Benvenuti sul nostro blog.

L'Aikido ottiene la certificazione AWS Security Competency per la sicurezza delle applicazioni

AWS ha riconosciuto ad Aikido la Certificazione di competenza in materia di sicurezza delle applicazioni, a conferma di come Aikido garantisca la sicurezza delle applicazioni, dal codice al cloud fino all'esecuzione.

AWS ha verificato il nostro lavoro: siamo ufficialmente un AWS Security Competency Partner per la sicurezza delle applicazioni.

Le migliori alternative a Qodo per l'assistenza alla programmazione basata sull'intelligenza artificiale

Confronto tra le migliori alternative a Qodo nel 2026

Le migliori alternative a Qodo per la revisione del codice tramite IA nel 2026, messe a confronto in base a rumore, sicurezza e costo, per permetterti di scegliere lo strumento più adatto al tuo team.

Le migliori alternative ad Aqua Security per la sicurezza cloud-native nel 2026

Confronto tra le 6 migliori alternative ad Aqua Security nel 2026

Confronta le migliori alternative ad Aqua Security nel 2026: Aikido, Wiz, Prisma Cloud, Sysdig, Orca e CrowdStrike, in termini di copertura, implementazione, prezzi e adeguatezza alle esigenze.

Dependabot contro Renovate

Dependabot vs Renovate (2026): quale scegliere?

Confronto tra Dependabot e Renovate in termini di configurazione, monorepo, piattaforme e sicurezza, oltre a spiegare perché l’aggiornamento automatico non individua ciò che è effettivamente vulnerabile

Il picco dei CVE registrato dalle principali aziende produttrici di software rappresenta un problema di correzione delle vulnerabilità

Il numero di vulnerabilità CVE è in aumento presso le principali aziende di software e un audit federale dimostra che nemmeno il NIST è riuscito a stare al passo. Ecco perché è la velocità di risoluzione, e non il numero di segnalazioni, il dato che conta davvero.

Jason Haddix: Smettiamo di temere i test di penetrazione basati sull’intelligenza artificiale

Jason Haddix: Il 90% dei test di penetrazione sarà eseguito dall'intelligenza artificiale

Jason Haddix spiega perché i test di penetrazione manuali non riescono a stare al passo, cosa viene meno per primo e perché è proprio l'approccio umano a garantire il successo dei test di penetrazione basati sull'intelligenza artificiale

Un pacchetto Flutter compromesso su pub.dev contiene il malware XCSSET

Abbiamo rilevato il malware XCSSET all’interno di un pacchetto Flutter compromesso su pub.dev. Di seguito è riportata un’analisi dettagliata della catena di infezione, dei moduli di propagazione e della logica dello stealer che abbiamo individuato al suo interno.

Shai-Hulud torna in vita dopo 111 giorni

Un payload npm di Shai-Hulud è stato rilevato 111 giorni dopo

Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni, per poi essere ripubblicato su npm, eludendo la scansione antimalware pensata proprio per individuarlo.

Soluzione di StyleSmuggler: applicare la patch per la vulnerabilità RCE in Magento e Adobe Commerce

Correzione di StyleSmuggler: patch per Magento e Adobe Commerce (RCE)

StyleSmuggler è una vulnerabilità RCE senza autenticazione che colpisce Magento e Adobe Commerce; al momento non è stato assegnato alcun codice CVE e non è ancora disponibile alcuna patch da parte di Adobe. Aikido dispone già della correzione.

StyleSmuggler sta colpendo proprio in questo momento Magento e Adobe Commerce, e Adobe non ha ancora rilasciato una correzione. Ecco la patch di cui disponiamo già e come funziona.

Dirty Frag (CVE-2026-43284): il bug del kernel Linux che trasforma un accesso in lettura in un accesso con privilegi di root

Dirty Frag (CVE-2026-43284): Escalation dei privilegi di root su Linux | Aikido

Dirty Frag trasforma un accesso Linux con privilegi limitati in un accesso root ed è in grado di sfuggire ai container. I CVE interessati, come verificare se si è esposti al rischio e come risolvere il problema.

Le migliori alternative a Trivy per la scansione di container e cloud nel 2026

Le migliori alternative a Trivy nel 2026: un confronto

Confronto tra sei alternative a Trivy per il 2026 in materia di scansione dei container, IaC, SAST, definizione delle priorità e correzioni, con l’indicazione del contesto in cui ciascuna di esse trova effettivamente applicazione.

Basta violare gli SLA: come applicare le patch alle vulnerabilità prima ancora che la correzione venga rilasciata

Il tuo SLA sta per essere violato e per la dipendenza non è disponibile alcuna patch

Come utilizzare le librerie Aikido per correggere le dipendenze vulnerabili e rispettare gli SLA di sicurezza.

Scopri come rispettare gli SLA di sicurezza relativi alle vulnerabilità delle dipendenze con le librerie Aikido, applicando patch sicure e retrocompatibili.

Aikido

MECCHA CHAMELEON non può sfuggire all'RCE

Abbiamo individuato una seconda vulnerabilità RCE ritardata in MECCHA CHAMELEON: una mappa personalizzata dannosa poteva scrivere file in qualsiasi punto del sistema ed eseguire codice dopo un riavvio. La vulnerabilità è stata corretta nella versione 4.0.0.

I migliori strumenti DSPM nel 2026

I migliori strumenti DSPM del 2026: confronto e classifica

Confronta i migliori strumenti DSPM del 2026: Aikido, Wiz, Cyera, Varonis e Orca, in termini di accesso ai dati, correzione delle vulnerabilità e modalità di individuazione delle esposizioni

Confronta i migliori strumenti DSPM del 2026 – Aikido, Wiz, Cyera, Varonis e Orca – in termini di accesso ai dati, correzione delle vulnerabilità e modalità di individuazione delle esposizioni

Il lato oscuro del monitoraggio della catena di approvvigionamento

Le regole basate su stringhe individuano solo il malware già noto. Il rilevamento comportamentale è il metodo che consente di individuare gli attacchi alla catena di approvvigionamento.

Il popolare generatore di codice per TanStack Query è stato colpito da un worm della catena di approvvigionamento

È stato individuato un worm della catena di approvvigionamento nascosto in @7nohe/openapi-react-query-codegen, un popolare generatore di codice per TanStack Query, che rubava credenziali e si diffondeva in tutti i pacchetti gestiti dalla vittima.

Protezione delle immagini Docker

Protezione delle immagini Docker: rafforzamento della sicurezza, applicazione delle patch e manutenzione

La maggior parte delle vulnerabilità di un container deriva dall'immagine di base. Come rafforzare le immagini Docker, perché il rafforzamento è un processo continuo e come applicare le patch all'immagine di base che già utilizzi.

Addio e buona fortuna, TeamPCP. Ora viene il difficile.

Gli arresti effettuati dal TeamPCP non risolvono il rischio legato alla catena di approvvigionamento che hanno messo in luce

L'AFP, l'FBI e la polizia dello Stato di Washington hanno incriminato due uomini che sarebbero i responsabili di TeamPCP. Charlie Eriksen spiega perché l'arresto non colma il divario messo in luce da TeamPCP.

Due uomini sono stati incriminati in quanto presunti membri del TeamPCP al termine di mesi di indagini transnazionali condotte dall’AFP, dall’FBI e dalla Polizia dello Stato di Washington. Charlie Eriksen di Aikido spiega perché ciò non colma la lacuna che il TeamPCP ha messo in luce nelle catene di approvvigionamento del software.

Le migliori alternative a Minimus nel 2026

Minimus sta per chiudere. Confronta Aikido, Chainguard, Docker Hardened Images, RapidFort ed Echo, e scegli un’alternativa per le immagini protette che non ti vincoli nuovamente a un unico fornitore.

Aikido Security ottiene la certificazione ISO 42001:2023 per la governance dell'intelligenza artificiale

L'Aikido ottiene la certificazione ISO 42001 | AI Governance

Aikido Security ha ottenuto la certificazione ISO 42001, lo standard globale per la governance dell'intelligenza artificiale, che comprende test di penetrazione dell'IA, audit sulla sicurezza del codice e revisione approfondita delle relazioni pubbliche.

Conformità

La sicurezza della catena di approvvigionamento del software richiede decisioni consapevoli piuttosto che impostazioni predefinite

Sicurezza della catena di fornitura del software: decisioni, non impostazioni predefinite

La maggior parte dei software si basa su decisioni che nessuno ha preso. Spieghiamo perché il gating, il pinning, il backporting e la gestione dell’SBOM funzionano solo se c’è qualcuno che se ne assume effettivamente la responsabilità.

Una backdoor in xz-utils. Una build difettosa in lodash. Entrambe le situazioni sono riconducibili alla stessa abitudine: considerare il numero di versione come un dato di fatto anziché come una scelta. Ecco cosa riteniamo sia realmente necessario per prendere decisioni autonome invece di affidarsi alle impostazioni predefinite.

Aikido lancia un servizio di pentesting "agente" per le app Android

Test di penetrazione su Android: ora con agenti e in modo autonomo | Aikido

Gli esperti di Aikido eseguono un test di penetrazione sulla tua app Android e sul relativo backend nell'ambito di un'unica valutazione white box. Riceverai risultati riproducibili, la funzione AutoFix e nuovi test per ogni problema individuato.

Aikido esegue ora test di penetrazione autonomi sulle app Android proprio come farebbe un hacker, analizzando sia l'app che il suo backend in un'unica valutazione, con funzionalità di correzione automatica (AutoFix) e ripetizione dei test integrate.

È possibile che OpenClaw abbia davvero hackerato quella palestra australiana? Abbiamo deciso di metterlo alla prova.

Abbiamo ricreato l'hack virale della palestra basato sull'intelligenza artificiale in un ambiente controllato. Eseguendo Opus 4.6 su OpenClaw, il modello ha sfruttato la vulnerabilità del sistema di prenotazione in nove prove su dieci.

Come l'Aikido individua più vulnerabilità di Mythos a metà del costo

Come l’Aikido individua più vulnerabilità rispetto a Claude Security con Mythos, a metà del costo

L'audit del codice AI di Aikido ha individuato 8 vulnerabilità in più rispetto a Claude Security con Mythos, a un costo inferiore alla metà. Come la progettazione del framework influisca sulla copertura per dollaro.

L'audit di sicurezza condotto da Aikido Code ha individuato 8 vulnerabilità in più rispetto a quello effettuato da Claude Security con Mythos, a un costo inferiore alla metà. Scopri come la progettazione del framework influisca sulla copertura per ogni dollaro speso.

Shai-Hulud è stata la cosa migliore che potesse capitare alla sicurezza della catena di approvvigionamento

Dopo il suo lancio, npm Trusted Publishing è rimasto praticamente inutilizzato. Poi Shai-Hulud e altri 14 attacchi alla catena di approvvigionamento ne hanno fatto aumentare l’adozione di 3,4 volte. Charlie analizza i dati alla base di questo fenomeno.

Il programma "Trusted Publishing" di npm è rimasto praticamente inattivo per due anni. Poi Shai-Hulud e altri 14 attacchi alla catena di approvvigionamento hanno fatto aumentare l’adozione di 3,4 volte. Charlie analizza i dati alla base di questo fenomeno.

I migliori strumenti di hardening delle immagini nel 2026

I migliori strumenti di hardening delle immagini del 2026: un confronto tra 7 soluzioni

Confronto tra strumenti di hardening delle immagini per il 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus e Wiz

I migliori strumenti aziendali di penetration testing basati sull'intelligenza artificiale per la sicurezza delle applicazioni nel 2026

I migliori strumenti di penetration testing basati sull'intelligenza artificiale per le aziende nel 2026

Confronta i migliori strumenti di pentesting basati sull'intelligenza artificiale per le aziende del 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian e Cobalt.

In cosa consiste la correzione delle vulnerabilità CVE nel 2026?

Che cos’è la correzione delle vulnerabilità CVE nel 2026?

La correzione dei CVE consiste nel risolvere le vulnerabilità note presenti nel software che utilizzi. Perché gli aggiornamenti spesso falliscono, in cosa consiste effettivamente la correzione e come il backport risolve il problema.

Abbiamo bruciato 11,7 miliardi di token per individuare il miglior modello di intelligenza artificiale per la sicurezza informatica

Abbiamo bruciato 11,7 miliardi di token per individuare il miglior modello di IA informatica | GLM5.3 e DeepSeek sono ora all’avanguardia

Abbiamo testato 10 modelli di IA su 32 CVE recenti. DeepSeek V4 Pro ne ha individuati 28, e tre esecuzioni a basso costo hanno superato un singolo ciclo di Opus 5 o Grok in termini di copertura totale.

I crate più diffusi di Rust, arrayref, append-only-vec e internment, sono stati compromessi in un attacco alla catena di approvvigionamento

Un attacco alla catena di approvvigionamento ha compromesso alcuni crate molto diffusi di Rust, ovvero arrayref, append-only-vec e internment, inserendo una dipendenza dal pacchetto dannoso proc-macro1, che scarica ed esegue un payload remoto durante la fase di compilazione.

Un attacco alla catena di approvvigionamento ha compromesso due popolari crate di Rust, arrayref e append-only-vec, inserendo una dipendenza dal pacchetto dannoso proc-macro1, che scarica ed esegue un payload remoto durante la fase di compilazione.

Lista di controllo per la valutazione dei test di penetrazione basati sull’intelligenza artificiale: cosa cercare in un fornitore di servizi di test di penetrazione basati sull’intelligenza artificiale

Lista di controllo per i fornitori di servizi di pen-testing basati sull’intelligenza artificiale: cosa cercare

Una lista di controllo per valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale in termini di convalida, accesso al codice, controllo dell’ambito e affidabilità, oltre ai segnali di allarme che distinguono una piattaforma reale da una demo ben realizzata.

Aikido

Ancora un altro RCE in Gogs, ma questa volta è stato risolto!

CVE-2026-52813 | Un agente di pentesting di Aikido ha segnalato un problema di traversal del percorso in Gogs. Abbiamo esteso la vulnerabilità fino a una RCE completa e segnalato altri due bug, tutti risolti nella versione 0.14.3.

I migliori strumenti SCA aziendali nel 2026

I migliori strumenti SCA aziendali del 2026 | Aikido

Confronto tra gli strumenti SCA aziendali per il 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck e Veracode in termini di analisi, correzione e conformità.

I migliori strumenti DAST aziendali nel 2026

I migliori strumenti DAST per le aziende nel 2026 | Aikido

Confronta i migliori strumenti DAST aziendali del 2026 in termini di copertura autenticata, individuazione delle API, convalida degli exploit, governance, conformità e test di penetrazione basati sull’intelligenza artificiale

I migliori strumenti di sicurezza unificata nel 2026

I migliori strumenti di sicurezza unificata nel 2026 | Aikido

Confronta i migliori strumenti di sicurezza unificata del 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca, in termini di copertura, correlazione, governance e costi.

Da Hugging Face a Fable: quest’estate dimostra che il controllo dell’IA è più importante della fiducia

Sicurezza dell'IA: perché il controllo è più importante della fiducia

Una violazione causata da un'IA autonoma presso Hugging Face e la sospensione di Fable da parte di Anthropic dimostrano la stessa cosa: fidarsi di un fornitore non equivale ad avere il controllo

Un agente di intelligenza artificiale è riuscito a introdursi autonomamente nel sistema di Hugging Face. L'accesso di un fornitore di intelligenza artificiale è scomparso dall'oggi al domani. Ecco cosa hanno in comune.

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

Di quale strumento per i test di sicurezza hai effettivamente bisogno?

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano le vulnerabilità in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché.

Che cos’è l’ingegneria dei sistemi di fissaggio per l’IA?

Che cos’è l’ingegneria degli harness? | Gli harness dell’IA e il loro impatto sulla sicurezza dell’IA

L'ingegneria dell'harness è il codice che circonda un modello di IA e lo trasforma in un agente. Cosa fa un harness, perché è preferibile alla semplice scelta di un modello e come crearne uno.

Chi c'era dietro l'attacco? Forse nessuno

Chi c'era dietro l'attacco? Forse nessuno | Gli attacchi degli agenti autonomi di Anthropic, OpenAI e AISI

Tre casi resi noti quest’estate hanno documentato attacchi sferrati da agenti di intelligenza artificiale contro organizzazioni reali, senza alcun intervento umano nella catena decisionale. La gestione degli incidenti non dispone ancora di un protocollo specifico per questo tipo di eventi.

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Aikido Machine: server locale per test di penetrazione basati sull'intelligenza artificiale | Aikido Security

Test di penetrazione basati sull'intelligenza artificiale in modalità continua per i team che non possono utilizzare il cloud. Aikido Machine mantiene modelli, codice e risultati interamente all'interno della vostra rete.

Test di penetrazione continui basati sull’intelligenza artificiale, effettuati all’interno della rete di organizzazioni soggette a una rigorosa regolamentazione. Belfius, la banca-assicurazione belga, è la prima ad averli implementati.

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Keyv e i suoi collaboratori sono stati vittime di un attacco alla catena di approvvigionamento di npm

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

I migliori strumenti SAST aziendali del 2026

I migliori strumenti SAST aziendali del 2026 | Aikido Security

Confronto tra i migliori strumenti SAST aziendali in termini di riduzione del rumore, correzione tramite IA, governance, conformità e costi

Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali

Il "Fever Dream" di Anthropic: il pacchetto "anthropickit" di Claude che ha sottratto chiavi reali

Anthropic ha rivelato l'esistenza di un agente che ha diffuso malware vero e proprio su PyPI. Riteniamo di aver individuato il pacchetto in questione, e ogni errore in esso contenuto rimanda all'intelligenza artificiale.

Anthropic ha rivelato che uno dei propri agenti ha pubblicato malware attivo su PyPI, compromettendo così un'azienda terza reale. Ho fatto qualche ricerca e potrei aver trovato il pacchetto che ha lasciato.

Le migliori alternative ad Astra Security per i test di penetrazione automatizzati nel 2026

Le migliori alternative ad Astra Pentest per i test di sicurezza | Aikido Security

Confronta le alternative ad Astra Security per i test di penetrazione basati sull'intelligenza artificiale nel 2026 in termini di approfondimento, test white-box, risultati di conformità e ampiezza della piattaforma

Quattro decisioni di risposta agli incidenti dalla violazione di Hugging Face

Quattro insegnamenti sulla gestione degli incidenti tratti dalla violazione subita da Hugging Face

Ricognizione, credenziali rubate, C2 nascosto e "ricostruzione o patch". Quattro decisioni relative alla violazione di Hugging Face che dimostrano se è possibile individuare un attacco in corso.

I migliori strumenti SAST del 2026

I migliori strumenti SAST del 2026: Aikido, Snyk, Semgrep e altri ancora

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali.

I migliori strumenti di sicurezza LLM per proteggere le applicazioni di intelligenza artificiale

I migliori strumenti di sicurezza basati su LLM nel 2026 | Aikido Security

Confronta i migliori strumenti di sicurezza LLM per le applicazioni di intelligenza artificiale, tra cui Aikido, Snyk, Semgrep, Endor Labs e Wiz, in termini di codice, catena di fornitura e fase di esecuzione.

Le migliori alternative ad Acunetix per la scansione automatizzata delle vulnerabilità

Le migliori alternative ad Acunetix per la scansione delle vulnerabilità | Aikido Security

Stai cercando delle alternative ad Acunetix? Il suo DAST prevede controlli basati su regole, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione di livello audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Stai cercando delle alternative ad Acunetix? Il suo DAST copre i controlli standard, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione a livello di audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Una migliore rilevazione generica dei segreti inizia con la ricerca di non-segreti

Alcune chiavi API sono destinate a essere pubbliche. Betterleaks ora le esclude dai risultati generici relativi ai segreti, riducendo di migliaia il numero di falsi positivi per ogni scansione.

SQL injection non è morta

Le iniezioni SQL (e Little Bobby Tables) non sono scomparse

La soluzione al problema dell’iniezione SQL risale a decenni fa e funziona ancora. Allora perché il core di WordPress ha appena avuto bisogno di una patch d’emergenza proprio per questo? I dati e come difendersi.

Il CISO di Tyro: Essere l'"Einstein della cybersecurity" non basta se gli sviluppatori non si fidano di te

L’Einstein della sicurezza informatica ha ancora bisogno della fiducia degli sviluppatori

Arun Singh, CISO di Tyro, parla della fiducia degli sviluppatori come risorsa limitata e di cosa succede quando gli attacchi alla catena di approvvigionamento costringono i team a consumarla

Cosa devono sapere gli sviluppatori su DSPM e l'esposizione dei dati nel codice

Il DSPM tradizionale individua dove si trovano i dati sensibili. Il DSPM basato sul codice individua in che modo vengono esposti e indica la correzione da apportare nel codice.

La trappola dell'aggiornamento: quando l'aggiornamento è la risposta sbagliata a una CVE

Perché l'aggiornamento per risolvere una vulnerabilità CVE spesso peggiora la situazione | Aikido

Eseguire un aggiornamento per risolvere una vulnerabilità CVE sembra semplice. Tuttavia, spesso la versione corretta non funziona correttamente con la tua app, non è ancora stata rilasciata o non esiste affatto. Ecco perché e cosa funziona davvero.

L'approccio "aggiorna per risolvere il problema" presuppone che esista una versione corretta, che sia già disponibile e che non causi malfunzionamenti nell'app. Spesso nessuna di queste condizioni è vera. Si tratta della "trappola dell'aggiornamento", in cui sia l'aggiornamento che la mancata esecuzione dello stesso comportano rischi per la sicurezza e il malfunzionamento dell'ambiente di produzione. Vediamo quale potrebbe essere la via d'uscita.

SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti

SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi

RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL

Vulnerabilità RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL. Applicate subito la patch per risolvere la vulnerabilità!

Il core di WordPress presenta una vulnerabilità RCE (wp2shell) senza autenticazione, confermata come iniezione SQL. Effettuate subito l'aggiornamento alla versione 7.0.2 o 6.9.5; se non è ancora possibile applicare la patch, adottate le misure di mitigazione. Bloccate la classe di attacco in fase di esecuzione con Aikido Zen.

Le migliori alternative a Pentera per i test di penetrazione automatizzati

Le migliori alternative a Pentera per i test di penetrazione automatizzati | Aikido Security

Confronta le migliori alternative a Pentera per i test di penetrazione automatizzati nel 2026. Scopri in quali contesti Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra e Astra si adattano meglio.

Analisi comparativa di 13 modelli di IA per l'individuazione di CVE già noti

Analisi comparativa di 13 modelli di IA nel rilevamento di vulnerabilità CVE note

Abbiamo testato 13 modelli di intelligenza artificiale su 26 CVE noti per verificare quale fosse in grado di individuare il maggior numero di vulnerabilità e se il modello più costoso valesse davvero la spesa.

Abbiamo testato 13 modelli di IA per individuare 26 vulnerabilità CVE note. GPT-5.6 è stato quello che ne ha individuate di più, ma il modello più costoso non si è rivelato il miglior investimento in termini di budget.

La checklist pratica per difendersi dagli attacchi alla supply chain

La checklist pratica sugli attacchi alla catena di approvvigionamento | Aikido

Trenta misure di difesa prioritarie contro la recente ondata di attacchi alla catena di approvvigionamento del software. Classificate come critiche, elevate o medie.

Pacchetti npm AsyncAPI con backdoor tramite GitHub Actions

Cinque versioni del pacchetto, che registrano circa 2 milioni di download settimanali, hanno distribuito un dropper offuscato il 14 luglio 2026. Ecco cosa abbiamo appurato finora.

Come Aikido Intel rileva per primo malware e vulnerabilità

Aikido Intel è un feed in tempo reale che individua malware e vulnerabilità non ancora rese note negli ecosistemi open source, spesso entro 8 minuti dalla loro diffusione.

Aikido Intel è un feed di intelligence in tempo reale sulla catena di approvvigionamento che individua rapidamente malware e vulnerabilità non ancora rese note negli ecosistemi open source.

Individuare otto vulnerabilità ad alta gravità in NodeBB in sei ore

Otto vulnerabilità di NodeBB ad alto livello di gravità, individuate dal nostro test di penetrazione basato sull'intelligenza artificiale in sei ore. Analisi tecnica completa delle catene XSS, dei bypass dell'autenticazione e del dirottamento dei post.

Che cos’è un firewall di dipendenza?

Che cos’è un firewall di dipendenza? | Aikido Security

Un firewall delle dipendenze blocca i pacchetti open source dannosi prima che vengano installati. Scopri come funzionano e in che modo Aikido Safe Chain blocca gli attacchi alla catena di approvvigionamento.

Come mantenere gli standard di qualità del codice con AI code e vibe coding

Vibe Coding implementa rapidamente le funzionalità e elimina il "debito di revisione". Scopri come i controlli di qualità del codice, basati su benchmark e per singola regola, forniscono ai team un risultato coerente in tutte le pull request e in tutti i repository.

@injectivelabs\/sdk-ts compromesso esfiltra le chiavi del wallet tramite telemetria falsa

Una versione dannosa di @injectivelabs/sdk-ts nascondeva un programma per il furto delle chiavi dei wallet all’interno di un codice etichettato come “telemetria d’uso”, per poi diffonderlo in altri 17 pacchetti npm. Ecco come funzionava e come controllare i propri progetti.

Guida all'acquisto di AI Pentesting: Come valutare i fornitori di AI pentesting

Guida all'acquisto dei test di penetrazione basati sull'intelligenza artificiale | Valutazione dei fornitori di test di penetrazione basati sull'intelligenza artificiale

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a un’analisi condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione scaricabile.

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a una ricerca condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione.

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web | Aikido Security

Confronta le migliori alternative a Burp Suite per il DAST e i test di penetrazione basati sull'intelligenza artificiale, tra cui Aikido, Caido, ZAP e Invicti.

Le migliori alternative ai paracatena del 2026

Le migliori alternative ai paracatena nel 2026 | Aikido

Confronto tra le migliori alternative a Chainguard nel 2026, da Aikido Security alle immagini Docker Hardened, passando per Minimus, RapidFort ed Echo.

Confronto tra alternative al Chainguard per le immagini di container indurite e la correzione delle vulnerabilità CVE senza migrazione forzata.

Le migliori feste, eventi collaterali e incontri sulla sicurezza del Black Hat USA 2026

Una guida selezionata alle feste, agli happy hour, alle cene dei CISO e agli incontri sulla sicurezza del Black Hat USA 2026 a Las Vegas, tra cui l’Omega Mart After Hours di Aikido con AWS e Tailscale.

Previsione continua di MongoDB ObjectId in Rocket.Chat

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita dell'ObjectId di MongoDB ha evidenziato la scarsa casualità che lo rende vulnerabile agli attacchi.

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita della funzione ObjectId() di MongoDB ha evidenziato la scarsa casualità che la rende vulnerabile agli attacchi.

Bypass dell'autenticazione nella configurazione predefinita di phpBB

I nostri agenti di pentest basati sull'intelligenza artificiale hanno individuato una vulnerabilità critica che consente di aggirare l'autenticazione in phpBB (CVE-2026-48611): una singola richiesta non autenticata permette di accedere a qualsiasi account. Consulta l'exploit e la correzione.

Aikido acquisisce Root per mettere in sicurezza la supply chain

Aikido ha acquisito Root per garantire la sicurezza della catena di fornitura del software, risolvendo le vulnerabilità dell'open source nella versione già in uso, senza necessità di aggiornamenti. Le correzioni critiche vengono condivise con la comunità, gratuitamente.

E un altro ancora. GitHub implementa la revoca delle credenziali break-glass

GitHub introduce la revoca delle credenziali "break glass"

La revoca delle credenziali tramite "break-glass" è ora disponibile su GitHub Enterprise. Le ripetute operazioni "durabletask" di Trivy e Microsoft dimostrano perché fosse necessaria una revoca rapida e completa.

GitHub Enterprise è ora in grado di revocare tutte le credenziali di un account con un'unica operazione. L'attacco a Trivy e la violazione del servizio "durabletask" di Microsoft stessa dimostrano perché questa funzionalità fosse attesa da tempo.

npm ora blocca gli account ad alto impatto dopo modifiche rischiose agli account

Uno sguardo al nuovo blocco dell'account di 72 ore di npm: cosa lo fa scattare, cosa blocca e come funziona in combinazione con la pubblicazione "trusted" e "staged".

Le migliori alternative a Koi nel 2026

Le migliori alternative a Koi Security nel 2026 | Aikido

Cerchi un'alternativa a Koi Security dopo l'acquisizione da parte di Palo Alto? Confronta i concorrenti in termini di protezione dei dispositivi, ampiezza della piattaforma e prezzi.

L'azione GitHub compromessa codfish/semantic-release-action ruba i segreti CI/CD

Il 24 giugno 2026 il servizio codfish/semantic-release-action è stato compromesso. Gli autori dell'attacco hanno reindirizzato i tag da v2 a v5 verso un payload Miasma finalizzato al furto di credenziali, mirato ai segreti dei sistemi CI/CD. Ecco cosa è successo e come verificare se si è stati colpiti.

Tutti stanno rilasciando codice che non riescono a leggere

Grazie all'intelligenza artificiale, ormai tutti sono sviluppatori, e gran parte del codice viene distribuito senza essere stato sottoposto a un'attenta revisione da parte di esperti del settore.

Aikido x Drydock | Un modo per i maintainer di rilevare il malware prima del rilascio

Aikido collabora con Drydock per introdurre una verifica del malware prima della pubblicazione su npm e PyPI

Aikido collabora con Drydock per introdurre la revisione dei pacchetti prima della pubblicazione su npm e PyPI. Scopri esattamente cosa contiene una versione prima che venga rilasciata: il malware viene individuato prima ancora del primo download.

Aikido ha avviato una collaborazione con Drydock per consentire ai responsabili della manutenzione di npm e PyPI di verificare con precisione il contenuto di una versione prima della sua pubblicazione. Individua il malware prima che venga distribuito, non dopo.

Packagist è ora protetto da Aikido Intel e altri aggiornamenti al registro PHP

Il feed dedicato al malware di Aikido ora blocca per impostazione predefinita le versioni dannose dei pacchetti in Composer. Uno sguardo a come Packagist sta contrastando intere categorie di attacchi alla catena di approvvigionamento.

Il feed anti-malware di Aikido ora blocca per impostazione predefinita le versioni dei pacchetti segnalate in Composer, per tutti coloro che effettuano installazioni da Packagist.org, senza che sia necessario attivare alcuna opzione. Nell’ultimo anno, Packagist e Composer hanno eliminato intere categorie di attacchi alla catena di approvvigionamento a livello di registro. Ecco cosa hanno implementato e perché ogni registro dovrebbe funzionare in questo modo.

Aikido x OWASP: 200 crediti gratuiti per i membri individuali

Aikido e OWASP: 200 crediti gratuiti per i membri

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco chi ha diritto a riceverli e come richiederli in due semplici passaggi.

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco come richiederli in due semplici passaggi.

Aikido

Oltre 140 popolari pacchetti npm Mastra colpiti da un attacco alla supply chain

141 pacchetti npm di Mastra sono stati compromessi in un attacco alla catena di approvvigionamento che ha introdotto una dipendenza dannosa per scaricare ed eseguire in modo silenzioso un payload al momento dell'installazione.

Diversi plugin IDE di JetBrains sorpresi a rubare chiavi AI

Una campagna coordinata che coinvolge almeno 15 plugin per IDE di JetBrains, pubblicati tramite sette account di fornitori diversi, sottrae la chiave API del fornitore di servizi di intelligenza artificiale che l'utente incolla nelle relative impostazioni.

Full Fathom Five: Il contesto del rilascio pubblico di classe Mythos di Anthropic

Full Fathom Five: Cosa significa il lancio pubblico della classe Mythos di Anthropic

Non c'è mai stato bisogno di Mythos per individuare gli IDOR e le falle nella logica di business. Uno sguardo a ciò che Anthropic ha rilasciato con Fable 5 e al motivo per cui la sicurezza informatica rimane, in fondo, un problema legato alle persone.

5 alternative sicure alle prese elettriche e perché sono migliori

5 alternative ai socket di sicurezza e perché sono migliori

Socket si è affermata grazie al rilevamento dei malware. Ma la velocità di rilevamento da sola non basta più. Ecco un confronto tra Aikido e altre quattro alternative in termini di sicurezza della catena di approvvigionamento, analisi della raggiungibilità, licenze e altro ancora.

npm v12 offre uno dei maggiori miglioramenti di sicurezza degli ultimi anni

npm v12 rende gli script di installazione opzionali per impostazione predefinita, bloccando il percorso di esecuzione in fase di installazione a seguito di un anno di vulnerabilità nella catena di approvvigionamento di npm, da Nx a Red Hat.

Aikido x Docker: meno rumore, più segnale nei tuoi container

Aikido supporta le immagini Docker Hardened con VEX

Aikido ora supporta le immagini Docker Hardened con integrazione VEX incorporata, aiutando i team a ridurre il "rumore" dei CVE e a concentrarsi sulle vulnerabilità dei container che richiedono effettivamente attenzione.

Esegui la scansione delle immagini Docker Hardened in Aikido con il filtro VEX automatico per le vulnerabilità CVE non sfruttabili.

Il codice viene scritto ovunque, e il dispositivo è l'unica costante

Il codice è ovunque e l’unico elemento costante è il dispositivo | Aikido Security

Gli sviluppatori scrivono codice ovunque. Gli agenti di intelligenza artificiale, i bot di Slack e i server MCP hanno trasformato i dispositivi degli sviluppatori nel principale punto cieco in materia di sicurezza.

Le SBOM nel 2026: Tutti le generano, nessuno le usa

Gli SBOM nel 2026: tutti li generano, ma nessuno li usa | Aikido Security

Il rapporto dell'ENISA del 2026 sull'adozione degli SBOM riguarda 334 organizzazioni e mette in luce un divario costante tra la generazione degli SBOM e il loro effettivo utilizzo. Ecco gli aspetti salienti.

Il crate Rust compromesso onering esegue l'esfiltrazione di codice

La crate Rust "onering" v1.4.1 presente su crates.io, che è stata compromessa, conteneva un file `build.rs` dannoso che, ogni volta che si esegue la compilazione, invia il diff dell'ultimo commit a un endpoint Sentry ospitato.

Vulnerabilità critica decennale in phpBB che colpisce decine di milioni di utenti su migliaia di forum

Vulnerabilità critica di phpBB: bypass dell'autenticazione + RCE dal 2014

Aikido Security ha scoperto una vulnerabilità critica nel sistema di autenticazione di phpBB, che consente di aggirare l'autenticazione senza autorizzazione e che interessa decine di milioni di utenti. È sufficiente una singola richiesta HTTP per assumere il controllo di qualsiasi account: una vulnerabilità presente nel codice fin dal 2014.

Aspetta, binding.gyp può fare cosa? Esplorando il più strano sistema di build di npm

Analisi approfondita di binding.gyp, il file di build npm spesso trascurato che può eseguire codice dannoso al momento dell'installazione tramite espansioni della shell, fughe dalla sandbox e dirottamento del compilatore.

L'AI SAST si sta affermando come una nuova categoria di SAST, ma il suo significato non è ancora chiaro. Chiariremo la differenza tra SAST nativo per l'IA e SAST assistito dall'IA, oltre a illustrare come l'AI SAST si collochi nella struttura tra il SAST tradizionale e il pentesting basato sull'IA.

Che cos’è l’AI SAST?

Le 5 migliori alternative a Tenable Nessus nel 2026

Le 5 migliori alternative a Tenable Nessus nel 2026 | Aikido Security

Tenable Nessus è uno scanner potente, ma gli strumenti potenti che nessuno utilizza non rendono il software più sicuro. Confronta cinque alternative progettate per adattarsi alle modalità di lavoro effettive dei team di ingegneri.

Tenable Nessus è un potente scanner per infrastrutture, ma gli strumenti potenti che rimangono scollegati dai flussi di lavoro degli sviluppatori sono strumenti che nessuno utilizza. Questa guida mette a confronto cinque alternative valutate in base alla loro integrazione nei flussi di lavoro degli sviluppatori, all’ampiezza della copertura in materia di sicurezza delle applicazioni (AppSec), al costo e all’esperienza di correzione delle vulnerabilità.

Perché EDR e proxy non ti salveranno dal malware della supply chain

Gli strumenti EDR e i proxy non sono stati progettati per contrastare il malware presente nella catena di approvvigionamento. Quando il codice dannoso arriva tramite il comando `npm install`, sembra un comportamento normale. Ecco perché è importante.

Fatti da parte, Mythos. Arriva... praticamente qualsiasi altro modello con un buon harness

Fatti da parte, Mythos. Ecco che arriva qualsiasi modello dotato di un buon sistema di aggancio.

Mythos offre vantaggi concreti nella costruzione di catene di exploit. Tuttavia, per la maggior parte delle attività di sicurezza delle applicazioni, l’infrastruttura a supporto del modello è più importante della scelta del modello stesso.

Pacchetti npm di Red Hat compromessi per diffondere un worm di furto credenziali

Diversi pacchetti npm ufficiali di @redhat-cloud-services sono stati compromessi da un worm progettato per rubare credenziali, derivato dal malware open source Mini Shai-Hulud, che prendeva di mira le credenziali cloud e gli strumenti di sviluppo utilizzati nelle pipeline CI/CD.

Vi presentiamo l’analisi del codice tramite IA: individuate le vulnerabilità complesse nascoste nel vostro codice sorgente

SAST individua gli schemi ricorrenti. L'analisi del codice basata sull'intelligenza artificiale (AI Code Analysis) esamina il codice come farebbe un hacker, individuando le falle logiche che emergono solo dopo il rilascio.

I modelli agentici sono ora in grado di individuare e mettere in relazione i difetti logici nel codice sorgente più rapidamente di qualsiasi hacker umano. Code Audit si colloca a metà strada tra il SAST e il pentesting, analizza il codice statico e individua le vulnerabilità a più fasi prima che il codice venga distribuito.

Cosa MDM non può proteggere sulle macchine degli sviluppatori (e cosa fare al riguardo)

Cosa non può proteggere l'MDM sui computer degli sviluppatori

Gli strumenti MDM come Jamf e Kandji sono fondamentali, ma non rilevano le installazioni da npm, le estensioni degli IDE o gli strumenti di programmazione basati sull'intelligenza artificiale. Ecco quali sono gli elementi effettivamente non protetti sui computer dei vostri sviluppatori e come colmare questa lacuna.

La maggior parte dei team di sicurezza ha implementato una soluzione MDM. Il problema è che le installazioni tramite npm, le estensioni di VS Code e gli strumenti di programmazione basati sull'intelligenza artificiale operano completamente al di fuori del campo visivo dell'MDM. Ecco quali sono gli elementi effettivamente non protetti e come colmare questa lacuna.

Le migliori alternative a GitGuardian per la scansione dei dati sensibili nel 2026

Confronta le migliori alternative a GitGuardian per la scansione dei segreti nel 2026. Scopri quali sono le soluzioni più adatte tra Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx e GitLab.

Confronta le migliori alternative a GitGuardian per l'analisi dei segreti nel 2026, tra cui Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One e GitLab Secret Detection.

Interfaccia utente remota Codex dall'aspetto legittimo ruba segretamente i tuoi token AI

Codexui-android, un'interfaccia utente remota di Codex ben rifinita, è un pacchetto npm attualmente in fase di sviluppo attivo e conta migliaia di utenti settimanali. Nell'ultimo mese ha sottratto in modo discreto i token di autenticazione di OpenAI.

Grazie! La tua richiesta è stata ricevuta!

Ops! Qualcosa è andato storto durante l'invio del modulo.

16 gennaio 2024

•

Conformità

NIS2: Chi è interessato?

Tag/

#Conformità

#NIS2

5 dicembre 2023

•

Conformità

Certificazione ISO 27001: 8 cose che abbiamo imparato

Tag/

#Conformità

30 novembre 2023

•

Storie dei clienti

Il Gruppo Cronos sceglie Aikido Security per rafforzare il proprio sistema di sicurezza a tutela delle proprie aziende e dei propri clienti

Tag/

#caso d'uso

22 novembre 2023

•

Storie dei clienti

Come Loctax utilizza Aikido Security per eliminare gli avvisi di sicurezza irrilevanti e i falsi positivi

Tag/

#caso d'uso

9 novembre 2023

•

Aggiornamenti di Prodotto e Aziendali

Aikido Security raccoglie 5 milioni di euro per offrire una soluzione di sicurezza integrata alle aziende SaaS in crescita

Tag/

#DevSecOps

#AppSec

8 novembre 2023

•

Aggiornamenti di Prodotto e Aziendali

Aikido Security ottiene la certificazione ISO 27001:2022

Tag/

#Conformità

24 ottobre 2023

•

Storie dei clienti

Come il CTO di StoryChief utilizza Aikido Security per dormire sonni più tranquilli

Tag/

#caso d'uso

17 ottobre 2023

•

Vulnerabilità e Minacce

Che cos’è un CVE?

Tag/

#Vulnerabilità

#IA

#open source

27 settembre 2023

•

Vulnerabilità e Minacce

Le 3 principali vulnerabilità di sicurezza delle applicazioni web nel 2024

Tag/

#Vulnerabilità

#AppSec

22 agosto 2023

•

Aggiornamenti di Prodotto e Aziendali

Nuove funzionalità di sicurezza di Aikido: agosto 2023

Tag/

#AppSec

#DevSecOps

10 agosto 2023

•

Guide e Best Practice

Lista di controllo per la sicurezza del CTO SaaS di Aikido per il 2025

Tag/

#AppSec

10 agosto 2023

•

Guide e Best Practice

Lista di controllo per la sicurezza del CTO SaaS di Aikido per il 2024

Tag/

#AppSec

17 settembre 2026

•

Aggiornamenti di Prodotto e Aziendali

L'Aikido ottiene la certificazione AWS Security Competency per la sicurezza delle applicazioni

Comunicati

12 agosto 2026

•

Aggiornamenti di Prodotto e Aziendali

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché

Test di penetrazione basati sull'intelligenza artificiale

5 agosto 2026

•

Aggiornamenti di Prodotto e Aziendali

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Test di penetrazione basati sull'intelligenza artificiale

Comunicati

Pentesting Continuo

Sicurezza informatica europea

8 settembre 2026

•

Vulnerabilità e Minacce

Un pacchetto Flutter compromesso su pub.dev contiene il malware XCSSET

Malware

7 settembre 2026

•

Vulnerabilità e Minacce

Shai-Hulud torna in vita dopo 111 giorni

Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni, per poi essere ripubblicato su npm, eludendo la scansione antimalware pensata proprio per individuarlo.

informazioni

Malware

Vulnerabilità

7 settembre 2026

•

Vulnerabilità e Minacce

Soluzione di StyleSmuggler: applicare la patch per la vulnerabilità RCE in Magento e Adobe Commerce

12 giugno 2026

•

Strumenti DevSec e confronti

5 alternative sicure alle prese elettriche e perché sono migliori

Aikido Zen

Malware

open source

19 agosto 2025

•

Strumenti DevSec e confronti

I 13 migliori strumenti per i test dinamici di sicurezza delle applicazioni (DAST) nel 2026

Scopri i 13 migliori strumenti per il Dynamic Application Security Testing (DAST) del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione DAST più adatta alle tue esigenze.

Strumenti

DAST

18 luglio 2025

•

Strumenti DevSec e confronti

I 14 migliori strumenti di scansione dei container nel 2026

Scopri i 14 migliori strumenti di scansione dei container del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione più adatta alla tua pipeline DevSecOps.

Strumenti

Scansione di container