Benvenuti sul nostro blog.

I migliori strumenti SCA aziendali nel 2026

I migliori strumenti SCA aziendali del 2026 | Aikido

Confronto tra gli strumenti SCA aziendali per il 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck e Veracode in termini di analisi, correzione e conformità.

I migliori strumenti DAST aziendali nel 2026

I migliori strumenti DAST per le aziende nel 2026 | Aikido

Confronta i migliori strumenti DAST aziendali del 2026 in termini di copertura autenticata, individuazione delle API, convalida degli exploit, governance, conformità e test di penetrazione basati sull’intelligenza artificiale

I migliori strumenti di sicurezza unificata nel 2026

I migliori strumenti di sicurezza unificata nel 2026 | Aikido

Confronta i migliori strumenti di sicurezza unificata del 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca, in termini di copertura, correlazione, governance e costi.

Da Hugging Face a Fable: quest’estate dimostra che il controllo dell’IA è più importante della fiducia

Sicurezza dell'IA: perché il controllo è più importante della fiducia

Una violazione causata da un'IA autonoma presso Hugging Face e la sospensione di Fable da parte di Anthropic dimostrano la stessa cosa: fidarsi di un fornitore non equivale ad avere il controllo

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

Di quale strumento per i test di sicurezza hai effettivamente bisogno?

SAST, Deep PR Review, analisi del codice con IA e test di penetrazione con IA individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché.

SAST, Deep PR Review, analisi del codice con IA e test di penetrazione con IA individuano le vulnerabilità in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché.

Che cos’è l’ingegneria dei sistemi di fissaggio per l’IA?

Che cos’è l’ingegneria degli harness? | Gli harness dell’IA e il loro impatto sulla sicurezza dell’IA

L'ingegneria dell'harness è il codice che circonda un modello di IA e lo trasforma in un agente. Cosa fa un harness, perché è preferibile alla semplice scelta di un modello e come crearne uno.

Chi c'era dietro l'attacco? Forse nessuno

Chi c'era dietro l'attacco? Forse nessuno | Gli attacchi degli agenti autonomi di Anthropic, OpenAI e AISI

Tre casi resi noti quest’estate hanno documentato attacchi sferrati da agenti di intelligenza artificiale contro organizzazioni reali, senza alcun intervento umano nella catena decisionale. La gestione degli incidenti non dispone ancora di un protocollo specifico per questo tipo di eventi.

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Aikido Machine: server locale per test di penetrazione basati sull'intelligenza artificiale | Aikido Security

Test di penetrazione basati sull'intelligenza artificiale in modalità continua per i team che non possono utilizzare il cloud. Aikido Machine mantiene modelli, codice e risultati interamente all'interno della vostra rete.

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Keyv e i suoi collaboratori sono stati vittime di un attacco alla catena di approvvigionamento di npm

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

I migliori strumenti SAST aziendali del 2026

I migliori strumenti SAST aziendali del 2026 | Aikido Security

Confronto tra i migliori strumenti SAST aziendali in termini di riduzione del rumore, correzione tramite IA, governance, conformità e costi

Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali

Il "Fever Dream" di Anthropic: il pacchetto "anthropickit" di Claude che ha sottratto chiavi reali

Anthropic ha rivelato l'esistenza di un agente che ha diffuso malware vero e proprio su PyPI. Riteniamo di aver individuato il pacchetto in questione, e ogni errore in esso contenuto rimanda all'intelligenza artificiale.

Anthropic ha rivelato che uno dei propri agenti ha pubblicato malware attivo su PyPI, compromettendo così un'azienda terza reale. Ho fatto qualche ricerca e potrei aver trovato il pacchetto che ha lasciato.

Le migliori alternative ad Astra Security per i test di penetrazione automatizzati nel 2026

Le migliori alternative ad Astra Pentest per i test di sicurezza | Aikido Security

Confronta le alternative ad Astra Security per i test di penetrazione basati sull'intelligenza artificiale nel 2026 in termini di approfondimento, test white-box, risultati di conformità e ampiezza della piattaforma

Quattro decisioni di risposta agli incidenti dalla violazione di Hugging Face

Quattro insegnamenti sulla gestione degli incidenti tratti dalla violazione subita da Hugging Face

Ricognizione, credenziali rubate, C2 nascosto e "ricostruzione o patch". Quattro decisioni relative alla violazione di Hugging Face che dimostrano se è possibile individuare un attacco in corso.

I migliori strumenti SAST del 2026

I migliori strumenti SAST del 2026: Aikido, Snyk, Semgrep e altri ancora

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali.

I migliori strumenti di sicurezza LLM per proteggere le applicazioni di intelligenza artificiale

I migliori strumenti di sicurezza basati su LLM nel 2026 | Aikido Security

Confronta i migliori strumenti di sicurezza LLM per le applicazioni di intelligenza artificiale, tra cui Aikido, Snyk, Semgrep, Endor Labs e Wiz, in termini di codice, catena di fornitura e fase di esecuzione.

Le migliori alternative ad Acunetix per la scansione automatizzata delle vulnerabilità

Le migliori alternative ad Acunetix per la scansione delle vulnerabilità | Aikido Security

Stai cercando delle alternative ad Acunetix? Il suo DAST prevede controlli basati su regole, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione di livello audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Stai cercando delle alternative ad Acunetix? Il suo DAST copre i controlli standard, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione a livello di audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Una migliore rilevazione generica dei segreti inizia con la ricerca di non-segreti

Alcune chiavi API sono destinate a essere pubbliche. Betterleaks ora le esclude dai risultati generici relativi ai segreti, riducendo di migliaia il numero di falsi positivi per ogni scansione.

SQL injection non è morta

Le iniezioni SQL (e Little Bobby Tables) non sono scomparse

La soluzione al problema dell’iniezione SQL risale a decenni fa e funziona ancora. Allora perché il core di WordPress ha appena avuto bisogno di una patch d’emergenza proprio per questo? I dati e come difendersi.

Il CISO di Tyro: Essere l'"Einstein della cybersecurity" non basta se gli sviluppatori non si fidano di te

L’Einstein della sicurezza informatica ha ancora bisogno della fiducia degli sviluppatori

Arun Singh, CISO di Tyro, parla della fiducia degli sviluppatori come risorsa limitata e di cosa succede quando gli attacchi alla catena di approvvigionamento costringono i team a consumarla

Cosa devono sapere gli sviluppatori su DSPM e l'esposizione dei dati nel codice

Il DSPM tradizionale individua dove si trovano i dati sensibili. Il DSPM basato sul codice individua in che modo vengono esposti e indica la correzione da apportare nel codice.

La trappola dell'aggiornamento: quando l'aggiornamento è la risposta sbagliata a una CVE

Perché l'aggiornamento per risolvere una vulnerabilità CVE spesso peggiora la situazione | Aikido

Eseguire un aggiornamento per risolvere una vulnerabilità CVE sembra semplice. Tuttavia, spesso la versione corretta non funziona correttamente con la tua app, non è ancora stata rilasciata o non esiste affatto. Ecco perché e cosa funziona davvero.

L'approccio "aggiorna per risolvere il problema" presuppone che esista una versione corretta, che sia già disponibile e che non causi malfunzionamenti nell'app. Spesso nessuna di queste condizioni è vera. Si tratta della "trappola dell'aggiornamento", in cui sia l'aggiornamento che la mancata esecuzione dello stesso comportano rischi per la sicurezza e il malfunzionamento dell'ambiente di produzione. Vediamo quale potrebbe essere la via d'uscita.

SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti

SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi

RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL

Vulnerabilità RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL. Applicate subito la patch per risolvere la vulnerabilità!

Il core di WordPress presenta una vulnerabilità RCE (wp2shell) senza autenticazione, confermata come iniezione SQL. Effettuate subito l'aggiornamento alla versione 7.0.2 o 6.9.5; se non è ancora possibile applicare la patch, adottate le misure di mitigazione. Bloccate la classe di attacco in fase di esecuzione con Aikido Zen.

Le migliori alternative a Pentera per i test di penetrazione automatizzati

Le migliori alternative a Pentera per i test di penetrazione automatizzati | Aikido Security

Confronta le migliori alternative a Pentera per i test di penetrazione automatizzati nel 2026. Scopri in quali contesti Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra e Astra si adattano meglio.

Analisi comparativa di 13 modelli di IA per l'individuazione di CVE già noti

Analisi comparativa di 13 modelli di IA nel rilevamento di vulnerabilità CVE note

Tecnico

La checklist pratica per difendersi dagli attacchi alla supply chain

La checklist pratica sugli attacchi alla catena di approvvigionamento | Aikido

Trenta misure di difesa prioritarie contro la recente ondata di attacchi alla catena di approvvigionamento del software. Classificate come critiche, elevate o medie.

Pacchetti npm AsyncAPI con backdoor tramite GitHub Actions

Cinque versioni del pacchetto, che registrano circa 2 milioni di download settimanali, hanno distribuito un dropper offuscato il 14 luglio 2026. Ecco cosa abbiamo appurato finora.

Come Aikido Intel rileva per primo malware e vulnerabilità

Aikido Intel è un feed in tempo reale che individua malware e vulnerabilità non ancora rese note negli ecosistemi open source, spesso entro 8 minuti dalla loro diffusione.

Aikido Intel è un feed di intelligence in tempo reale sulla catena di approvvigionamento che individua rapidamente malware e vulnerabilità non ancora rese note negli ecosistemi open source.

Individuare otto vulnerabilità ad alta gravità in NodeBB in sei ore

Che cos’è un firewall di dipendenza?

Che cos’è un firewall di dipendenza? | Aikido Security

Come mantenere gli standard di qualità del codice con AI code e vibe coding

@injectivelabs\/sdk-ts compromesso esfiltra le chiavi del wallet tramite telemetria falsa

Guida all'acquisto di AI Pentesting: Come valutare i fornitori di AI pentesting

Guida all'acquisto dei test di penetrazione basati sull'intelligenza artificiale | Valutazione dei fornitori di test di penetrazione basati sull'intelligenza artificiale

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web | Aikido Security

Confronta le migliori alternative a Burp Suite per il DAST e i test di penetrazione basati sull'intelligenza artificiale, tra cui Aikido, Caido, ZAP e Invicti.

Le migliori alternative ai paracatena del 2026

Le migliori alternative ai paracatena nel 2026 | Aikido

Confronto tra le migliori alternative a Chainguard nel 2026, da Aikido Security alle immagini Docker Hardened, passando per Minimus, RapidFort ed Echo.

Confronto tra alternative al Chainguard per le immagini di container indurite e la correzione delle vulnerabilità CVE senza migrazione forzata.

Le migliori feste, eventi collaterali e incontri sulla sicurezza del Black Hat USA 2026

Previsione continua di MongoDB ObjectId in Rocket.Chat

Bypass dell'autenticazione nella configurazione predefinita di phpBB

Aikido acquisisce Root per mettere in sicurezza la supply chain

E un altro ancora. GitHub implementa la revoca delle credenziali break-glass

GitHub introduce la revoca delle credenziali "break glass"

npm ora blocca gli account ad alto impatto dopo modifiche rischiose agli account

Uno sguardo al nuovo blocco dell'account di 72 ore di npm: cosa lo fa scattare, cosa blocca e come funziona in combinazione con la pubblicazione "trusted" e "staged".

Le migliori alternative a Koi nel 2026

Le migliori alternative a Koi Security nel 2026 | Aikido

Cerchi un'alternativa a Koi Security dopo l'acquisizione da parte di Palo Alto? Confronta i concorrenti in termini di protezione dei dispositivi, ampiezza della piattaforma e prezzi.

L'azione GitHub compromessa codfish/semantic-release-action ruba i segreti CI/CD

Tutti stanno rilasciando codice che non riescono a leggere

Grazie all'intelligenza artificiale, ormai tutti sono sviluppatori, e gran parte del codice viene distribuito senza essere stato sottoposto a un'attenta revisione da parte di esperti del settore.

Aikido x Drydock | Un modo per i maintainer di rilevare il malware prima del rilascio

Aikido collabora con Drydock per introdurre una verifica del malware prima della pubblicazione su npm e PyPI

Packagist è ora protetto da Aikido Intel e altri aggiornamenti al registro PHP

Aikido x OWASP: 200 crediti gratuiti per i membri individuali

Aikido e OWASP: 200 crediti gratuiti per i membri

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco chi ha diritto a riceverli e come richiederli in due semplici passaggi.

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco come richiederli in due semplici passaggi.

Aikido

Oltre 140 popolari pacchetti npm Mastra colpiti da un attacco alla supply chain

Diversi plugin IDE di JetBrains sorpresi a rubare chiavi AI

Full Fathom Five: Il contesto del rilascio pubblico di classe Mythos di Anthropic

Full Fathom Five: Cosa significa il lancio pubblico della classe Mythos di Anthropic

Non c'è mai stato bisogno di Mythos per individuare gli IDOR e le falle nella logica di business. Uno sguardo a ciò che Anthropic ha rilasciato con Fable 5 e al motivo per cui la sicurezza informatica rimane, in fondo, un problema legato alle persone.

5 alternative sicure alle prese elettriche e perché sono migliori

5 alternative ai socket di sicurezza e perché sono migliori

Socket si è affermata grazie al rilevamento dei malware. Ma la velocità di rilevamento da sola non basta più. Ecco un confronto tra Aikido e altre quattro alternative in termini di sicurezza della catena di approvvigionamento, analisi della raggiungibilità, licenze e altro ancora.

npm v12 offre uno dei maggiori miglioramenti di sicurezza degli ultimi anni

npm v12 rende gli script di installazione opzionali per impostazione predefinita, bloccando il percorso di esecuzione in fase di installazione a seguito di un anno di vulnerabilità nella catena di approvvigionamento di npm, da Nx a Red Hat.

Aikido x Docker: meno rumore, più segnale nei tuoi container

Aikido supporta le immagini Docker Hardened con VEX

Aikido ora supporta le immagini Docker Hardened con integrazione VEX incorporata, aiutando i team a ridurre il "rumore" dei CVE e a concentrarsi sulle vulnerabilità dei container che richiedono effettivamente attenzione.

Esegui la scansione delle immagini Docker Hardened in Aikido con il filtro VEX automatico per le vulnerabilità CVE non sfruttabili.

Il codice viene scritto ovunque, e il dispositivo è l'unica costante

Il codice è ovunque e l’unico elemento costante è il dispositivo | Aikido Security

Gli sviluppatori scrivono codice ovunque. Gli agenti di intelligenza artificiale, i bot di Slack e i server MCP hanno trasformato i dispositivi degli sviluppatori nel principale punto cieco in materia di sicurezza.

Le SBOM nel 2026: Tutti le generano, nessuno le usa

Gli SBOM nel 2026: tutti li generano, ma nessuno li usa | Aikido Security

Il rapporto dell'ENISA del 2026 sull'adozione degli SBOM riguarda 334 organizzazioni e mette in luce un divario costante tra la generazione degli SBOM e il loro effettivo utilizzo. Ecco gli aspetti salienti.

Il crate Rust compromesso onering esegue l'esfiltrazione di codice

La crate Rust "onering" v1.4.1 presente su crates.io, che è stata compromessa, conteneva un file `build.rs` dannoso che, ogni volta che si esegue la compilazione, invia il diff dell'ultimo commit a un endpoint Sentry ospitato.

Vulnerabilità critica decennale in phpBB che colpisce decine di milioni di utenti su migliaia di forum

Vulnerabilità critica di phpBB: bypass dell'autenticazione + RCE dal 2014

Aikido Security ha scoperto una vulnerabilità critica nel sistema di autenticazione di phpBB, che consente di aggirare l'autenticazione senza autorizzazione e che interessa decine di milioni di utenti. È sufficiente una singola richiesta HTTP per assumere il controllo di qualsiasi account: una vulnerabilità presente nel codice fin dal 2014.

Aspetta, binding.gyp può fare cosa? Esplorando il più strano sistema di build di npm

Analisi approfondita di binding.gyp, il file di build npm spesso trascurato che può eseguire codice dannoso al momento dell'installazione tramite espansioni della shell, fughe dalla sandbox e dirottamento del compilatore.

L'AI SAST si sta affermando come una nuova categoria di SAST, ma il suo significato non è ancora chiaro. Chiariremo la differenza tra SAST nativo per l'IA e SAST assistito dall'IA, oltre a illustrare come l'AI SAST si collochi nella struttura tra il SAST tradizionale e il pentesting basato sull'IA.

Che cos’è l’AI SAST?

Le 5 migliori alternative a Tenable Nessus nel 2026

Le 5 migliori alternative a Tenable Nessus nel 2026 | Aikido Security

Tenable Nessus è uno scanner potente, ma gli strumenti potenti che nessuno utilizza non rendono il software più sicuro. Confronta cinque alternative progettate per adattarsi alle modalità di lavoro effettive dei team di ingegneri.

Tenable Nessus è un potente scanner per infrastrutture, ma gli strumenti potenti che rimangono scollegati dai flussi di lavoro degli sviluppatori sono strumenti che nessuno utilizza. Questa guida mette a confronto cinque alternative valutate in base alla loro integrazione nei flussi di lavoro degli sviluppatori, all’ampiezza della copertura in materia di sicurezza delle applicazioni (AppSec), al costo e all’esperienza di correzione delle vulnerabilità.

Perché EDR e proxy non ti salveranno dal malware della supply chain

Gli strumenti EDR e i proxy non sono stati progettati per contrastare il malware presente nella catena di approvvigionamento. Quando il codice dannoso arriva tramite il comando `npm install`, sembra un comportamento normale. Ecco perché è importante.

Fatti da parte, Mythos. Arriva... praticamente qualsiasi altro modello con un buon harness

Fatti da parte, Mythos. Ecco che arriva qualsiasi modello dotato di un buon sistema di aggancio.

Mythos offre vantaggi concreti nella costruzione di catene di exploit. Tuttavia, per la maggior parte delle attività di sicurezza delle applicazioni, l’infrastruttura a supporto del modello è più importante della scelta del modello stesso.

Pacchetti npm di Red Hat compromessi per diffondere un worm di furto credenziali

Diversi pacchetti npm ufficiali di @redhat-cloud-services sono stati compromessi da un worm progettato per rubare credenziali, derivato dal malware open source Mini Shai-Hulud, che prendeva di mira le credenziali cloud e gli strumenti di sviluppo utilizzati nelle pipeline CI/CD.

Vi presentiamo l’analisi del codice tramite IA: individuate le vulnerabilità complesse nascoste nel vostro codice sorgente

SAST individua gli schemi ricorrenti. L'analisi del codice basata sull'intelligenza artificiale (AI Code Analysis) esamina il codice come farebbe un hacker, individuando le falle logiche che emergono solo dopo il rilascio.

I modelli agentici sono ora in grado di individuare e mettere in relazione i difetti logici nel codice sorgente più rapidamente di qualsiasi hacker umano. Code Audit si colloca a metà strada tra il SAST e il pentesting, analizza il codice statico e individua le vulnerabilità a più fasi prima che il codice venga distribuito.

Cosa MDM non può proteggere sulle macchine degli sviluppatori (e cosa fare al riguardo)

Cosa non può proteggere l'MDM sui computer degli sviluppatori

Gli strumenti MDM come Jamf e Kandji sono fondamentali, ma non rilevano le installazioni da npm, le estensioni degli IDE o gli strumenti di programmazione basati sull'intelligenza artificiale. Ecco quali sono gli elementi effettivamente non protetti sui computer dei vostri sviluppatori e come colmare questa lacuna.

La maggior parte dei team di sicurezza ha implementato una soluzione MDM. Il problema è che le installazioni tramite npm, le estensioni di VS Code e gli strumenti di programmazione basati sull'intelligenza artificiale operano completamente al di fuori del campo visivo dell'MDM. Ecco quali sono gli elementi effettivamente non protetti e come colmare questa lacuna.

Le migliori alternative a GitGuardian per la scansione dei dati sensibili nel 2026

Confronta le migliori alternative a GitGuardian per la scansione dei segreti nel 2026. Scopri quali sono le soluzioni più adatte tra Aikido Security, GitHub Secret Protection, TruffleHog, Gitleaks, Semgrep, Snyk, Cycode, Checkmarx e GitLab.

Confronta le migliori alternative a GitGuardian per l'analisi dei segreti nel 2026, tra cui Aikido Security, Betterleaks, GitHub Secret Protection, TruffleHog, Semgrep, Snyk, Checkmarx One e GitLab Secret Detection.

Interfaccia utente remota Codex dall'aspetto legittimo ruba segretamente i tuoi token AI

Codexui-android, un'interfaccia utente remota di Codex ben rifinita, è un pacchetto npm attualmente in fase di sviluppo attivo e conta migliaia di utenti settimanali. Nell'ultimo mese ha sottratto in modo discreto i token di autenticazione di OpenAI.

Aikido vs XBOW: 58% in più di vulnerabilità trovate in un benchmark indipendente

Aikido e XBOW a confronto in un benchmark indipendente condotto da Doyensec. Aikido ha individuato il 58% in più di vulnerabilità a parità di prezzo. Scopri i tempi di configurazione, i tassi di falsi positivi e i risultati completi

Abbiamo incaricato Doyensec di condurre un test comparativo cieco e indipendente tra Aikido e XBOW sulle stesse app, a parità di prezzo. Aikido ha individuato il 58% in più di vulnerabilità verificate e si è dimostrato superiore in termini di configurazione, velocità e stabilità.

Perché le macchine degli sviluppatori sono ora l'obiettivo numero uno per gli attacchi alla supply chain

Perché i computer degli sviluppatori sono l’obiettivo numero uno degli attacchi alla catena di approvvigionamento | Aikido

I team di Omnea, Cognism, Glasswall, Raisin e del settore pubblico britannico spiegano perché le soluzioni EDR e MDM non riescono a cogliere ciò che accade realmente sui computer degli sviluppatori.

I team di ingegneri e di sicurezza di Omnea, Cognism, Glasswall e del settore pubblico britannico hanno tutti segnalato, in modo indipendente, lo stesso punto debole. Ecco cosa stanno facendo per porvi rimedio.

Un attacco alla supply chain prende di mira i pacchetti Laravel-Lang con un credential stealer

Gli autori dell'attacco hanno inserito un programma per il furto di credenziali in oltre 200 versioni di popolari pacchetti Laravel-Lang, diffondendo così un malware mirato a chiave cloud, chiavi SSH, browser, portafogli crittografici e altro ancora.

5 alternative a Gitleaks e perché sono migliori

5 alternative a Gitleaks per una migliore analisi dei segreti nel 2026

Cerchi un'alternativa a Gitleaks? Abbiamo messo a confronto Betterleaks, TruffleHog, Aikido, GitHub Advanced Security e Spectral per aiutarti a trovare il miglior strumento di scansione dei segreti per il tuo team.

Gitleaks non è più in fase di sviluppo attivo e il panorama della scansione dei segreti si è evoluto rapidamente. Mettiamo a confronto le cinque alternative più valide del 2026, tra cui Betterleaks, TruffleHog, Aikido, GitHub Advanced Security e Spectral, per aiutarti a trovare la soluzione più adatta al tuo stack.

Il Far West delle estensioni di VS Code e come un'estensione compromessa ha violato GitHub

Ieri è stata individuata un’estensione VS Code dannosa su GitHub, un giorno dopo che Nx Console (2,2 milioni di installazioni) era stata compromessa per 18 minuti sul Visual Studio Marketplace, raggiungendo tutti gli utenti con l’aggiornamento automatico attivato.

GitHub violato tramite un'estensione malevola di VS Code: perché i dispositivi degli sviluppatori sono il vero obiettivo

GitHub vittima di un attacco tramite un'estensione di VS Code | Attacco alla catena di approvvigionamento degli sviluppatori 2026

GitHub ha confermato che un'estensione di VS Code infetta ha compromesso il dispositivo di un dipendente, rendendo accessibili 3.800 repository interni. Perché le postazioni di lavoro degli sviluppatori sono ora il principale obiettivo della catena di approvvigionamento.

Il pacchetto durabletask di Microsoft su PyPi compromesso. Mini Shai Hulud attacca di nuovo... di nuovo!

Tre versioni progressivamente compromesse di un pacchetto Python legato a Microsoft costituiscono un infostealer completo che si diffonde tramite AWS e Kubernetes, sottrae tutte le credenziali cloud che riesce a trovare e cancella i dischi sui sistemi israeliani e iraniani

Mini Shai-Hulud colpisce ancora: il worm npm compromette centinaia di pacchetti @antv

Il worm npm "Mini Shai-Hulud" ha colpito i pacchetti @antv di Alibaba, echarts-for-react e timeago.js. Il payload ruba le credenziali di CI/CD, installa backdoor in VS Code e Claude Code e si diffonde ripubblicando i pacchetti compromessi. Ecco cosa è successo e come proteggere il vostro team.

Il worm npm Mini Shai-Hulud è tornato con l'ondata più massiccia mai registrata, compromettendo centinaia di pacchetti nell'ecosistema di visualizzazione dei dati di Alibaba. Il nostro team dedicato al malware sta monitorando oltre 2.700 repository GitHub non autorizzati creati con token rubati, mentre il worm continua a diffondersi.

Test di penetrazione e red teaming: qual è la differenza?

Test di penetrazione vs. Red Teaming: qual è la differenza?

Non sai se hai bisogno di un test di penetrazione o di un intervento del red team? Questa guida illustra le differenze principali, quando ricorrere a ciascuna soluzione e come l'intelligenza artificiale stia trasformando entrambe.

I test di penetrazione e il red teaming sono entrambi metodi per mettere alla prova la sicurezza, ma non sono la stessa cosa. Questo articolo spiega in dettaglio come funzionano, quando è meglio utilizzare l'uno piuttosto che l'altro e in che modo i test di penetrazione basati sull'intelligenza artificiale stanno cambiando le regole del gioco.

Le chiavi API di Google continuano a funzionare dopo averle eliminate

Le chiavi API di Google continuano a funzionare anche dopo la loro eliminazione per un periodo sufficientemente lungo da poter essere sfruttate

L'eliminazione di una chiave API di Google non comporta la sua revoca immediata. Dai nostri test è emerso che le autenticazioni sono andate a buon fine fino a 23 minuti dopo l'eliminazione, e Google si è rifiutata di risolvere il problema.

Shadow AI è una risposta alla paura, e proibirla peggiora la situazione

Perché i rischi legati all’intelligenza artificiale “ombra” nascono dalla paura (e vietarla non fa che peggiorare la situazione)

I dipendenti non utilizzano strumenti di IA non approvati per creare problemi. Hanno paura di rimanere indietro. Ecco perché vietare l’uso dell’IA “ombra” aumenta i rischi per la sicurezza e cosa fare invece.

L'“Shadow AI” è una reazione dettata dalla paura. I dipendenti nascondono gli strumenti che utilizzano perché interpretano correttamente un mercato del lavoro che richiede competenze nel campo dell’intelligenza artificiale. Ecco perché vietarle non fa che peggiorare la situazione e cosa fare invece.

Mini Shai-Hulud è tornato: il worm npm colpisce oltre 160 pacchetti, inclusi Mistral e Tanstack

Mini Shai-Hulud è tornato: ha compromesso 169 pacchetti npm relativi a TanStack, UiPath, Squawk e altri, con l'obiettivo di sottrarre credenziali degli sviluppatori e segreti relativi alla CI/CD, per poi diffondersi attraverso flussi di lavoro di pubblicazione affidabili.

La checklist completa per la sicurezza di GitHub Actions

Lista di controllo per la sicurezza di GitHub Actions

Alcune delle più gravi aggressioni alla catena di approvvigionamento verificatesi nel 2025 e nel 2026 sono state causate da configurazioni errate di GitHub Actions. Ecco cosa è andato storto e come evitare che ciò accada alla tua organizzazione.

Alcune delle più gravi aggressioni alla catena di approvvigionamento verificatesi nel 2025 e nel 2026 sono state causate da configurazioni errate di GitHub Actions. Ecco una lista di controllo pratica su come proteggersi da tali minacce.

I migliori scanner OWASP del 2026 per la sicurezza delle applicazioni web

La maggior parte degli scanner non copre l'intera lista OWASP Top 10. Abbiamo analizzato i migliori scanner OWASP del 2026 per consentirti di scegliere quello che ti garantisce una copertura completa.

La maggior parte degli scanner OWASP non copre l'intera Top 10. Questa guida analizza i migliori strumenti del 2026, cosa copre effettivamente ciascuno di essi e quale scanner offre una copertura completa senza falsi positivi.

Implementare la sicurezza per gli sviluppatori in un'organizzazione con oltre 5.000 ingegneri

Sicurezza degli sviluppatori su larga scala: guida all'implementazione per i CISO

La maggior parte delle iniziative di sicurezza intraprese dagli sviluppatori fallisce perché sono concepite come implementazioni di software, anziché come cambiamenti culturali. Una guida pratica per i CISO aziendali.

La maggior parte delle iniziative di sicurezza rivolte agli sviluppatori fallisce perché sono concepite come implementazioni di software, anziché come cambiamenti culturali. Ecco il modello per fasi su cui convergono i CISO più esperti per risolvere il problema.

Metamorfosi della sicurezza: una checklist di architettura Mythos-ready per attacchi AI autonomi

La sicurezza delle applicazioni (AppSec) è rimasta indietro rispetto alla complessità dei tempi moderni. Il progetto Glasswing e l’era Mythos richiedono una disciplina di sicurezza in grado di operare alla stessa velocità delle minacce che deve affrontare.

Perché le estensioni del browser rappresentano un grave rischio per la sicurezza e cosa puoi fare al riguardo

Le estensioni dei browser comportano numerosi rischi per la sicurezza, più di quanti siamo disposti ad ammettere. Analizziamo la portata complessiva della minaccia e cosa possono fare al riguardo sia i singoli utenti che le organizzazioni.

I migliori scanner CVE del 2026 per individuare le vulnerabilità note

I migliori scanner CVE del 2026: confronto in base a copertura, funzionalità di intelligence e correzione automatica

Abbiamo valutato i migliori scanner CVE del 2026 in base all’ampiezza della copertura, alle fonti di intelligence, al rapporto segnale-rumore e alla capacità di correzione automatica. Ecco un confronto tra i vari strumenti e quale è più adatto al vostro stack.

Non tutti gli scanner CVE sono uguali. Abbiamo messo a confronto le migliori opzioni disponibili nel 2026 in base all’ampiezza della copertura, alle fonti di intelligence, al rapporto segnale/rumore e alla capacità di correzione automatica, in modo che tu possa trovare la soluzione più adatta al tuo stack.

Il popolare pacchetto PyTorch Lightning compromesso da Mini Shai-Hulud

È stato individuato un malware nelle popolari versioni 2.6.2 e 2.6.3 di PyTorch Lightning, che ruba credenziali, portafogli di criptovalute e configurazioni VPN nell'ambito della campagna Mini Shai-Hulud.

Una checklist di sicurezza pratica per CTO per essere Mythos-ready

Lista di controllo per Mythos-Ready

Una pratica lista di controllo per i CTO del settore SaaS che devono destreggiarsi in un mondo caratterizzato da minacce legate a Mythos e all'IA agente. Basata sul vantaggio di chi difende: voi disponete del contesto che gli aggressori devono faticosamente procurarsi. Illustra i controlli, le pratiche e le abitudini operative che determinano se il vostro team riuscirà a individuare e risolvere i problemi prima che lo faccia qualcun altro.

Qualcuno ha pubblicato quattro versioni di un pacchetto "tanstack" falso in 27 minuti per rubare i tuoi file .env

Quattro versioni pubblicate di un pacchetto fasullo denominato “tanstack”, caricate in 27 minuti, che mirano a rubare i tuoi file .env

Un pacchetto npm fasullo denominato "tanstack" ha pubblicato oggi quattro versioni dannose nel giro di 27 minuti, sottraendo i file .env tramite un hook post-installazione. Ecco cosa è successo, chi è stato colpito e come aggiornare le proprie credenziali.

Aikido si integra con AWS Kiro: Intercettare in fase di revisione non è più scalabile

Aikido x Kiro | La gestione degli errori in fase di revisione non è più scalabile

Agenti di intelligenza artificiale che scrivono il tuo codice. Aikido si integra direttamente nel flusso di lavoro basato sugli agenti di AWS Kiro per garantire la sicurezza fin dalla prima riga, in modo automatico. Aikido è il primo partner globale di AWS nel campo della sicurezza per Kiro.

Mini Shai-Hulud prende di mira i pacchetti npm di SAP con un secret stealer basato su Bun

I pacchetti npm SAP compromessi utilizzano un payload di preinstallazione basato su Bun per sottrarre credenziali di GitHub, npm, servizi cloud e CI, per poi diffondersi tramite GitHub utilizzando OhNoWhatsGoingOnWithGitHub.

È ora di trattare le estensioni del browser come vettori di attacco alla supply chain

È ora di considerare le estensioni dei browser come vettori di attacco alla catena di approvvigionamento | Lezioni apprese dalla violazione di Vercel

La violazione di Vercel ha seguito uno schema ben noto al settore della sicurezza, in cui il codice di terze parti viene implicitamente considerato affidabile, per poi essere compromesso a monte. Abbiamo un framework apposito per questo. Semplicemente non l’abbiamo ancora applicato alle estensioni del browser. (Spoiler: lo facciamo per le dipendenze software)

Shai-Hulud è tornato? La CLI di Bitwarden compromessa contiene un worm npm auto-propagante

Il malware rilevato nella versione @bitwarden/cli v2026.4.0 ruba chiavi SSH, segreti cloud e credenziali di strumenti di programmazione AI, per poi diffondersi attraverso i pacchetti npm delle stesse vittime. Al suo interno: un worm che si autodefinisce "Shai-Hulud: The Third Coming".

La backdoor GPT-Proxy in npm e PyPI trasforma i server in relay LLM cinesi

Una campagna di malware recentemente scoperta su npm e PyPI installa proxy LLM nascosti sui server compromessi, trasformandoli in nodi di inoltro per il traffico LLM.

Vulnerabilità XSS in Roundcube combinata con l’invio di cookie per ottenere l’accesso completo alla posta in arrivo

Abbiamo individuato una vulnerabilità XSS di tipo "stored" nell'endpoint dedicato agli allegati delle bozze di Roundcube che, combinata con una tecnica di "cookie tossing", consente a un malintenzionato di ottenere pieno accesso alla casella di posta in arrivo della vittima. Ecco come funziona la catena di exploit e come è stata risolta la vulnerabilità.

Presentiamo Device Protection: sicurezza per i dispositivi degli sviluppatori

Protezione dei dispositivi Aikido: sicurezza per i dispositivi degli sviluppatori | Aikido

Gli attacchi alla catena di approvvigionamento prendono di mira i dispositivi degli sviluppatori. Aikido Device Protection monitora ogni installazione su npm, PyPI, estensioni di VS Code, estensioni per browser e strumenti di intelligenza artificiale.

Molteplici vulnerabilità di Cross-Site Scripting (XSS) in Mailcow

Rilevate diverse vulnerabilità XSS in Mailcow, tra cui la possibilità di assumere il controllo di un account senza autenticazione

L'agente di test di penetrazione AI di Aikido ha individuato tre vulnerabilità XSS in Mailcow, una delle quali consentiva ad aggressori non autenticati di assumere il controllo degli account amministrativi. Tutti i problemi sono stati risolti a partire dalla versione 2026-03b.

Gli agenti di pentesting basati sull'intelligenza artificiale di Aikido hanno individuato tre vulnerabilità XSS in Mailcow, un server di posta elettronica self-hosted ampiamente utilizzato. La più grave consentiva ad aggressori non autenticati di iniettare un payload nei log di Autodiscover che veniva eseguito quando un amministratore li visualizzava, consentendo il controllo totale dell'account. Tutte e tre le vulnerabilità sono state risolte a partire dalla versione 2026-03b.

Fonti CVE affidabili nell'era dei tagli al NIST NVD

Modifiche al NIST NVD del 2026: cosa devono sapere i team di sicurezza

Il NIST non aggiornerà più la maggior parte dei CVE. Ecco cosa cambia, cosa non funzionerà più e quali saranno i prossimi passi.

Un anno di Opengrep: Cosa abbiamo realizzato e cosa ci aspetta

Opengrep SAST dopo un anno: analisi statica più veloce e deterministica

A un anno dal fork di Semgrep, Opengrep è più veloce, supporta un’analisi più approfondita dei taint e produce risultati coerenti e riproducibili.

A un anno dal fork di Semgrep, Opengrep è più veloce, più potente e completamente open source. Ecco cosa abbiamo realizzato e quali sono i prossimi passi.

Axios CVE-2026-40175: un bug critico che… non è sfruttabile

La vulnerabilità Axios CVE-2026-40175 è classificata come critica, ma negli ambienti Node.js reali non è praticamente sfruttabile. Ecco perché.

Grazie! La tua richiesta è stata ricevuta!

Ops! Qualcosa è andato storto durante l'invio del modulo.

19 agosto 2026

•

Vulnerabilità e Minacce

Ancora un altro RCE in Gogs, ma questa volta è stato risolto!

Tag/

#Test di penetrazione basati sull'intelligenza artificiale

#Vulnerabilità

#open source

6 agosto 2026

•

Notizie

Che cos’è l’ingegneria dei sistemi di fissaggio per l’IA?

L'ingegneria dell'harness è il codice che circonda un modello di IA e lo trasforma in un agente. Cosa fa un harness, perché è preferibile alla semplice scelta di un modello e come crearne uno.

Tag/

#IA

#Sicurezza dell'IA

#Modellazione delle minacce

5 agosto 2026

•

Notizie

Chi c'era dietro l'attacco? Forse nessuno

Tag/

#IA

#Sicurezza dell'IA

#Mythos

29 luglio 2026

•

Notizie

Quattro decisioni di risposta agli incidenti dalla violazione di Hugging Face

Ricognizione, credenziali rubate, C2 nascosto e "ricostruzione o patch". Quattro decisioni relative alla violazione di Hugging Face che dimostrano se è possibile individuare un attacco in corso.

Tag/

#IA

#Sicurezza dell'IA

#Infrastruttura come codice (IaC)

23 luglio 2026

•

Notizie

Una migliore rilevazione generica dei segreti inizia con la ricerca di non-segreti

Alcune chiavi API sono destinate a essere pubbliche. Betterleaks ora le esclude dai risultati generici relativi ai segreti, riducendo di migliaia il numero di falsi positivi per ogni scansione.

Tag/

#Segreti

#AppSec

#open source

22 luglio 2026

•

Vulnerabilità e Minacce

Individuare otto vulnerabilità ad alta gravità in NodeBB in sei ore

Tag/

#Test di penetrazione basati sull'intelligenza artificiale

#Vulnerabilità

22 luglio 2026

•

Notizie

SQL injection non è morta

Tag/

#Iniezioni SQL

#Aikido Zen

21 luglio 2026

•

Guide e Best Practice

Il CISO di Tyro: Essere l'"Einstein della cybersecurity" non basta se gli sviluppatori non si fidano di te

Arun Singh, CISO di Tyro, parla della fiducia degli sviluppatori come risorsa limitata e di cosa succede quando gli attacchi alla catena di approvvigionamento costringono i team a consumarla

Tag/

#Strumenti

#Sicurezza della catena di fornitura del software

17 luglio 2026

•

Vulnerabilità e Minacce

RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL

Tag/

#Vulnerabilità

#AppSec

#Iniezioni SQL

16 luglio 2026

•

Tecnico

Analisi comparativa di 13 modelli di IA per l'individuazione di CVE già noti

Tag/

#Test di penetrazione basati sull'intelligenza artificiale

#IA

14 luglio 2026

•

Guide e Best Practice

La checklist pratica per difendersi dagli attacchi alla supply chain

Trenta misure di difesa prioritarie contro la recente ondata di attacchi alla catena di approvvigionamento del software. Classificate come critiche, elevate o medie.

Tag/

#Sicurezza della catena di fornitura del software

#open source

13 luglio 2026

•

Notizie

Come mantenere gli standard di qualità del codice con AI code e vibe coding

Tag/

#Qualità del codice

#Vibe Coding

#IA

12 agosto 2026

•

Aggiornamenti di Prodotto e Aziendali

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

SAST, Deep PR Review, analisi del codice con IA e test di penetrazione con IA individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché.

Test di penetrazione basati sull'intelligenza artificiale

5 agosto 2026

•

Aggiornamenti di Prodotto e Aziendali

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Test di penetrazione basati sull'intelligenza artificiale

Comunicati

Pentesting Continuo

Sicurezza informatica europea

14 luglio 2026

•

Aggiornamenti di Prodotto e Aziendali

Come Aikido Intel rileva per primo malware e vulnerabilità

Aikido Intel è un feed in tempo reale che individua malware e vulnerabilità non ancora rese note negli ecosistemi open source, spesso entro 8 minuti dalla loro diffusione.

informazioni

Protezione dei dispositivi per l'Aikido

SCA

4 agosto 2026

•

Vulnerabilità e Minacce

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

Malware

31 luglio 2026

•

Vulnerabilità e Minacce

Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali

Sicurezza dell'IA

Malware

19 luglio 2026

•

Vulnerabilità e Minacce

SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti

SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi

Malware

12 giugno 2026

•

Strumenti DevSec e confronti

5 alternative sicure alle prese elettriche e perché sono migliori

Aikido Zen

Malware

open source

19 agosto 2025

•

Strumenti DevSec e confronti

I 13 migliori strumenti per i test dinamici di sicurezza delle applicazioni (DAST) nel 2026

Scopri i 13 migliori strumenti per il Dynamic Application Security Testing (DAST) del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione DAST più adatta alle tue esigenze.

Strumenti

DAST

18 luglio 2025

•

Strumenti DevSec e confronti

I 14 migliori strumenti di scansione dei container nel 2026

Scopri i 14 migliori strumenti di scansione dei container del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione più adatta alla tua pipeline DevSecOps.

Strumenti

Scansione di container