motivo per cui l'aggiornamento automatico non coglie ciò che è realmente sfruttabile

Il picco di CVE tra le principali aziende software è un problema di remediation

Il volume delle CVE è in aumento tra le principali aziende software e un audit federale dimostra che persino il NIST non è riuscito a tenere il passo. Ecco perché la velocità di risoluzione, e non il numero di segnalazioni, è il dato che conta davvero.

Un grafico diventato virale questo mese ha mostrato una forte crescita delle CVE in 21 importanti aziende software, dividendo il settore in due fazioni sul significato di questo dato. Entrambe ignorano il valore che determina realmente il rischio: la velocità con cui vengono risolte le vulnerabilità importanti.

Jason Haddix: Smetti di temere il penetration testing basato su IA

Jason Haddix: Il 90% dei penetration test verrà eseguito dall'IA

Jason Haddix spiega perché il pentesting manuale non riesce a tenere il passo, cosa è destinato a scomparire per primo e perché la metodologia umana è ciò che rende efficace il penetration testing con IA

Un pacchetto Flutter compromesso su pub.dev contiene il malware XCSSET

Abbiamo rilevato il malware XCSSET all'interno di un pacchetto Flutter compromesso su pub.dev. Ecco un'analisi dettagliata della catena di infezione, dei moduli di propagazione e della logica dello stealer che abbiamo trovato all'interno.

Shai-Hulud risorge dopo 111 giorni

Un payload npm di Shai-Hulud è ricomparso 111 giorni dopo

Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni e poi è stato ripubblicato su npm, eludendo i controlli di sicurezza pensati per rilevarlo.

Un payload di Shai-Hulud di maggio è ricomparso su npm con lo stesso hash, immutato, superando indenne i controlli in fase di pubblicazione che avrebbero dovuto rilevarlo.

Fix per StyleSmuggler: patch per la RCE su Magento e Adobe Commerce

Fix per StyleSmuggler: patcha la RCE di Magento e Adobe Commerce

StyleSmuggler è una vulnerabilità RCE non autenticata che colpisce Magento e Adobe Commerce, priva di CVE e senza ancora una patch ufficiale di Adobe. Aikido ha già pronto il fix.

StyleSmuggler sta colpendo Magento e Adobe Commerce in questo momento e Adobe non ha ancora rilasciato una patch. Ecco la nostra patch disponibile e come funziona.

Dirty Frag (CVE-2026-43284): il bug del kernel Linux che trasforma l'accesso in lettura in permessi root

Dirty Frag (CVE-2026-43284): Escalation a Root in Linux | Aikido

Dirty Frag trasforma un accesso Linux a privilegi ridotti in permessi root e può effettuare il breakout dai container. Le CVE interessate, come verificare se sei esposto e come risolverlo.

Le migliori alternative a Trivy per la scansione di container e cloud nel 2026

Le migliori alternative a Trivy nel 2026: a confronto

Sei alternative a Trivy a confronto per il 2026 in merito a scansione di container, IaC, SAST, prioritizzazione e correzioni, con l'effettiva collocazione di ciascuna.

Rispetta gli SLA: come correggere le vulnerabilità prima ancora che la patch venga rilasciata

Il tuo SLA sta per scadere e la dipendenza non ha patch

Come usare Aikido Libraries per correggere dipendenze vulnerabili e rispettare gli SLA di sicurezza.

Scopri come rispettare gli SLA di sicurezza per le vulnerabilità delle dipendenze con Aikido Libraries, fornendo patch backportate e sicure.

MECCHA CHAMELEON non può nascondersi dalla RCE

Abbiamo scoperto una seconda RCE ritardata in MECCHA CHAMELEON: una mappa personalizzata dannosa poteva scrivere file ovunque nel sistema ed eseguire codice dopo un riavvio. Ora risolto nella versione 4.0.0.

I migliori strumenti DSPM nel 2026

I migliori strumenti DSPM del 2026: Confronto e classifica

Confronta i migliori strumenti DSPM del 2026 (Aikido, Wiz, Cyera, Varonis e Orca) in base all'accesso ai dati, alla correzione e alle modalità di rilevamento delle esposizioni

Confronta i migliori strumenti DSPM del 2026, Aikido, Wiz, Cyera, Varonis e Orca, in base all'accesso ai dati, alla correzione e alle modalità di rilevamento delle esposizioni

Il lato oscuro del rilevamento della supply chain

Le regole basate su stringhe intercettano solo il malware già noto. Il rilevamento comportamentale è il metodo per individuare gli attacchi alla supply chain.

Il popolare generatore di codice per TanStack Query colpito da un worm della supply chain

È stato scoperto un worm della supply chain nascosto in @7nohe/openapi-react-query-codegen, un popolare generatore di codice per TanStack Query, in grado di sottrarre credenziali e diffondersi a ogni pacchetto gestito dalla vittima.

Protezione delle immagini Docker

Protezione delle immagini Docker: rafforzamento, patch e manutenzione

La maggior parte delle vulnerabilità di un container proviene dall'immagine di base. Come rafforzare le immagini Docker, perché questo processo è continuo e come applicare le patch all'immagine base già in uso.

Addio e buona fortuna, TeamPCP. Ora viene il difficile.

Gli arresti di TeamPCP non risolvono i rischi per la supply chain emersi

AFP, FBI e polizia dell'Australia Occidentale hanno incriminato due uomini ritenuti responsabili di TeamPCP. Charlie Eriksen spiega perché l'arresto non colma la lacuna evidenziata da TeamPCP.

Due uomini sono stati incriminati in quanto presunti membri di TeamPCP, a seguito di mesi di indagini congiunte tra AFP, FBI e polizia dell'Australia Occidentale. Charlie Eriksen di Aikido spiega perché questo non colma la lacuna aperta da TeamPCP nella catena di fornitura del software.

Le migliori alternative a Minimus nel 2026

Minimus sta chiudendo. Confronta Aikido, Chainguard, Docker Hardened Images, RapidFort ed Echo, e scegli un'alternativa di immagini protette che non ti vincoli a un unico fornitore.

Aikido Security ottiene la certificazione ISO 42001:2023 per la governance dell'intelligenza artificiale

Aikido ottiene la certificazione ISO 42001 | Governance dell'IA

Aikido Security ha ottenuto la certificazione ISO 42001, lo standard globale per la governance dell'IA, che copre il penetration test con IA, l'audit di sicurezza del codice e la Deep PR Review.

Conformità

La sicurezza della catena di approvvigionamento del software richiede decisioni consapevoli piuttosto che impostazioni predefinite

Sicurezza della Software Supply Chain: decisioni, non impostazioni predefinite

La maggior parte del software si basa su decisioni che nessuno ha preso consapevolmente. Analizziamo perché l'adozione di blocchi, il pinning delle versioni, il backporting e la gestione degli SBOM funzionano solo se qualcuno se ne assume la piena responsabilità.

Una backdoor in xz-utils. Una build compromessa in lodash. Entrambi i problemi riconducono alla stessa cattiva abitudine: considerare un numero di versione come un dato di fatto anziché come una scelta. Ecco cosa serve davvero per prendere decisioni consapevoli anziché affidarsi ciecamente ai valori predefiniti.

Aikido lancia un servizio di pentesting "agente" per le app Android

Pentesting Android, ora con agenti autonomi | Aikido

Gli agenti di Aikido eseguono il pentest della tua app Android e del suo backend in un'unica valutazione whitebox. Ottieni risultati riproducibili, AutoFix e nuovi test per ogni singola problematica.

Ora Aikido esegue penetration test autonomi sulle app Android simulando le mosse di un attaccante, coprendo l'applicazione e il relativo backend in un'unica valutazione, con funzionalità di AutoFix e nuovi test integrate.

È possibile che OpenClaw abbia davvero hackerato quella palestra australiana? Abbiamo deciso di metterlo alla prova.

Abbiamo ricreato l'hack virale della palestra basato su IA in un ambiente controllato. Eseguendo Opus 4.6 su OpenClaw, il modello ha sfruttato la falla di prenotazione in nove test su dieci.

Come Aikido trova più vulnerabilità rispetto a Mythos dimezzando i costi

Come Aikido trova più vulnerabilità di Claude Security con Mythos a metà del costo

Aikido AI Code Audit ha trovato 8 vulnerabilità in più rispetto a Claude Security con Mythos a meno della metà del costo. Come il design dell'harness guida la copertura per dollaro.

L'audit di sicurezza del codice di Aikido ha trovato 8 vulnerabilità in più rispetto a Claude Security con Mythos, a meno della metà del costo. Scopri come il design incentrato sull'efficienza aumenta la copertura per dollaro.

Shai-Hulud è stata la cosa migliore che potesse capitare alla sicurezza della catena di approvvigionamento

npm Trusted Publishing è rimasto quasi inutilizzato dopo il suo rilascio. Poi, Shai-Hulud e altri 14 attacchi alla supply chain ne hanno fatto impennare l'adozione di 3,4 volte. Charlie analizza i dati dietro a questo fenomeno.

npm Trusted Publishing è rimasto quasi inutilizzato per due anni. Poi, Shai-Hulud e altri 14 attacchi alla supply chain ne hanno fatto impennare l'adozione di 3,4 volte. Charlie analizza i dati dietro a questo fenomeno.

I migliori strumenti di image hardening nel 2026

I migliori strumenti di image hardening nel 2026: confronto tra 7 soluzioni

Confronto tra i migliori strumenti di image hardening per il 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus e Wiz

I migliori strumenti di AI pentesting enterprise per la sicurezza delle applicazioni nel 2026

I migliori strumenti di AI pentesting enterprise nel 2026

Confronta i migliori strumenti di AI pentesting enterprise del 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian e Cobalt.

Cos'è la remediation delle CVE nel 2026?

La remediation delle CVE consiste nella correzione di vulnerabilità note nel software in esecuzione. Perché l'aggiornamento spesso fallisce, in cosa consiste realmente la remediation e come il backporting risolve il problema.

Abbiamo bruciato 11,7 miliardi di token per individuare il miglior modello di intelligenza artificiale per la sicurezza informatica

Abbiamo consumato 11,7 miliardi di token per trovare il miglior modello di IA per la sicurezza | GLM5.3 e DeepSeek sono ora all'avanguardia

Abbiamo testato 10 modelli di IA su 32 CVE recenti. DeepSeek V4 Pro ne ha trovati 28 e tre esecuzioni economiche hanno superato un singolo passaggio di Opus 5 o Grok in termini di copertura totale.

I popolari crate Rust arrayref, append-only-vec e internment compromessi in un attacco alla supply chain

Un attacco alla supply chain ha compromesso i popolari crate Rust arrayref, append-only-vec e internment, inserendo una dipendenza dal pacchetto malevolo proc-macro1, che scarica ed esegue un payload remoto in fase di compilazione.

Un attacco alla supply chain ha compromesso due popolari crate Rust, arrayref e append-only-vec, iniettando una dipendenza dal pacchetto malevolo proc-macro1 che scarica ed esegue un payload remoto durante la fase di build.

Checklist di valutazione per il pentesting IA: cosa cercare in un fornitore di pentesting IA

Checklist per i fornitori di pentesting IA: cosa cercare

Una checklist per valutare i fornitori di pentesting IA in base a validazione, accesso al codice, controllo dello scoup e affidabilità, oltre ai campanelli d'allarme che distinguono una vera piattaforma da una semplice demo.

Ancora un altro RCE in Gogs, ma questa volta è stato risolto!

CVE-2026-52813 | Un agente di pentesting di Aikido ha segnalato un problema di path traversal in Gogs. Lo abbiamo trasformato in un RCE completo e segnalato altri due bug, tutti risolti nella versione 0.14.3.

I migliori strumenti SCA enterprise del 2026

I migliori strumenti SCA enterprise del 2026 | Aikido

Confronta i migliori strumenti SCA enterprise per il 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck e Veracode in base a intelligenza, remediation e conformità.

I migliori strumenti DAST enterprise del 2026

I migliori strumenti DAST per le aziende nel 2026 | Aikido

Confronta i migliori strumenti DAST enterprise del 2026 in base a copertura autenticata, individuazione delle API, convalida degli exploit, governance, conformità e pentesting basato su IA

Confronta i migliori strumenti DAST enterprise del 2026 in base a copertura autenticata, individuazione delle API, convalida degli exploit, governance, conformità e pentesting basato su IA.

I migliori strumenti di sicurezza unificati nel 2026

I migliori strumenti di sicurezza unificati nel 2026 | Aikido

Confronta i migliori strumenti di sicurezza unificati del 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca in termini di copertura, correlazione, governance e costi.

Da Hugging Face a Fable: quest'estate dimostra che il controllo dell'AI conta più della fiducia

Sicurezza dell'AI: perché il controllo conta più della fiducia

Una violazione autonoma dell'AI presso Hugging Face e la sospensione di Fable da parte di Anthropic dimostrano la stessa cosa: fidarsi di un fornitore non equivale ad avere il controllo

Un agente AI ha violato autonomamente Hugging Face. L'accesso a un fornitore di AI è svanito da un giorno all'altro. Ecco cosa hanno in comune.

Trovare vulnerabilità in ogni fase: cosa eseguire e quando

Quale strumento di test di sicurezza ti serve davvero?

SAST, Deep PR Review, Code Security Audit e AI Pentest rilevano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno strumento e perché

SAST, Deep PR Review, Code Security Audit e AI Pentest rilevano le vulnerabilità in fasi diverse. Ecco quando utilizzare ciascuno strumento e perché.

Che cos’è l’ingegneria dei sistemi di fissaggio per l’IA?

Che cos’è l’ingegneria degli harness? | Gli harness dell’IA e il loro impatto sulla sicurezza dell’IA

L'ingegneria dell'harness è il codice che circonda un modello di IA e lo trasforma in un agente. Cosa fa un harness, perché è preferibile alla semplice scelta di un modello e come crearne uno.

Chi c'era dietro l'attacco? Forse nessuno

Chi c'era dietro l'attacco? Forse nessuno | Gli attacchi degli agenti autonomi di Anthropic, OpenAI e AISI

Tre casi resi noti quest’estate hanno documentato attacchi sferrati da agenti di intelligenza artificiale contro organizzazioni reali, senza alcun intervento umano nella catena decisionale. La gestione degli incidenti non dispone ancora di un protocollo specifico per questo tipo di eventi.

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Aikido Machine: server locale per test di penetrazione basati sull'intelligenza artificiale | Aikido Security

Test di penetrazione basati sull'intelligenza artificiale in modalità continua per i team che non possono utilizzare il cloud. Aikido Machine mantiene modelli, codice e risultati interamente all'interno della vostra rete.

Test di penetrazione continui basati sull’intelligenza artificiale, effettuati all’interno della rete di organizzazioni soggette a una rigorosa regolamentazione. Belfius, la banca-assicurazione belga, è la prima ad averli implementati.

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Keyv e i suoi collaboratori sono stati vittime di un attacco alla catena di approvvigionamento di npm

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

I migliori strumenti SAST aziendali del 2026

I migliori strumenti SAST aziendali del 2026 | Aikido Security

Confronto tra i migliori strumenti SAST aziendali in termini di riduzione del rumore, correzione tramite IA, governance, conformità e costi

Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali

Il "Fever Dream" di Anthropic: il pacchetto "anthropickit" di Claude che ha sottratto chiavi reali

Anthropic ha rivelato l'esistenza di un agente che ha diffuso malware vero e proprio su PyPI. Riteniamo di aver individuato il pacchetto in questione, e ogni errore in esso contenuto rimanda all'intelligenza artificiale.

Anthropic ha rivelato che uno dei propri agenti ha pubblicato malware attivo su PyPI, compromettendo così un'azienda terza reale. Ho fatto qualche ricerca e potrei aver trovato il pacchetto che ha lasciato.

Le migliori alternative ad Astra Security per i test di penetrazione automatizzati nel 2026

Le migliori alternative ad Astra Pentest per i test di sicurezza | Aikido Security

Confronta le alternative ad Astra Security per i test di penetrazione basati sull'intelligenza artificiale nel 2026 in termini di approfondimento, test white-box, risultati di conformità e ampiezza della piattaforma

Quattro decisioni di risposta agli incidenti dalla violazione di Hugging Face

Quattro insegnamenti sulla gestione degli incidenti tratti dalla violazione subita da Hugging Face

Ricognizione, credenziali rubate, C2 nascosto e "ricostruzione o patch". Quattro decisioni relative alla violazione di Hugging Face che dimostrano se è possibile individuare un attacco in corso.

I migliori strumenti SAST del 2026

I migliori strumenti SAST del 2026: Aikido, Snyk, Semgrep e altri ancora

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali.

I migliori strumenti di sicurezza LLM per proteggere le applicazioni di intelligenza artificiale

I migliori strumenti di sicurezza basati su LLM nel 2026 | Aikido Security

Confronta i migliori strumenti di sicurezza LLM per le applicazioni di intelligenza artificiale, tra cui Aikido, Snyk, Semgrep, Endor Labs e Wiz, in termini di codice, catena di fornitura e fase di esecuzione.

Le migliori alternative ad Acunetix per la scansione automatizzata delle vulnerabilità

Le migliori alternative ad Acunetix per la scansione delle vulnerabilità | Aikido Security

Stai cercando delle alternative ad Acunetix? Il suo DAST prevede controlli basati su regole, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione di livello audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Stai cercando delle alternative ad Acunetix? Il suo DAST copre i controlli standard, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione a livello di audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Una migliore rilevazione generica dei segreti inizia con la ricerca di non-segreti

Alcune chiavi API sono destinate a essere pubbliche. Betterleaks ora le esclude dai risultati generici relativi ai segreti, riducendo di migliaia il numero di falsi positivi per ogni scansione.

SQL injection non è morta

Le iniezioni SQL (e Little Bobby Tables) non sono scomparse

La soluzione al problema dell’iniezione SQL risale a decenni fa e funziona ancora. Allora perché il core di WordPress ha appena avuto bisogno di una patch d’emergenza proprio per questo? I dati e come difendersi.

Il CISO di Tyro: Essere l'"Einstein della cybersecurity" non basta se gli sviluppatori non si fidano di te

L’Einstein della sicurezza informatica ha ancora bisogno della fiducia degli sviluppatori

Arun Singh, CISO di Tyro, parla della fiducia degli sviluppatori come risorsa limitata e di cosa succede quando gli attacchi alla catena di approvvigionamento costringono i team a consumarla

Cosa devono sapere gli sviluppatori su DSPM e l'esposizione dei dati nel codice

Il DSPM tradizionale individua dove si trovano i dati sensibili. Il DSPM basato sul codice individua in che modo vengono esposti e indica la correzione da apportare nel codice.

La trappola dell'aggiornamento: quando l'aggiornamento è la risposta sbagliata a una CVE

Perché l'aggiornamento per risolvere una vulnerabilità CVE spesso peggiora la situazione | Aikido

Eseguire un aggiornamento per risolvere una vulnerabilità CVE sembra semplice. Tuttavia, spesso la versione corretta non funziona correttamente con la tua app, non è ancora stata rilasciata o non esiste affatto. Ecco perché e cosa funziona davvero.

L'approccio "aggiorna per risolvere il problema" presuppone che esista una versione corretta, che sia già disponibile e che non causi malfunzionamenti nell'app. Spesso nessuna di queste condizioni è vera. Si tratta della "trappola dell'aggiornamento", in cui sia l'aggiornamento che la mancata esecuzione dello stesso comportano rischi per la sicurezza e il malfunzionamento dell'ambiente di produzione. Vediamo quale potrebbe essere la via d'uscita.

SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti

SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi

RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL

Vulnerabilità RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL. Applicate subito la patch per risolvere la vulnerabilità!

Il core di WordPress presenta una vulnerabilità RCE (wp2shell) senza autenticazione, confermata come iniezione SQL. Effettuate subito l'aggiornamento alla versione 7.0.2 o 6.9.5; se non è ancora possibile applicare la patch, adottate le misure di mitigazione. Bloccate la classe di attacco in fase di esecuzione con Aikido Zen.

Le migliori alternative a Pentera per i test di penetrazione automatizzati

Le migliori alternative a Pentera per i test di penetrazione automatizzati | Aikido Security

Confronta le migliori alternative a Pentera per i test di penetrazione automatizzati nel 2026. Scopri in quali contesti Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra e Astra si adattano meglio.

Analisi comparativa di 13 modelli di IA per l'individuazione di CVE già noti

Analisi comparativa di 13 modelli di IA nel rilevamento di vulnerabilità CVE note

Abbiamo testato 13 modelli di intelligenza artificiale su 26 CVE noti per verificare quale fosse in grado di individuare il maggior numero di vulnerabilità e se il modello più costoso valesse davvero la spesa.

Abbiamo testato 13 modelli di IA per individuare 26 vulnerabilità CVE note. GPT-5.6 è stato quello che ne ha individuate di più, ma il modello più costoso non si è rivelato il miglior investimento in termini di budget.

La checklist pratica per difendersi dagli attacchi alla supply chain

La checklist pratica sugli attacchi alla catena di approvvigionamento | Aikido

Trenta misure di difesa prioritarie contro la recente ondata di attacchi alla catena di approvvigionamento del software. Classificate come critiche, elevate o medie.

Pacchetti npm AsyncAPI con backdoor tramite GitHub Actions

Cinque versioni del pacchetto, che registrano circa 2 milioni di download settimanali, hanno distribuito un dropper offuscato il 14 luglio 2026. Ecco cosa abbiamo appurato finora.

Come Aikido Intel rileva per primo malware e vulnerabilità

Aikido Intel è un feed in tempo reale che individua malware e vulnerabilità non ancora rese note negli ecosistemi open source, spesso entro 8 minuti dalla loro diffusione.

Aikido Intel è un feed di intelligence in tempo reale sulla catena di approvvigionamento che individua rapidamente malware e vulnerabilità non ancora rese note negli ecosistemi open source.

Individuare otto vulnerabilità ad alta gravità in NodeBB in sei ore

Otto vulnerabilità di NodeBB ad alto livello di gravità, individuate dal nostro test di penetrazione basato sull'intelligenza artificiale in sei ore. Analisi tecnica completa delle catene XSS, dei bypass dell'autenticazione e del dirottamento dei post.

Che cos’è un firewall di dipendenza?

Che cos’è un firewall di dipendenza? | Aikido Security

Un firewall delle dipendenze blocca i pacchetti open source dannosi prima che vengano installati. Scopri come funzionano e in che modo Aikido Safe Chain blocca gli attacchi alla catena di approvvigionamento.

Come mantenere gli standard di qualità del codice con AI code e vibe coding

Vibe Coding implementa rapidamente le funzionalità e elimina il "debito di revisione". Scopri come i controlli di qualità del codice, basati su benchmark e per singola regola, forniscono ai team un risultato coerente in tutte le pull request e in tutti i repository.

@injectivelabs\/sdk-ts compromesso esfiltra le chiavi del wallet tramite telemetria falsa

Una versione dannosa di @injectivelabs/sdk-ts nascondeva un programma per il furto delle chiavi dei wallet all’interno di un codice etichettato come “telemetria d’uso”, per poi diffonderlo in altri 17 pacchetti npm. Ecco come funzionava e come controllare i propri progetti.

Guida all'acquisto di AI Pentesting: Come valutare i fornitori di AI pentesting

Guida all'acquisto dei test di penetrazione basati sull'intelligenza artificiale | Valutazione dei fornitori di test di penetrazione basati sull'intelligenza artificiale

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a un’analisi condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione scaricabile.

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a una ricerca condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione.

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web | Aikido Security

Confronta le migliori alternative a Burp Suite per il DAST e i test di penetrazione basati sull'intelligenza artificiale, tra cui Aikido, Caido, ZAP e Invicti.

Le migliori alternative ai paracatena del 2026

Le migliori alternative ai paracatena nel 2026 | Aikido

Confronto tra le migliori alternative a Chainguard nel 2026, da Aikido Security alle immagini Docker Hardened, passando per Minimus, RapidFort ed Echo.

Confronto tra alternative al Chainguard per le immagini di container indurite e la correzione delle vulnerabilità CVE senza migrazione forzata.

Le migliori feste, eventi collaterali e incontri sulla sicurezza del Black Hat USA 2026

Una guida selezionata alle feste, agli happy hour, alle cene dei CISO e agli incontri sulla sicurezza del Black Hat USA 2026 a Las Vegas, tra cui l’Omega Mart After Hours di Aikido con AWS e Tailscale.

Previsione continua di MongoDB ObjectId in Rocket.Chat

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita dell'ObjectId di MongoDB ha evidenziato la scarsa casualità che lo rende vulnerabile agli attacchi.

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita della funzione ObjectId() di MongoDB ha evidenziato la scarsa casualità che la rende vulnerabile agli attacchi.

Bypass dell'autenticazione nella configurazione predefinita di phpBB

I nostri agenti di pentest basati sull'intelligenza artificiale hanno individuato una vulnerabilità critica che consente di aggirare l'autenticazione in phpBB (CVE-2026-48611): una singola richiesta non autenticata permette di accedere a qualsiasi account. Consulta l'exploit e la correzione.

Aikido acquisisce Root per mettere in sicurezza la supply chain

Aikido ha acquisito Root per garantire la sicurezza della catena di fornitura del software, risolvendo le vulnerabilità dell'open source nella versione già in uso, senza necessità di aggiornamenti. Le correzioni critiche vengono condivise con la comunità, gratuitamente.

E un altro ancora. GitHub implementa la revoca delle credenziali break-glass

GitHub introduce la revoca delle credenziali "break glass"

La revoca delle credenziali tramite "break-glass" è ora disponibile su GitHub Enterprise. Le ripetute operazioni "durabletask" di Trivy e Microsoft dimostrano perché fosse necessaria una revoca rapida e completa.

GitHub Enterprise è ora in grado di revocare tutte le credenziali di un account con un'unica operazione. L'attacco a Trivy e la violazione del servizio "durabletask" di Microsoft stessa dimostrano perché questa funzionalità fosse attesa da tempo.

npm ora blocca gli account ad alto impatto dopo modifiche rischiose agli account

Uno sguardo al nuovo blocco dell'account di 72 ore di npm: cosa lo fa scattare, cosa blocca e come funziona in combinazione con la pubblicazione "trusted" e "staged".

Le migliori alternative a Koi nel 2026

Le migliori alternative a Koi Security nel 2026 | Aikido

Cerchi un'alternativa a Koi Security dopo l'acquisizione da parte di Palo Alto? Confronta i concorrenti in termini di protezione dei dispositivi, ampiezza della piattaforma e prezzi.

L'azione GitHub compromessa codfish/semantic-release-action ruba i segreti CI/CD

Il 24 giugno 2026 il servizio codfish/semantic-release-action è stato compromesso. Gli autori dell'attacco hanno reindirizzato i tag da v2 a v5 verso un payload Miasma finalizzato al furto di credenziali, mirato ai segreti dei sistemi CI/CD. Ecco cosa è successo e come verificare se si è stati colpiti.

Tutti stanno rilasciando codice che non riescono a leggere

Grazie all'intelligenza artificiale, ormai tutti sono sviluppatori, e gran parte del codice viene distribuito senza essere stato sottoposto a un'attenta revisione da parte di esperti del settore.

Aikido x Drydock | Un modo per i maintainer di rilevare il malware prima del rilascio

Aikido collabora con Drydock per introdurre una verifica del malware prima della pubblicazione su npm e PyPI

Aikido collabora con Drydock per introdurre la revisione dei pacchetti prima della pubblicazione su npm e PyPI. Scopri esattamente cosa contiene una versione prima che venga rilasciata: il malware viene individuato prima ancora del primo download.

Aikido ha avviato una collaborazione con Drydock per consentire ai responsabili della manutenzione di npm e PyPI di verificare con precisione il contenuto di una versione prima della sua pubblicazione. Individua il malware prima che venga distribuito, non dopo.

Packagist è ora protetto da Aikido Intel e altri aggiornamenti al registro PHP

Il feed dedicato al malware di Aikido ora blocca per impostazione predefinita le versioni dannose dei pacchetti in Composer. Uno sguardo a come Packagist sta contrastando intere categorie di attacchi alla catena di approvvigionamento.

Il feed anti-malware di Aikido ora blocca per impostazione predefinita le versioni dei pacchetti segnalate in Composer, per tutti coloro che effettuano installazioni da Packagist.org, senza che sia necessario attivare alcuna opzione. Nell’ultimo anno, Packagist e Composer hanno eliminato intere categorie di attacchi alla catena di approvvigionamento a livello di registro. Ecco cosa hanno implementato e perché ogni registro dovrebbe funzionare in questo modo.

Aikido x OWASP: 200 crediti gratuiti per i membri individuali

Aikido e OWASP: 200 crediti gratuiti per i membri

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco chi ha diritto a riceverli e come richiederli in due semplici passaggi.

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco come richiederli in due semplici passaggi.

Oltre 140 popolari pacchetti npm Mastra colpiti da un attacco alla supply chain

141 pacchetti npm di Mastra sono stati compromessi in un attacco alla catena di approvvigionamento che ha introdotto una dipendenza dannosa per scaricare ed eseguire in modo silenzioso un payload al momento dell'installazione.

Diversi plugin IDE di JetBrains sorpresi a rubare chiavi AI

Una campagna coordinata che coinvolge almeno 15 plugin per IDE di JetBrains, pubblicati tramite sette account di fornitori diversi, sottrae la chiave API del fornitore di servizi di intelligenza artificiale che l'utente incolla nelle relative impostazioni.

Full Fathom Five: Il contesto del rilascio pubblico di classe Mythos di Anthropic

Full Fathom Five: Cosa significa il lancio pubblico della classe Mythos di Anthropic

Non c'è mai stato bisogno di Mythos per individuare gli IDOR e le falle nella logica di business. Uno sguardo a ciò che Anthropic ha rilasciato con Fable 5 e al motivo per cui la sicurezza informatica rimane, in fondo, un problema legato alle persone.

5 alternative sicure alle prese elettriche e perché sono migliori

5 alternative ai socket di sicurezza e perché sono migliori

Socket si è affermata grazie al rilevamento dei malware. Ma la velocità di rilevamento da sola non basta più. Ecco un confronto tra Aikido e altre quattro alternative in termini di sicurezza della catena di approvvigionamento, analisi della raggiungibilità, licenze e altro ancora.

npm v12 offre uno dei maggiori miglioramenti di sicurezza degli ultimi anni

npm v12 rende gli script di installazione opzionali per impostazione predefinita, bloccando il percorso di esecuzione in fase di installazione a seguito di un anno di vulnerabilità nella catena di approvvigionamento di npm, da Nx a Red Hat.

Aikido x Docker: meno rumore, più segnale nei tuoi container

Aikido supporta le immagini Docker Hardened con VEX

Aikido ora supporta le immagini Docker Hardened con integrazione VEX incorporata, aiutando i team a ridurre il "rumore" dei CVE e a concentrarsi sulle vulnerabilità dei container che richiedono effettivamente attenzione.

Esegui la scansione delle immagini Docker Hardened in Aikido con il filtro VEX automatico per le vulnerabilità CVE non sfruttabili.

Grazie! La tua richiesta è stata ricevuta!

Ops! Qualcosa è andato storto durante l'invio del modulo.

24 ottobre 2023

•

Storie dei clienti

Come il CTO di StoryChief usa Aikido Security per dormire sonni tranquilli

Perdi il sonno a causa dei problemi di sicurezza della tua startup? Scopri come Aikido Security ha migliorato la postura di sicurezza di StoryChief, offrendo tranquillità e notti serene al CTO.

Tag/

#usecase

17 ottobre 2023

•

Vulnerabilità e Minacce

Cos'è una CVE?

Le CVE rappresentano il linguaggio comune del mondo della sicurezza per le vulnerabilità note, ma nel 2026 il sistema è sottoposto a una forte pressione. Questa guida spiega come funzionano le CVE, come vengono valutate tramite il CVSS e perché i database su cui fanno affidamento i team non sono più completi. Vengono inoltre illustrate le contromisure da adottare, compreso il modo in cui Aikido Intel individua le vulnerabilità che non compaiono in alcun database pubblico.

Tag/

#Vulnerabilità

#IA

#open source

27 settembre 2023

•

Vulnerabilità e Minacce

Le 3 principali vulnerabilità di sicurezza nelle applicazioni web nel 2024

Tag/

#Vulnerabilità

#AppSec

22 agosto 2023

•

Aggiornamenti aziendali

Nuove funzionalità di Aikido Security: Agosto 2023

Nelle ultime settimane abbiamo rilasciato molte nuove funzionalità e ampliato il supporto per diversi stack di strumenti. Abbiamo aggiornato il nostro motore di reachability per supportare pienamente PNPM, ampliato le regole AWS, esteso Autofix a Python e aumentato il supporto per i container registry.

Tag/

#AppSec

#DevSecOps

10 agosto 2023

•

Guide e Best Practice

Checklist di sicurezza per CTO SaaS 2025 di Aikido

Le aziende SaaS sono il bersaglio principale in fatto di sicurezza. La checklist di sicurezza per CTO SaaS 2024 di Aikido offre oltre 40 punti per potenziare la sicurezza 💪 Scaricala subito per rendere la tua azienda e il tuo codice 10 volte più sicuri. #cybersecurity #SaaSCTO #securitychecklist

Tag/

#AppSec

10 agosto 2023

•

Guide e Best Practice

Checklist di sicurezza per CTO SaaS 2024 di Aikido

Tag/

#AppSec

25 Luglio 2023

•

Guide e Best Practice

15 principali sfide di sicurezza cloud e del codice rivelate dai CTO

Tutti i CTO affrontano sfide nel mettere in sicurezza il proprio prodotto. Abbiamo voluto individuare i trend e scoprire le esigenze e le preoccupazioni dei CTO di aziende SaaS. Abbiamo consultato 15 CTO di aziende software cloud-native in merito alle loro sfide di sicurezza cloud e del codice. Priorità, ostacoli, vulnerabilità, risultati desiderati!

Tag/

#AppSec

#Cloud

12 Luglio 2023

•

Vulnerabilità e Minacce

Cos'è la OWASP Top 10?

La OWASP Top 10 funge da checklist fondamentale, identificando i rischi più critici per la sicurezza delle applicazioni web e guidando gli sviluppatori nella mitigazione di queste vulnerabilità. Aderendo alla OWASP Top 10, non solo proteggi i dati sensibili, ma promuovi anche una cultura della sicurezza, assicurando che la tua applicazione rimanga resiliente di fronte alle minacce emergenti.

Tag/

#OWASP

#Vulnerabilità

11 Luglio 2023

•

Guide e Best Practice

Come creare un pannello di amministrazione sicuro per la tua app SaaS

Evita gli errori più comuni durante la creazione di un pannello di amministrazione SaaS. Delineiamo alcune insidie e potenziali soluzioni specifiche per i developer SaaS!

Tag/

Nessun elemento trovato.

5 Luglio 2023

•

Guide

Come prepararsi alla norma ISO 27001:2022

La norma ISO 27001:2022 sostituisce la ISO 27001:2013. Aikido ti aiuta ad adeguarti rapidamente ai nuovi controlli di sicurezza, permettendo a te e ai tuoi clienti di dormire sonni tranquilli. Questo articolo del blog ti guida attraverso i nuovi requisiti e mostra come Aikido ti supporta.

Tag/

Nessun elemento trovato.

19 Giugno 2023

•

Guide

Prevenire le conseguenze di un attacco alla tua piattaforma CI/CD

Le pipeline CI/CD sono un bersaglio privilegiato per gli hacker, quindi adotta misure per prevenirne le conseguenze. Aikido Security verifica se il tuo cloud sta difendendo attivamente la tua CI/CD.

Tag/

#AWS

#Codeship

#Cloud

#CircleCI

12 Giugno 2023

•

Guide e Best Practice

Come chiudere accordi più velocemente con un report di valutazione della sicurezza

Tag/

#AppSec

#DevSecOps

aggiornamenti su prodotto e azienda

6 ottobre 2026

•

Aggiornamenti aziendali

Aikido Security ottiene l'autorizzazione FedRAMP di livello "Moderate"

Aikido ha ottenuto l'autorizzazione FedRAMP Moderate, portando la correzione automatica delle vulnerabilità basata su intelligenza artificiale alle agenzie federali statunitensi.

21 settembre 2026

•

Aggiornamenti aziendali

Presentazione di Aikido Altar: il modello che rende possibile la security intelligence sovrana

Aikido Altar è un modello di IA compatto e open-weight progettato per la security intelligence sovrana, che alimenta il pentesting on-prem e air-gapped di Aikido Machine.

17 settembre 2026

•

Aggiornamenti aziendali

L'Aikido ottiene la certificazione AWS Security Competency per la sicurezza delle applicazioni

AWS ha conferito ad Aikido il riconoscimento Security Competency per Application Security, a conferma della capacità di Aikido di proteggere le applicazioni dal codice al cloud fino al runtime.

Comunicati

Vulnerabilità e Minacce

23 settembre 2026

•

Vulnerabilità e Minacce

Rilevato un nuovo worm Go supplychain.local

"supplychain.local": codice malese rinvenuto nel plugin npm di MemTensor (0.1.21, 0.1.23) e in MemoryOS su PyPI (2.0.34).

Malware

8 settembre 2026

•

Vulnerabilità e Minacce

Un pacchetto Flutter compromesso su pub.dev contiene il malware XCSSET

Malware

7 settembre 2026

•

Vulnerabilità e Minacce

Shai-Hulud risorge dopo 111 giorni

Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni e poi è stato ripubblicato su npm, eludendo i controlli di sicurezza pensati per rilevarlo.

informazioni

Malware

Vulnerabilità

Strumenti DevSec e confronti

12 giugno 2026

•

Strumenti DevSec e confronti

5 alternative sicure alle prese elettriche e perché sono migliori

Aikido Zen

Malware

open source

19 agosto 2025

•

Strumenti DevSec e confronti

I 13 migliori strumenti per i test dinamici di sicurezza delle applicazioni (DAST) nel 2026

Scopri i 13 migliori strumenti per il Dynamic Application Security Testing (DAST) del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione DAST più adatta alle tue esigenze.

Strumenti

DAST

18 luglio 2025

•

Strumenti DevSec e confronti

I 14 migliori strumenti di scansione dei container nel 2026

Scopri i 14 migliori strumenti di scansione dei container del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione più adatta alla tua pipeline DevSecOps.

Strumenti

Scansione di container

Guide e Best Practice