Benvenuti sul nostro blog.

Lista di controllo per la valutazione dei test di penetrazione basati sull’intelligenza artificiale: cosa cercare in un fornitore di servizi di test di penetrazione basati sull’intelligenza artificiale

Lista di controllo per i fornitori di servizi di pen-testing basati sull’intelligenza artificiale: cosa cercare

Una lista di controllo per valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale in termini di convalida, accesso al codice, controllo dell’ambito e affidabilità, oltre ai segnali di allarme che distinguono una piattaforma reale da una demo ben realizzata.

Aikido

Ancora un altro RCE in Gogs, ma questa volta è stato risolto!

CVE-2026-52813 | Un agente di pentesting di Aikido ha segnalato un problema di traversal del percorso in Gogs. Abbiamo esteso la vulnerabilità fino a una RCE completa e segnalato altri due bug, tutti risolti nella versione 0.14.3.

I migliori strumenti SCA aziendali nel 2026

I migliori strumenti SCA aziendali del 2026 | Aikido

Confronto tra gli strumenti SCA aziendali per il 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck e Veracode in termini di analisi, correzione e conformità.

I migliori strumenti DAST aziendali nel 2026

I migliori strumenti DAST per le aziende nel 2026 | Aikido

Confronta i migliori strumenti DAST aziendali del 2026 in termini di copertura autenticata, individuazione delle API, convalida degli exploit, governance, conformità e test di penetrazione basati sull’intelligenza artificiale

I migliori strumenti di sicurezza unificata nel 2026

I migliori strumenti di sicurezza unificata nel 2026 | Aikido

Confronta i migliori strumenti di sicurezza unificata del 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca, in termini di copertura, correlazione, governance e costi.

Da Hugging Face a Fable: quest’estate dimostra che il controllo dell’IA è più importante della fiducia

Sicurezza dell'IA: perché il controllo è più importante della fiducia

Una violazione causata da un'IA autonoma presso Hugging Face e la sospensione di Fable da parte di Anthropic dimostrano la stessa cosa: fidarsi di un fornitore non equivale ad avere il controllo

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

Di quale strumento per i test di sicurezza hai effettivamente bisogno?

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano le vulnerabilità in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché.

Che cos’è l’ingegneria dei sistemi di fissaggio per l’IA?

Che cos’è l’ingegneria degli harness? | Gli harness dell’IA e il loro impatto sulla sicurezza dell’IA

L'ingegneria dell'harness è il codice che circonda un modello di IA e lo trasforma in un agente. Cosa fa un harness, perché è preferibile alla semplice scelta di un modello e come crearne uno.

Chi c'era dietro l'attacco? Forse nessuno

Chi c'era dietro l'attacco? Forse nessuno | Gli attacchi degli agenti autonomi di Anthropic, OpenAI e AISI

Tre casi resi noti quest’estate hanno documentato attacchi sferrati da agenti di intelligenza artificiale contro organizzazioni reali, senza alcun intervento umano nella catena decisionale. La gestione degli incidenti non dispone ancora di un protocollo specifico per questo tipo di eventi.

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Aikido Machine: server locale per test di penetrazione basati sull'intelligenza artificiale | Aikido Security

Test di penetrazione basati sull'intelligenza artificiale in modalità continua per i team che non possono utilizzare il cloud. Aikido Machine mantiene modelli, codice e risultati interamente all'interno della vostra rete.

Test di penetrazione continui basati sull’intelligenza artificiale, effettuati all’interno della rete di organizzazioni soggette a una rigorosa regolamentazione. Belfius, la banca-assicurazione belga, è la prima ad averli implementati.

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Keyv e i suoi collaboratori sono stati vittime di un attacco alla catena di approvvigionamento di npm

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

I migliori strumenti SAST aziendali del 2026

I migliori strumenti SAST aziendali del 2026 | Aikido Security

Confronto tra i migliori strumenti SAST aziendali in termini di riduzione del rumore, correzione tramite IA, governance, conformità e costi

Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali

Il "Fever Dream" di Anthropic: il pacchetto "anthropickit" di Claude che ha sottratto chiavi reali

Anthropic ha rivelato l'esistenza di un agente che ha diffuso malware vero e proprio su PyPI. Riteniamo di aver individuato il pacchetto in questione, e ogni errore in esso contenuto rimanda all'intelligenza artificiale.

Anthropic ha rivelato che uno dei propri agenti ha pubblicato malware attivo su PyPI, compromettendo così un'azienda terza reale. Ho fatto qualche ricerca e potrei aver trovato il pacchetto che ha lasciato.

Le migliori alternative ad Astra Security per i test di penetrazione automatizzati nel 2026

Le migliori alternative ad Astra Pentest per i test di sicurezza | Aikido Security

Confronta le alternative ad Astra Security per i test di penetrazione basati sull'intelligenza artificiale nel 2026 in termini di approfondimento, test white-box, risultati di conformità e ampiezza della piattaforma

Quattro decisioni di risposta agli incidenti dalla violazione di Hugging Face

Quattro insegnamenti sulla gestione degli incidenti tratti dalla violazione subita da Hugging Face

Ricognizione, credenziali rubate, C2 nascosto e "ricostruzione o patch". Quattro decisioni relative alla violazione di Hugging Face che dimostrano se è possibile individuare un attacco in corso.

I migliori strumenti SAST del 2026

I migliori strumenti SAST del 2026: Aikido, Snyk, Semgrep e altri ancora

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali.

I migliori strumenti di sicurezza LLM per proteggere le applicazioni di intelligenza artificiale

I migliori strumenti di sicurezza basati su LLM nel 2026 | Aikido Security

Confronta i migliori strumenti di sicurezza LLM per le applicazioni di intelligenza artificiale, tra cui Aikido, Snyk, Semgrep, Endor Labs e Wiz, in termini di codice, catena di fornitura e fase di esecuzione.

Le migliori alternative ad Acunetix per la scansione automatizzata delle vulnerabilità

Le migliori alternative ad Acunetix per la scansione delle vulnerabilità | Aikido Security

Stai cercando delle alternative ad Acunetix? Il suo DAST prevede controlli basati su regole, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione di livello audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Stai cercando delle alternative ad Acunetix? Il suo DAST copre i controlli standard, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione a livello di audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Una migliore rilevazione generica dei segreti inizia con la ricerca di non-segreti

Alcune chiavi API sono destinate a essere pubbliche. Betterleaks ora le esclude dai risultati generici relativi ai segreti, riducendo di migliaia il numero di falsi positivi per ogni scansione.

SQL injection non è morta

Le iniezioni SQL (e Little Bobby Tables) non sono scomparse

La soluzione al problema dell’iniezione SQL risale a decenni fa e funziona ancora. Allora perché il core di WordPress ha appena avuto bisogno di una patch d’emergenza proprio per questo? I dati e come difendersi.

Il CISO di Tyro: Essere l'"Einstein della cybersecurity" non basta se gli sviluppatori non si fidano di te

L’Einstein della sicurezza informatica ha ancora bisogno della fiducia degli sviluppatori

Arun Singh, CISO di Tyro, parla della fiducia degli sviluppatori come risorsa limitata e di cosa succede quando gli attacchi alla catena di approvvigionamento costringono i team a consumarla

Cosa devono sapere gli sviluppatori su DSPM e l'esposizione dei dati nel codice

Il DSPM tradizionale individua dove si trovano i dati sensibili. Il DSPM basato sul codice individua in che modo vengono esposti e indica la correzione da apportare nel codice.

La trappola dell'aggiornamento: quando l'aggiornamento è la risposta sbagliata a una CVE

Perché l'aggiornamento per risolvere una vulnerabilità CVE spesso peggiora la situazione | Aikido

Eseguire un aggiornamento per risolvere una vulnerabilità CVE sembra semplice. Tuttavia, spesso la versione corretta non funziona correttamente con la tua app, non è ancora stata rilasciata o non esiste affatto. Ecco perché e cosa funziona davvero.

L'approccio "aggiorna per risolvere il problema" presuppone che esista una versione corretta, che sia già disponibile e che non causi malfunzionamenti nell'app. Spesso nessuna di queste condizioni è vera. Si tratta della "trappola dell'aggiornamento", in cui sia l'aggiornamento che la mancata esecuzione dello stesso comportano rischi per la sicurezza e il malfunzionamento dell'ambiente di produzione. Vediamo quale potrebbe essere la via d'uscita.

SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti

SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi

RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL

Vulnerabilità RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL. Applicate subito la patch per risolvere la vulnerabilità!

Il core di WordPress presenta una vulnerabilità RCE (wp2shell) senza autenticazione, confermata come iniezione SQL. Effettuate subito l'aggiornamento alla versione 7.0.2 o 6.9.5; se non è ancora possibile applicare la patch, adottate le misure di mitigazione. Bloccate la classe di attacco in fase di esecuzione con Aikido Zen.

Le migliori alternative a Pentera per i test di penetrazione automatizzati

Le migliori alternative a Pentera per i test di penetrazione automatizzati | Aikido Security

Confronta le migliori alternative a Pentera per i test di penetrazione automatizzati nel 2026. Scopri in quali contesti Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra e Astra si adattano meglio.

Analisi comparativa di 13 modelli di IA per l'individuazione di CVE già noti

Analisi comparativa di 13 modelli di IA nel rilevamento di vulnerabilità CVE note

Abbiamo testato 13 modelli di intelligenza artificiale su 26 CVE noti per verificare quale fosse in grado di individuare il maggior numero di vulnerabilità e se il modello più costoso valesse davvero la spesa.

Abbiamo testato 13 modelli di IA per individuare 26 vulnerabilità CVE note. GPT-5.6 è stato quello che ne ha individuate di più, ma il modello più costoso non si è rivelato il miglior investimento in termini di budget.

Tecnico

La checklist pratica per difendersi dagli attacchi alla supply chain

La checklist pratica sugli attacchi alla catena di approvvigionamento | Aikido

Trenta misure di difesa prioritarie contro la recente ondata di attacchi alla catena di approvvigionamento del software. Classificate come critiche, elevate o medie.

Pacchetti npm AsyncAPI con backdoor tramite GitHub Actions

Cinque versioni del pacchetto, che registrano circa 2 milioni di download settimanali, hanno distribuito un dropper offuscato il 14 luglio 2026. Ecco cosa abbiamo appurato finora.

Come Aikido Intel rileva per primo malware e vulnerabilità

Aikido Intel è un feed in tempo reale che individua malware e vulnerabilità non ancora rese note negli ecosistemi open source, spesso entro 8 minuti dalla loro diffusione.

Aikido Intel è un feed di intelligence in tempo reale sulla catena di approvvigionamento che individua rapidamente malware e vulnerabilità non ancora rese note negli ecosistemi open source.

Individuare otto vulnerabilità ad alta gravità in NodeBB in sei ore

Otto vulnerabilità di NodeBB ad alto livello di gravità, individuate dal nostro test di penetrazione basato sull'intelligenza artificiale in sei ore. Analisi tecnica completa delle catene XSS, dei bypass dell'autenticazione e del dirottamento dei post.

Che cos’è un firewall di dipendenza?

Che cos’è un firewall di dipendenza? | Aikido Security

Un firewall delle dipendenze blocca i pacchetti open source dannosi prima che vengano installati. Scopri come funzionano e in che modo Aikido Safe Chain blocca gli attacchi alla catena di approvvigionamento.

Come mantenere gli standard di qualità del codice con AI code e vibe coding

Vibe Coding implementa rapidamente le funzionalità e elimina il "debito di revisione". Scopri come i controlli di qualità del codice, basati su benchmark e per singola regola, forniscono ai team un risultato coerente in tutte le pull request e in tutti i repository.

@injectivelabs\/sdk-ts compromesso esfiltra le chiavi del wallet tramite telemetria falsa

Una versione dannosa di @injectivelabs/sdk-ts nascondeva un programma per il furto delle chiavi dei wallet all’interno di un codice etichettato come “telemetria d’uso”, per poi diffonderlo in altri 17 pacchetti npm. Ecco come funzionava e come controllare i propri progetti.

Guida all'acquisto di AI Pentesting: Come valutare i fornitori di AI pentesting

Guida all'acquisto dei test di penetrazione basati sull'intelligenza artificiale | Valutazione dei fornitori di test di penetrazione basati sull'intelligenza artificiale

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a un’analisi condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione scaricabile.

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a una ricerca condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione.

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web | Aikido Security

Confronta le migliori alternative a Burp Suite per il DAST e i test di penetrazione basati sull'intelligenza artificiale, tra cui Aikido, Caido, ZAP e Invicti.

Le migliori alternative ai paracatena del 2026

Le migliori alternative ai paracatena nel 2026 | Aikido

Confronto tra le migliori alternative a Chainguard nel 2026, da Aikido Security alle immagini Docker Hardened, passando per Minimus, RapidFort ed Echo.

Confronto tra alternative al Chainguard per le immagini di container indurite e la correzione delle vulnerabilità CVE senza migrazione forzata.

Le migliori feste, eventi collaterali e incontri sulla sicurezza del Black Hat USA 2026

Una guida selezionata alle feste, agli happy hour, alle cene dei CISO e agli incontri sulla sicurezza del Black Hat USA 2026 a Las Vegas, tra cui l’Omega Mart After Hours di Aikido con AWS e Tailscale.

Previsione continua di MongoDB ObjectId in Rocket.Chat

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita dell'ObjectId di MongoDB ha evidenziato la scarsa casualità che lo rende vulnerabile agli attacchi.

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita della funzione ObjectId() di MongoDB ha evidenziato la scarsa casualità che la rende vulnerabile agli attacchi.

Bypass dell'autenticazione nella configurazione predefinita di phpBB

I nostri agenti di pentest basati sull'intelligenza artificiale hanno individuato una vulnerabilità critica che consente di aggirare l'autenticazione in phpBB (CVE-2026-48611): una singola richiesta non autenticata permette di accedere a qualsiasi account. Consulta l'exploit e la correzione.

Aikido acquisisce Root per mettere in sicurezza la supply chain

Aikido ha acquisito Root per garantire la sicurezza della catena di fornitura del software, risolvendo le vulnerabilità dell'open source nella versione già in uso, senza necessità di aggiornamenti. Le correzioni critiche vengono condivise con la comunità, gratuitamente.

E un altro ancora. GitHub implementa la revoca delle credenziali break-glass

GitHub introduce la revoca delle credenziali "break glass"

La revoca delle credenziali tramite "break-glass" è ora disponibile su GitHub Enterprise. Le ripetute operazioni "durabletask" di Trivy e Microsoft dimostrano perché fosse necessaria una revoca rapida e completa.

GitHub Enterprise è ora in grado di revocare tutte le credenziali di un account con un'unica operazione. L'attacco a Trivy e la violazione del servizio "durabletask" di Microsoft stessa dimostrano perché questa funzionalità fosse attesa da tempo.

npm ora blocca gli account ad alto impatto dopo modifiche rischiose agli account

Uno sguardo al nuovo blocco dell'account di 72 ore di npm: cosa lo fa scattare, cosa blocca e come funziona in combinazione con la pubblicazione "trusted" e "staged".

Le migliori alternative a Koi nel 2026

Le migliori alternative a Koi Security nel 2026 | Aikido

Cerchi un'alternativa a Koi Security dopo l'acquisizione da parte di Palo Alto? Confronta i concorrenti in termini di protezione dei dispositivi, ampiezza della piattaforma e prezzi.

L'azione GitHub compromessa codfish/semantic-release-action ruba i segreti CI/CD

Il 24 giugno 2026 il servizio codfish/semantic-release-action è stato compromesso. Gli autori dell'attacco hanno reindirizzato i tag da v2 a v5 verso un payload Miasma finalizzato al furto di credenziali, mirato ai segreti dei sistemi CI/CD. Ecco cosa è successo e come verificare se si è stati colpiti.

Tutti stanno rilasciando codice che non riescono a leggere

Grazie all'intelligenza artificiale, ormai tutti sono sviluppatori, e gran parte del codice viene distribuito senza essere stato sottoposto a un'attenta revisione da parte di esperti del settore.

Aikido x Drydock | Un modo per i maintainer di rilevare il malware prima del rilascio

Aikido collabora con Drydock per introdurre una verifica del malware prima della pubblicazione su npm e PyPI

Aikido collabora con Drydock per introdurre la revisione dei pacchetti prima della pubblicazione su npm e PyPI. Scopri esattamente cosa contiene una versione prima che venga rilasciata: il malware viene individuato prima ancora del primo download.

Aikido ha avviato una collaborazione con Drydock per consentire ai responsabili della manutenzione di npm e PyPI di verificare con precisione il contenuto di una versione prima della sua pubblicazione. Individua il malware prima che venga distribuito, non dopo.

Packagist è ora protetto da Aikido Intel e altri aggiornamenti al registro PHP

Il feed dedicato al malware di Aikido ora blocca per impostazione predefinita le versioni dannose dei pacchetti in Composer. Uno sguardo a come Packagist sta contrastando intere categorie di attacchi alla catena di approvvigionamento.

Il feed anti-malware di Aikido ora blocca per impostazione predefinita le versioni dei pacchetti segnalate in Composer, per tutti coloro che effettuano installazioni da Packagist.org, senza che sia necessario attivare alcuna opzione. Nell’ultimo anno, Packagist e Composer hanno eliminato intere categorie di attacchi alla catena di approvvigionamento a livello di registro. Ecco cosa hanno implementato e perché ogni registro dovrebbe funzionare in questo modo.

Aikido x OWASP: 200 crediti gratuiti per i membri individuali

Aikido e OWASP: 200 crediti gratuiti per i membri

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco chi ha diritto a riceverli e come richiederli in due semplici passaggi.

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco come richiederli in due semplici passaggi.

Aikido

Oltre 140 popolari pacchetti npm Mastra colpiti da un attacco alla supply chain

141 pacchetti npm di Mastra sono stati compromessi in un attacco alla catena di approvvigionamento che ha introdotto una dipendenza dannosa per scaricare ed eseguire in modo silenzioso un payload al momento dell'installazione.

Diversi plugin IDE di JetBrains sorpresi a rubare chiavi AI

Una campagna coordinata che coinvolge almeno 15 plugin per IDE di JetBrains, pubblicati tramite sette account di fornitori diversi, sottrae la chiave API del fornitore di servizi di intelligenza artificiale che l'utente incolla nelle relative impostazioni.

Full Fathom Five: Il contesto del rilascio pubblico di classe Mythos di Anthropic

Full Fathom Five: Cosa significa il lancio pubblico della classe Mythos di Anthropic

Non c'è mai stato bisogno di Mythos per individuare gli IDOR e le falle nella logica di business. Uno sguardo a ciò che Anthropic ha rilasciato con Fable 5 e al motivo per cui la sicurezza informatica rimane, in fondo, un problema legato alle persone.

5 alternative sicure alle prese elettriche e perché sono migliori

5 alternative ai socket di sicurezza e perché sono migliori

Socket si è affermata grazie al rilevamento dei malware. Ma la velocità di rilevamento da sola non basta più. Ecco un confronto tra Aikido e altre quattro alternative in termini di sicurezza della catena di approvvigionamento, analisi della raggiungibilità, licenze e altro ancora.

npm v12 offre uno dei maggiori miglioramenti di sicurezza degli ultimi anni

npm v12 rende gli script di installazione opzionali per impostazione predefinita, bloccando il percorso di esecuzione in fase di installazione a seguito di un anno di vulnerabilità nella catena di approvvigionamento di npm, da Nx a Red Hat.

Aikido x Docker: meno rumore, più segnale nei tuoi container

Aikido supporta le immagini Docker Hardened con VEX

Aikido ora supporta le immagini Docker Hardened con integrazione VEX incorporata, aiutando i team a ridurre il "rumore" dei CVE e a concentrarsi sulle vulnerabilità dei container che richiedono effettivamente attenzione.

Esegui la scansione delle immagini Docker Hardened in Aikido con il filtro VEX automatico per le vulnerabilità CVE non sfruttabili.

Il codice viene scritto ovunque, e il dispositivo è l'unica costante

Il codice è ovunque e l’unico elemento costante è il dispositivo | Aikido Security

Gli sviluppatori scrivono codice ovunque. Gli agenti di intelligenza artificiale, i bot di Slack e i server MCP hanno trasformato i dispositivi degli sviluppatori nel principale punto cieco in materia di sicurezza.

Le SBOM nel 2026: Tutti le generano, nessuno le usa

Gli SBOM nel 2026: tutti li generano, ma nessuno li usa | Aikido Security

Il rapporto dell'ENISA del 2026 sull'adozione degli SBOM riguarda 334 organizzazioni e mette in luce un divario costante tra la generazione degli SBOM e il loro effettivo utilizzo. Ecco gli aspetti salienti.

Il crate Rust compromesso onering esegue l'esfiltrazione di codice

La crate Rust "onering" v1.4.1 presente su crates.io, che è stata compromessa, conteneva un file `build.rs` dannoso che, ogni volta che si esegue la compilazione, invia il diff dell'ultimo commit a un endpoint Sentry ospitato.

Vulnerabilità critica decennale in phpBB che colpisce decine di milioni di utenti su migliaia di forum

Vulnerabilità critica di phpBB: bypass dell'autenticazione + RCE dal 2014

Aikido Security ha scoperto una vulnerabilità critica nel sistema di autenticazione di phpBB, che consente di aggirare l'autenticazione senza autorizzazione e che interessa decine di milioni di utenti. È sufficiente una singola richiesta HTTP per assumere il controllo di qualsiasi account: una vulnerabilità presente nel codice fin dal 2014.

Aspetta, binding.gyp può fare cosa? Esplorando il più strano sistema di build di npm

Analisi approfondita di binding.gyp, il file di build npm spesso trascurato che può eseguire codice dannoso al momento dell'installazione tramite espansioni della shell, fughe dalla sandbox e dirottamento del compilatore.

L'AI SAST si sta affermando come una nuova categoria di SAST, ma il suo significato non è ancora chiaro. Chiariremo la differenza tra SAST nativo per l'IA e SAST assistito dall'IA, oltre a illustrare come l'AI SAST si collochi nella struttura tra il SAST tradizionale e il pentesting basato sull'IA.

Che cos’è l’AI SAST?

Le 5 migliori alternative a Tenable Nessus nel 2026

Le 5 migliori alternative a Tenable Nessus nel 2026 | Aikido Security

Tenable Nessus è uno scanner potente, ma gli strumenti potenti che nessuno utilizza non rendono il software più sicuro. Confronta cinque alternative progettate per adattarsi alle modalità di lavoro effettive dei team di ingegneri.

Tenable Nessus è un potente scanner per infrastrutture, ma gli strumenti potenti che rimangono scollegati dai flussi di lavoro degli sviluppatori sono strumenti che nessuno utilizza. Questa guida mette a confronto cinque alternative valutate in base alla loro integrazione nei flussi di lavoro degli sviluppatori, all’ampiezza della copertura in materia di sicurezza delle applicazioni (AppSec), al costo e all’esperienza di correzione delle vulnerabilità.

Perché EDR e proxy non ti salveranno dal malware della supply chain

Gli strumenti EDR e i proxy non sono stati progettati per contrastare il malware presente nella catena di approvvigionamento. Quando il codice dannoso arriva tramite il comando `npm install`, sembra un comportamento normale. Ecco perché è importante.

Fatti da parte, Mythos. Arriva... praticamente qualsiasi altro modello con un buon harness

Fatti da parte, Mythos. Ecco che arriva qualsiasi modello dotato di un buon sistema di aggancio.

Mythos offre vantaggi concreti nella costruzione di catene di exploit. Tuttavia, per la maggior parte delle attività di sicurezza delle applicazioni, l’infrastruttura a supporto del modello è più importante della scelta del modello stesso.

Pacchetti npm di Red Hat compromessi per diffondere un worm di furto credenziali

Diversi pacchetti npm ufficiali di @redhat-cloud-services sono stati compromessi da un worm progettato per rubare credenziali, derivato dal malware open source Mini Shai-Hulud, che prendeva di mira le credenziali cloud e gli strumenti di sviluppo utilizzati nelle pipeline CI/CD.

Vi presentiamo l’analisi del codice tramite IA: individuate le vulnerabilità complesse nascoste nel vostro codice sorgente

SAST individua gli schemi ricorrenti. L'analisi del codice basata sull'intelligenza artificiale (AI Code Analysis) esamina il codice come farebbe un hacker, individuando le falle logiche che emergono solo dopo il rilascio.

I modelli agentici sono ora in grado di individuare e mettere in relazione i difetti logici nel codice sorgente più rapidamente di qualsiasi hacker umano. Code Audit si colloca a metà strada tra il SAST e il pentesting, analizza il codice statico e individua le vulnerabilità a più fasi prima che il codice venga distribuito.

Cosa MDM non può proteggere sulle macchine degli sviluppatori (e cosa fare al riguardo)

Cosa non può proteggere l'MDM sui computer degli sviluppatori

Gli strumenti MDM come Jamf e Kandji sono fondamentali, ma non rilevano le installazioni da npm, le estensioni degli IDE o gli strumenti di programmazione basati sull'intelligenza artificiale. Ecco quali sono gli elementi effettivamente non protetti sui computer dei vostri sviluppatori e come colmare questa lacuna.

La maggior parte dei team di sicurezza ha implementato una soluzione MDM. Il problema è che le installazioni tramite npm, le estensioni di VS Code e gli strumenti di programmazione basati sull'intelligenza artificiale operano completamente al di fuori del campo visivo dell'MDM. Ecco quali sono gli elementi effettivamente non protetti e come colmare questa lacuna.

Le migliori alternative a GitGuardian per la scansione dei dati sensibili nel 2026

Confronta le migliori alternative a GitGuardian per la scansione dei segreti nel 2026. Scopri quali sono le soluzioni più adatte tra Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx e GitLab.

Confronta le migliori alternative a GitGuardian per l'analisi dei segreti nel 2026, tra cui Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One e GitLab Secret Detection.

Interfaccia utente remota Codex dall'aspetto legittimo ruba segretamente i tuoi token AI

Codexui-android, un'interfaccia utente remota di Codex ben rifinita, è un pacchetto npm attualmente in fase di sviluppo attivo e conta migliaia di utenti settimanali. Nell'ultimo mese ha sottratto in modo discreto i token di autenticazione di OpenAI.

Aikido vs XBOW: 58% in più di vulnerabilità trovate in un benchmark indipendente

Aikido e XBOW a confronto in un benchmark indipendente condotto da Doyensec. Aikido ha individuato il 58% in più di vulnerabilità a parità di prezzo. Scopri i tempi di configurazione, i tassi di falsi positivi e i risultati completi

Abbiamo incaricato Doyensec di condurre un test comparativo cieco e indipendente tra Aikido e XBOW sulle stesse app, a parità di prezzo. Aikido ha individuato il 58% in più di vulnerabilità verificate e si è dimostrato superiore in termini di configurazione, velocità e stabilità.

Perché le macchine degli sviluppatori sono ora l'obiettivo numero uno per gli attacchi alla supply chain

Perché i computer degli sviluppatori sono l’obiettivo numero uno degli attacchi alla catena di approvvigionamento | Aikido

I team di Omnea, Cognism, Glasswall, Raisin e del settore pubblico britannico spiegano perché le soluzioni EDR e MDM non riescono a cogliere ciò che accade realmente sui computer degli sviluppatori.

I team di ingegneri e di sicurezza di Omnea, Cognism, Glasswall e del settore pubblico britannico hanno tutti segnalato, in modo indipendente, lo stesso punto debole. Ecco cosa stanno facendo per porvi rimedio.

Un attacco alla supply chain prende di mira i pacchetti Laravel-Lang con un credential stealer

Gli autori dell'attacco hanno inserito un programma per il furto di credenziali in oltre 200 versioni di popolari pacchetti Laravel-Lang, diffondendo così un malware mirato a chiave cloud, chiavi SSH, browser, portafogli crittografici e altro ancora.

5 alternative a Gitleaks e perché sono migliori

5 alternative a Gitleaks per una migliore analisi dei segreti nel 2026

Cerchi un'alternativa a Gitleaks? Abbiamo messo a confronto Betterleaks, TruffleHog, Aikido, GitHub Advanced Security e Spectral per aiutarti a trovare il miglior strumento di scansione dei segreti per il tuo team.

Gitleaks non è più in fase di sviluppo attivo e il panorama della scansione dei segreti si è evoluto rapidamente. Mettiamo a confronto le cinque alternative più valide del 2026, tra cui Betterleaks, TruffleHog, Aikido, GitHub Advanced Security e Spectral, per aiutarti a trovare la soluzione più adatta al tuo stack.

Il Far West delle estensioni di VS Code e come un'estensione compromessa ha violato GitHub

Ieri è stata individuata un’estensione VS Code dannosa su GitHub, un giorno dopo che Nx Console (2,2 milioni di installazioni) era stata compromessa per 18 minuti sul Visual Studio Marketplace, raggiungendo tutti gli utenti con l’aggiornamento automatico attivato.

GitHub violato tramite un'estensione malevola di VS Code: perché i dispositivi degli sviluppatori sono il vero obiettivo

GitHub vittima di un attacco tramite un'estensione di VS Code | Attacco alla catena di approvvigionamento degli sviluppatori 2026

GitHub ha confermato che un'estensione di VS Code infetta ha compromesso il dispositivo di un dipendente, rendendo accessibili 3.800 repository interni. Perché le postazioni di lavoro degli sviluppatori sono ora il principale obiettivo della catena di approvvigionamento.

Il pacchetto durabletask di Microsoft su PyPi compromesso. Mini Shai Hulud attacca di nuovo... di nuovo!

Tre versioni progressivamente compromesse di un pacchetto Python legato a Microsoft costituiscono un infostealer completo che si diffonde tramite AWS e Kubernetes, sottrae tutte le credenziali cloud che riesce a trovare e cancella i dischi sui sistemi israeliani e iraniani

Mini Shai-Hulud colpisce ancora: il worm npm compromette centinaia di pacchetti @antv

Il worm npm "Mini Shai-Hulud" ha colpito i pacchetti @antv di Alibaba, echarts-for-react e timeago.js. Il payload ruba le credenziali di CI/CD, installa backdoor in VS Code e Claude Code e si diffonde ripubblicando i pacchetti compromessi. Ecco cosa è successo e come proteggere il vostro team.

Il worm npm Mini Shai-Hulud è tornato con l'ondata più massiccia mai registrata, compromettendo centinaia di pacchetti nell'ecosistema di visualizzazione dei dati di Alibaba. Il nostro team dedicato al malware sta monitorando oltre 2.700 repository GitHub non autorizzati creati con token rubati, mentre il worm continua a diffondersi.

Test di penetrazione e red teaming: qual è la differenza?

Test di penetrazione vs. Red Teaming: qual è la differenza?

Non sai se hai bisogno di un test di penetrazione o di un intervento del red team? Questa guida illustra le differenze principali, quando ricorrere a ciascuna soluzione e come l'intelligenza artificiale stia trasformando entrambe.

I test di penetrazione e il red teaming sono entrambi metodi per mettere alla prova la sicurezza, ma non sono la stessa cosa. Questo articolo spiega in dettaglio come funzionano, quando è meglio utilizzare l'uno piuttosto che l'altro e in che modo i test di penetrazione basati sull'intelligenza artificiale stanno cambiando le regole del gioco.

Le chiavi API di Google continuano a funzionare dopo averle eliminate

Le chiavi API di Google continuano a funzionare anche dopo la loro eliminazione per un periodo sufficientemente lungo da poter essere sfruttate

L'eliminazione di una chiave API di Google non comporta la sua revoca immediata. Dai nostri test è emerso che le autenticazioni sono andate a buon fine fino a 23 minuti dopo l'eliminazione, e Google si è rifiutata di risolvere il problema.

Shadow AI è una risposta alla paura, e proibirla peggiora la situazione

Perché i rischi legati all’intelligenza artificiale “ombra” nascono dalla paura (e vietarla non fa che peggiorare la situazione)

I dipendenti non utilizzano strumenti di IA non approvati per creare problemi. Hanno paura di rimanere indietro. Ecco perché vietare l’uso dell’IA “ombra” aumenta i rischi per la sicurezza e cosa fare invece.

L'“Shadow AI” è una reazione dettata dalla paura. I dipendenti nascondono gli strumenti che utilizzano perché interpretano correttamente un mercato del lavoro che richiede competenze nel campo dell’intelligenza artificiale. Ecco perché vietarle non fa che peggiorare la situazione e cosa fare invece.

Mini Shai-Hulud è tornato: il worm npm colpisce oltre 160 pacchetti, inclusi Mistral e Tanstack

Mini Shai-Hulud è tornato: ha compromesso 169 pacchetti npm relativi a TanStack, UiPath, Squawk e altri, con l'obiettivo di sottrarre credenziali degli sviluppatori e segreti relativi alla CI/CD, per poi diffondersi attraverso flussi di lavoro di pubblicazione affidabili.

La checklist completa per la sicurezza di GitHub Actions

Lista di controllo per la sicurezza di GitHub Actions

Alcune delle più gravi aggressioni alla catena di approvvigionamento verificatesi nel 2025 e nel 2026 sono state causate da configurazioni errate di GitHub Actions. Ecco cosa è andato storto e come evitare che ciò accada alla tua organizzazione.

Alcune delle più gravi aggressioni alla catena di approvvigionamento verificatesi nel 2025 e nel 2026 sono state causate da configurazioni errate di GitHub Actions. Ecco una lista di controllo pratica su come proteggersi da tali minacce.

I migliori scanner OWASP del 2026 per la sicurezza delle applicazioni web

La maggior parte degli scanner non copre l'intera lista OWASP Top 10. Abbiamo analizzato i migliori scanner OWASP del 2026 per consentirti di scegliere quello che ti garantisce una copertura completa.

La maggior parte degli scanner OWASP non copre l'intera Top 10. Questa guida analizza i migliori strumenti del 2026, cosa copre effettivamente ciascuno di essi e quale scanner offre una copertura completa senza falsi positivi.

Implementare la sicurezza per gli sviluppatori in un'organizzazione con oltre 5.000 ingegneri

Sicurezza degli sviluppatori su larga scala: guida all'implementazione per i CISO

La maggior parte delle iniziative di sicurezza intraprese dagli sviluppatori fallisce perché sono concepite come implementazioni di software, anziché come cambiamenti culturali. Una guida pratica per i CISO aziendali.

La maggior parte delle iniziative di sicurezza rivolte agli sviluppatori fallisce perché sono concepite come implementazioni di software, anziché come cambiamenti culturali. Ecco il modello per fasi su cui convergono i CISO più esperti per risolvere il problema.

Metamorfosi della sicurezza: una checklist di architettura Mythos-ready per attacchi AI autonomi

La sicurezza delle applicazioni (AppSec) è rimasta indietro rispetto alla complessità dei tempi moderni. Il progetto Glasswing e l’era Mythos richiedono una disciplina di sicurezza in grado di operare alla stessa velocità delle minacce che deve affrontare.

Perché le estensioni del browser rappresentano un grave rischio per la sicurezza e cosa puoi fare al riguardo

Le estensioni dei browser comportano numerosi rischi per la sicurezza, più di quanti siamo disposti ad ammettere. Analizziamo la portata complessiva della minaccia e cosa possono fare al riguardo sia i singoli utenti che le organizzazioni.

I migliori scanner CVE del 2026 per individuare le vulnerabilità note

I migliori scanner CVE del 2026: confronto in base a copertura, funzionalità di intelligence e correzione automatica

Abbiamo valutato i migliori scanner CVE del 2026 in base all’ampiezza della copertura, alle fonti di intelligence, al rapporto segnale-rumore e alla capacità di correzione automatica. Ecco un confronto tra i vari strumenti e quale è più adatto al vostro stack.

Non tutti gli scanner CVE sono uguali. Abbiamo messo a confronto le migliori opzioni disponibili nel 2026 in base all’ampiezza della copertura, alle fonti di intelligence, al rapporto segnale/rumore e alla capacità di correzione automatica, in modo che tu possa trovare la soluzione più adatta al tuo stack.

Il popolare pacchetto PyTorch Lightning compromesso da Mini Shai-Hulud

È stato individuato un malware nelle popolari versioni 2.6.2 e 2.6.3 di PyTorch Lightning, che ruba credenziali, portafogli di criptovalute e configurazioni VPN nell'ambito della campagna Mini Shai-Hulud.

Una checklist di sicurezza pratica per CTO per essere Mythos-ready

Lista di controllo per Mythos-Ready

Una pratica lista di controllo per i CTO del settore SaaS che devono destreggiarsi in un mondo caratterizzato da minacce legate a Mythos e all'IA agente. Basata sul vantaggio di chi difende: voi disponete del contesto che gli aggressori devono faticosamente procurarsi. Illustra i controlli, le pratiche e le abitudini operative che determinano se il vostro team riuscirà a individuare e risolvere i problemi prima che lo faccia qualcun altro.

Someone published four versions of a fake "tanstack" package in 27 minutes to steal your .env files

Four published versions of a fake "tanstack" package uploaded in 27 minutes that want to steal your .env files

A fake "tanstack" npm package published four malicious versions in 27 minutes today, exfiltrating .env files via a postinstall hook. Here's what happened, who was affected, and how to rotate your credentials.

Aikido integrates with AWS Kiro: Catching in review doesn't scale anymore

Aikido x Kiro | Catching in review doesn't scale anymore

AI agents writing your code. Aikido integrates directly into AWS Kiro's agentic workflow to keep security in the loop, automatically, from the first line. Aikido is AWS's first global security partner for Kiro.

Mini Shai-Hulud Targets SAP npm Packages With a Bun-Based Secret Stealer

Compromised SAP npm packages use a Bun-based preinstall payload to steal GitHub, npm, cloud, and CI secrets, then spread via GitHub using OhNoWhatsGoingOnWithGitHub.

It's time to treat browser extensions like supply chain attack vectors

It's time to treat browser extensions like supply chain attack vectors | Lessons learned from the Vercel breach

The Vercel breach followed a pattern the security industry knows well, where third-party code is implicitly trusted, then compromised upstream. We have a framework for that. We just haven't applied it to browser extensions yet. (Spoiler: We do this for software dependencies)

Is Shai-Hulud Back? Compromised Bitwarden CLI Contains a Self-Propagating npm Worm

Malware found in @bitwarden/cli v2026.4.0 steals SSH keys, cloud secrets, and AI coding tool credentials, then spreads through victims' own npm packages. Inside: a worm calling itself "Shai-Hulud: The Third Coming."

GPT-Proxy Backdoor in npm and PyPI turns Servers into Chinese LLM Relays

A newly discovered npm and PyPI malware campaign installs hidden LLM proxies on compromised servers, turning them into relay nodes for LLM traffic.

Roundcube XSS chained with cookie tossing for full inbox access

We found a stored XSS in Roundcube's draft attachment endpoint that, chained with a cookie tossing technique, gives an attacker full access to a victim's inbox. Here's how the exploit chain works and how it was patched

Introducing Device Protection: Security for Developer Devices

Aikido Device Protection: Security for Developer Devices | Aikido

Supply chain attacks target developer devices. Aikido Device Protection monitors every install across npm, PyPI, VS Code extensions, browser extensions, and AI tools.

Multiple Cross-Site Scripting (XSS) Vulnerabilities in Mailcow

Multiple XSS Vulnerabilities Found in Mailcow, Including Unauthenticated Account Takeover

Aikido's AI pentest agent found three XSS vulnerabilities in Mailcow, one of which let unauthenticated attackers take over administrator accounts. All issues have been patched as of version 2026-03b.

Aikido's AI pentesting agents found three XSS vulnerabilities in Mailcow, a widely used self-hosted email server. The most severe allowed unauthenticated attackers to inject a payload into Autodiscover logs that would execute when an admin viewed them, enabling full account takeover. All three have been fixed since version 2026-03b.

Grazie! La tua richiesta è stata ricevuta!

Ops! Qualcosa è andato storto durante l'invio del modulo.

November 13, 2024

•

Guide e Best Practice

AI Code Review & Automated Code Review: The Complete Guide

Tags/

#AppSec

#Code Quality

November 9, 2024

•

Guide e Best Practice

Continuous Code Quality in CI/CD Pipelines

Tags/

#Continuous Security Monitoring

#Code Quality

November 8, 2024

•

Vulnerabilità e Minacce

The State of SQL Injection

Tags/

#Vulnerabilities

#SQL Injections

November 6, 2024

•

Storie dei clienti

Visma’s Security Boost with Aikido: A Conversation with Nicolai Brogaard

Tags/

#usecase

October 10, 2024

•

Storie dei clienti

Security in FinTech: Q&A with Dan Kindler, co-founder & CTO of Bound

Tags/

#usecase

#fintech

September 11, 2024

•

Aggiornamenti di Prodotto e Aziendali

Automate compliance with SprintoGRC x Aikido

Automate compliance with Aikido and SprintoGRC. Set up the integration today to put technical vulnerability management on autopilot.

Tags/

#Compliance

#SOC 2

September 10, 2024

•

Guide e Best Practice

Manual vs. Automated Code Review: When to Use Each

Tags/

#AppSec

#Code Quality

September 2, 2024

•

Guide e Best Practice

SAST vs DAST: What You Need to Know in 2026

What you need to know about SAST vs DAST.

Tags/

#SAST

#DAST

July 8, 2024

•

Aggiornamenti di Prodotto e Aziendali

Why we’re stoked to partner with Laravel

TL;DR Laravel helps PHP developers create their best work, now Aikido helps to secure it. Read all about becoming Laravel's preferred AppSec provider.

Tags/

#AppSec

June 27, 2024

•

Vulnerabilità e Minacce

110,000 sites affected by the Polyfill supply chain attack

A critical supply chain attack has compromised over 110,000 websites via cdn.polyfill.io—remove it immedaitely to protect user data and app integrity.

Tags/

#Vulnerabilities

June 25, 2024

•

Guide e Best Practice

Cybersecurity Essentials for LegalTech Companies

LegalTech companies handle vast amounts of sensitive client data, making robust cybersecurity frameworks essential. Experts from Aikido Security, Amberlo, and Henchman emphasize the need for secure coding practices, compliance with industry standards like ISO 27001 and SOC 2, and continuous monitoring through innovative methods like bug bounty programs. As cyber threats evolve, so must the strategies to protect valuable legal data.

Tags/

#DevSecOps

#Legaltech

June 18, 2024

•

Aggiornamenti di Prodotto e Aziendali

Drata Integration - How to Automate Technical Vulnerability Management

How to become compliant without imposing a heavy workload on your dev team: Aikido and Drata integration automates technical vulnerability management. You'll better prepare for SOC 2 and ISO 27001:2022 while reducing false positives and saving time and money.

Tags/

#AppSec

#Vulnerabilities

12 agosto 2026

•

Aggiornamenti di Prodotto e Aziendali

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché

Test di penetrazione basati sull'intelligenza artificiale

August 5, 2026

•

Aggiornamenti di Prodotto e Aziendali

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Test di penetrazione basati sull'intelligenza artificiale

Comunicati

Pentesting Continuo

Sicurezza informatica europea

July 14, 2026

•

Aggiornamenti di Prodotto e Aziendali

Come Aikido Intel rileva per primo malware e vulnerabilità

Aikido Intel è un feed in tempo reale che individua malware e vulnerabilità non ancora rese note negli ecosistemi open source, spesso entro 8 minuti dalla loro diffusione.

informazioni

Protezione dei dispositivi per l'Aikido

SCA

August 4, 2026

•

Vulnerabilità e Minacce

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

Malware

July 31, 2026

•

Vulnerabilità e Minacce

Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali

Sicurezza dell'IA

Malware

July 19, 2026

•

Vulnerabilità e Minacce

SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti

SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi

Malware

June 12, 2026

•

Strumenti DevSec e confronti

5 alternative sicure alle prese elettriche e perché sono migliori

Aikido Zen

Malware

open source

August 19, 2025

•

Strumenti DevSec e confronti

Top 13 Dynamic Application Security Testing (DAST) Tools in 2026

Discover the 13 top best Dynamic Application Security Testing (DAST) tools in 2026. Compare features, pros, cons, and integrations to choose the right DAST solution.

Strumenti

DAST

July 18, 2025

•

Strumenti DevSec e confronti

Top 14 Container Scanning Tools in 2026

Discover the best 14 Container Scanning tools in 2026. Compare features, pros, cons, and integrations to choose the right solution for your DevSecOps pipeline.

Strumenti

Scansione di container