Benvenuti sul nostro blog.

I principali feed di intelligence sulle minacce nel 2026

I migliori feed di intelligence sulle minacce nel 2026 | Aikido Security

Confrontiamo i principali feed di intelligence sulle minacce del 2026: Aikido Intel, Socket Threat Feed, Snyk Security Database, OSV.dev e Spectra Intelligence (ReversingLabs)

I migliori strumenti di sicurezza degli endpoint per gli sviluppatori nel 2026

I migliori strumenti di sicurezza degli endpoint per gli sviluppatori nel 2026 | Aikido

Confronto tra i migliori strumenti di sicurezza degli endpoint per sviluppatori nel 2026. Esaminiamo Aikido Security, GitGuardian Developer Endpoint Protection, Koi Security, Socket e CrowdStrike Falcon

Aikido finanzia la sicurezza di Node.js

Aikido si unisce all'iniziativa di OpenJS volta a finanziare le attività relative alla sicurezza di Node.js

L'Aikido è uno dei partner fondatori del programma "Security Stewardship" di OpenJS, che finanzia i premi per la segnalazione di bug e il supporto ai manutentori di Node.js.

Le migliori alternative a CodeQL nel 2026

Le migliori alternative a CodeQL nel 2026 | Aikido

Le migliori alternative a CodeQL a confronto in base a rumore, correzioni, costo e altro ancora: Aikido Security, Semgrep, Snyk Code, SonarQube, Checkmarx e Veracode

Le migliori alternative a Greptile nel 2026

Le migliori alternative a Greptile nel 2026 | Aikido

Confrontiamo le migliori alternative a Greptile nel 2026 in base a copertura, rumore, approfondimento delle analisi e altro ancora: Aikido Security, CodeRabbit, Qodo, Graphite, SonarQube e CodeAnt AI

È apparso un nuovo worm denominato "supplychain.local Go"

MemTensor su npm e PyPI colpito dal malware "supplychain.local"

"supplychain.local": codice dannoso rilevato nel plugin npm di MemTensor (0.1.21, 0.1.23) e in MemoryOS su PyPI (2.0.34).

È arrivata la legge sulla resilienza informatica! Sfatare i miti e prime impressioni

La prima scadenza prevista dal Cyber Resilience Act è appena scaduta l'11 settembre 2026. Ecco come si presenta la nuova piattaforma unica di segnalazione e quattro miti comuni sul CRA sfatati.

Invia un'e-mail a GitLab, esegui il push sul ramo main

GitLab ti fornisce un indirizzo e-mail privato per creare issue. Se dovesse trapelare, chiunque ne entri in possesso potrà inviare codice, eseguire processi CI/CD e aggirare le restrizioni IP su tutti i tuoi progetti, sia pubblici che privati.

La campagna Graphalgo si estende ai provider Terraform e ai Go Modules

Il malware Graphalgo si diffonde su Terraform e Go

Aikido ha individuato un malware Go collegato a Graphalgo nei provider Terraform e nei Go Modules, che utilizzava trigger mirati, Slack e un canale di comando e controllo (C2) basato su blockchain.

Il malware Graphalgo si è ora diffuso anche in Go, comparendo in due provider Terraform e in due moduli Go.

Aikido e Deel: configurazione una tantum, sicurezza garantita per ogni noleggio

Codice, cloud e dispositivi: tutto gestito automaticamente non appena una persona viene assunta tramite Deel.

Vi presentiamo Aikido Altar: il modello che rende possibile l’intelligence per la sicurezza sovrana

Aikido Altar: intelligenza artificiale senza limiti di peso per la sicurezza sovrana

Aikido Altar è un modello di intelligenza artificiale compresso e senza limiti di peso, progettato per l’intelligence di sicurezza sovrana, che alimenta i test di penetrazione on-premise e in ambiente air-gapped di Aikido Machine.

I migliori strumenti di test di penetrazione basati sull’intelligenza artificiale on-premise nel 2026

I migliori strumenti di test di penetrazione basati sull'intelligenza artificiale on-premise nel 2026 | Aikido Security

I migliori strumenti di penetration testing basati sull'intelligenza artificiale (AI) on-premise del 2026 per team soggetti a normative, messi a confronto in base al supporto per l'air-gap, alla profondità del white-box e alla copertura delle applicazioni

I migliori strumenti di penetration testing basati sull'intelligenza artificiale on-premise del 2026 per team soggetti a normative, messi a confronto in base al supporto dell'air-gap, alla profondità del white-box e alla copertura delle applicazioni. Scopri dove si colloca ciascuno di essi

L'Aikido ottiene la certificazione AWS Security Competency per la sicurezza delle applicazioni

AWS ha riconosciuto ad Aikido la Certificazione di competenza in materia di sicurezza delle applicazioni, a conferma di come Aikido garantisca la sicurezza delle applicazioni, dal codice al cloud fino all'esecuzione.

AWS ha verificato il nostro lavoro: siamo ufficialmente un AWS Security Competency Partner per la sicurezza delle applicazioni.

Le migliori alternative a Qodo per l'assistenza alla programmazione basata sull'intelligenza artificiale

Confronto tra le migliori alternative a Qodo nel 2026

Le migliori alternative a Qodo per la revisione del codice tramite IA nel 2026, messe a confronto in base a rumore, sicurezza e costo, per permetterti di scegliere lo strumento più adatto al tuo team.

Le migliori alternative ad Aqua Security per la sicurezza cloud-native nel 2026

Confronto tra le 6 migliori alternative ad Aqua Security nel 2026

Confronta le migliori alternative ad Aqua Security nel 2026: Aikido, Wiz, Prisma Cloud, Sysdig, Orca e CrowdStrike, in termini di copertura, implementazione, prezzi e adeguatezza alle esigenze.

Dependabot contro Renovate

Dependabot vs Renovate (2026): quale scegliere?

Confronto tra Dependabot e Renovate in termini di configurazione, monorepo, piattaforme e sicurezza, oltre a spiegare perché l’aggiornamento automatico non individua ciò che è effettivamente vulnerabile

Il picco dei CVE registrato dalle principali aziende produttrici di software rappresenta un problema di correzione delle vulnerabilità

Il numero di vulnerabilità CVE è in aumento presso le principali aziende di software e un audit federale dimostra che nemmeno il NIST è riuscito a stare al passo. Ecco perché è la velocità di risoluzione, e non il numero di segnalazioni, il dato che conta davvero.

Un grafico diventato virale questo mese ha mostrato un forte aumento dei CVE in 21 delle principali aziende produttrici di software, e il settore si è diviso in due fazioni che discutono sul significato di questo dato. Entrambe trascurano però il dato che determina effettivamente il rischio: la rapidità con cui vengono risolte le vulnerabilità che contano davvero.

Jason Haddix: Smettiamo di temere i test di penetrazione basati sull’intelligenza artificiale

Jason Haddix: Il 90% dei test di penetrazione sarà eseguito dall'intelligenza artificiale

Jason Haddix spiega perché i test di penetrazione manuali non riescono a stare al passo, cosa viene meno per primo e perché è proprio l'approccio umano a garantire il successo dei test di penetrazione basati sull'intelligenza artificiale

Un pacchetto Flutter compromesso su pub.dev contiene il malware XCSSET

Abbiamo rilevato il malware XCSSET all’interno di un pacchetto Flutter compromesso su pub.dev. Di seguito è riportata un’analisi dettagliata della catena di infezione, dei moduli di propagazione e della logica dello stealer che abbiamo individuato al suo interno.

Shai-Hulud torna in vita dopo 111 giorni

Un payload npm di Shai-Hulud è stato rilevato 111 giorni dopo

Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni, per poi essere ripubblicato su npm, eludendo la scansione antimalware pensata proprio per individuarlo.

Un payload Shai-Hulud risalente a maggio è appena riapparso su npm, con lo stesso hash, immutato, superando indenne la scansione effettuata al momento della pubblicazione che avrebbe dovuto individuarlo.

Soluzione di StyleSmuggler: applicare la patch per la vulnerabilità RCE in Magento e Adobe Commerce

Correzione di StyleSmuggler: patch per Magento e Adobe Commerce (RCE)

StyleSmuggler è una vulnerabilità RCE senza autenticazione che colpisce Magento e Adobe Commerce; al momento non è stato assegnato alcun codice CVE e non è ancora disponibile alcuna patch da parte di Adobe. Aikido dispone già della correzione.

StyleSmuggler sta colpendo proprio in questo momento Magento e Adobe Commerce, e Adobe non ha ancora rilasciato una correzione. Ecco la patch di cui disponiamo già e come funziona.

Dirty Frag (CVE-2026-43284): il bug del kernel Linux che trasforma un accesso in lettura in un accesso con privilegi di root

Dirty Frag (CVE-2026-43284): Escalation dei privilegi di root su Linux | Aikido

Dirty Frag trasforma un accesso Linux con privilegi limitati in un accesso root ed è in grado di sfuggire ai container. I CVE interessati, come verificare se si è esposti al rischio e come risolvere il problema.

Le migliori alternative a Trivy per la scansione di container e cloud nel 2026

Le migliori alternative a Trivy nel 2026: un confronto

Confronto tra sei alternative a Trivy per il 2026 in materia di scansione dei container, IaC, SAST, definizione delle priorità e correzioni, con l’indicazione del contesto in cui ciascuna di esse trova effettivamente applicazione.

Basta violare gli SLA: come applicare le patch alle vulnerabilità prima ancora che la correzione venga rilasciata

Il tuo SLA sta per essere violato e per la dipendenza non è disponibile alcuna patch

Come utilizzare le librerie Aikido per correggere le dipendenze vulnerabili e rispettare gli SLA di sicurezza.

Scopri come rispettare gli SLA di sicurezza relativi alle vulnerabilità delle dipendenze con le librerie Aikido, applicando patch sicure e retrocompatibili.

MECCHA CHAMELEON non può sfuggire all'RCE

I migliori strumenti DSPM nel 2026

I migliori strumenti DSPM del 2026: confronto e classifica

Confronta i migliori strumenti DSPM del 2026: Aikido, Wiz, Cyera, Varonis e Orca, in termini di accesso ai dati, correzione delle vulnerabilità e modalità di individuazione delle esposizioni

Confronta i migliori strumenti DSPM del 2026 – Aikido, Wiz, Cyera, Varonis e Orca – in termini di accesso ai dati, correzione delle vulnerabilità e modalità di individuazione delle esposizioni

Il lato oscuro del monitoraggio della catena di approvvigionamento

Le regole basate su stringhe individuano solo il malware già noto. Il rilevamento comportamentale è il metodo che consente di individuare gli attacchi alla catena di approvvigionamento.

Il popolare generatore di codice per TanStack Query è stato colpito da un worm della catena di approvvigionamento

Protezione delle immagini Docker

Protezione delle immagini Docker: rafforzamento della sicurezza, applicazione delle patch e manutenzione

Addio e buona fortuna, TeamPCP. Ora viene il difficile.

Gli arresti effettuati dal TeamPCP non risolvono il rischio legato alla catena di approvvigionamento che hanno messo in luce

Le migliori alternative a Minimus nel 2026

Aikido Security ottiene la certificazione ISO 42001:2023 per la governance dell'intelligenza artificiale

L'Aikido ottiene la certificazione ISO 42001 | AI Governance

Conformità

La sicurezza della catena di approvvigionamento del software richiede decisioni consapevoli piuttosto che impostazioni predefinite

Sicurezza della catena di fornitura del software: decisioni, non impostazioni predefinite

Aikido lancia un servizio di pentesting "agente" per le app Android

Test di penetrazione su Android: ora con agenti e in modo autonomo | Aikido

È possibile che OpenClaw abbia davvero hackerato quella palestra australiana? Abbiamo deciso di metterlo alla prova.

Come l'Aikido individua più vulnerabilità di Mythos a metà del costo

Come l’Aikido individua più vulnerabilità rispetto a Claude Security con Mythos, a metà del costo

Shai-Hulud è stata la cosa migliore che potesse capitare alla sicurezza della catena di approvvigionamento

I migliori strumenti di hardening delle immagini nel 2026

I migliori strumenti di hardening delle immagini del 2026: un confronto tra 7 soluzioni

Confronto tra strumenti di hardening delle immagini per il 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus e Wiz

I migliori strumenti aziendali di penetration testing basati sull'intelligenza artificiale per la sicurezza delle applicazioni nel 2026

I migliori strumenti di penetration testing basati sull'intelligenza artificiale per le aziende nel 2026

Confronta i migliori strumenti di pentesting basati sull'intelligenza artificiale per le aziende del 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian e Cobalt.

In cosa consiste la correzione delle vulnerabilità CVE nel 2026?

Che cos’è la correzione delle vulnerabilità CVE nel 2026?

Abbiamo bruciato 11,7 miliardi di token per individuare il miglior modello di intelligenza artificiale per la sicurezza informatica

Abbiamo bruciato 11,7 miliardi di token per individuare il miglior modello di IA informatica | GLM5.3 e DeepSeek sono ora all’avanguardia

I crate più diffusi di Rust, arrayref, append-only-vec e internment, sono stati compromessi in un attacco alla catena di approvvigionamento

Lista di controllo per i fornitori di servizi di pen-testing basati sull’intelligenza artificiale: cosa cercare

Ancora un altro RCE in Gogs, ma questa volta è stato risolto!

I migliori strumenti SCA aziendali nel 2026

I migliori strumenti SCA aziendali del 2026 | Aikido

Confronto tra gli strumenti SCA aziendali per il 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck e Veracode in termini di analisi, correzione e conformità.

I migliori strumenti DAST aziendali nel 2026

I migliori strumenti DAST per le aziende nel 2026 | Aikido

I migliori strumenti di sicurezza unificata nel 2026

I migliori strumenti di sicurezza unificata nel 2026 | Aikido

Confronta i migliori strumenti di sicurezza unificata del 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca, in termini di copertura, correlazione, governance e costi.

Da Hugging Face a Fable: quest’estate dimostra che il controllo dell’IA è più importante della fiducia

Sicurezza dell'IA: perché il controllo è più importante della fiducia

Una violazione causata da un'IA autonoma presso Hugging Face e la sospensione di Fable da parte di Anthropic dimostrano la stessa cosa: fidarsi di un fornitore non equivale ad avere il controllo

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

Di quale strumento per i test di sicurezza hai effettivamente bisogno?

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano le vulnerabilità in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché.

Che cos’è l’ingegneria dei sistemi di fissaggio per l’IA?

Che cos’è l’ingegneria degli harness? | Gli harness dell’IA e il loro impatto sulla sicurezza dell’IA

L'ingegneria dell'harness è il codice che circonda un modello di IA e lo trasforma in un agente. Cosa fa un harness, perché è preferibile alla semplice scelta di un modello e come crearne uno.

Chi c'era dietro l'attacco? Forse nessuno

Chi c'era dietro l'attacco? Forse nessuno | Gli attacchi degli agenti autonomi di Anthropic, OpenAI e AISI

Tre casi resi noti quest’estate hanno documentato attacchi sferrati da agenti di intelligenza artificiale contro organizzazioni reali, senza alcun intervento umano nella catena decisionale. La gestione degli incidenti non dispone ancora di un protocollo specifico per questo tipo di eventi.

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Aikido Machine: server locale per test di penetrazione basati sull'intelligenza artificiale | Aikido Security

Test di penetrazione basati sull'intelligenza artificiale in modalità continua per i team che non possono utilizzare il cloud. Aikido Machine mantiene modelli, codice e risultati interamente all'interno della vostra rete.

Test di penetrazione continui basati sull’intelligenza artificiale, effettuati all’interno della rete di organizzazioni soggette a una rigorosa regolamentazione. Belfius, la banca-assicurazione belga, è la prima ad averli implementati.

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Keyv e i suoi collaboratori sono stati vittime di un attacco alla catena di approvvigionamento di npm

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

I migliori strumenti SAST aziendali del 2026

I migliori strumenti SAST aziendali del 2026 | Aikido Security

Confronto tra i migliori strumenti SAST aziendali in termini di riduzione del rumore, correzione tramite IA, governance, conformità e costi

Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali

Il "Fever Dream" di Anthropic: il pacchetto "anthropickit" di Claude che ha sottratto chiavi reali

Anthropic ha rivelato l'esistenza di un agente che ha diffuso malware vero e proprio su PyPI. Riteniamo di aver individuato il pacchetto in questione, e ogni errore in esso contenuto rimanda all'intelligenza artificiale.

Anthropic ha rivelato che uno dei propri agenti ha pubblicato malware attivo su PyPI, compromettendo così un'azienda terza reale. Ho fatto qualche ricerca e potrei aver trovato il pacchetto che ha lasciato.

Le migliori alternative ad Astra Security per i test di penetrazione automatizzati nel 2026

Le migliori alternative ad Astra Pentest per i test di sicurezza | Aikido Security

Confronta le alternative ad Astra Security per i test di penetrazione basati sull'intelligenza artificiale nel 2026 in termini di approfondimento, test white-box, risultati di conformità e ampiezza della piattaforma

Quattro decisioni di risposta agli incidenti dalla violazione di Hugging Face

Quattro insegnamenti sulla gestione degli incidenti tratti dalla violazione subita da Hugging Face

Ricognizione, credenziali rubate, C2 nascosto e "ricostruzione o patch". Quattro decisioni relative alla violazione di Hugging Face che dimostrano se è possibile individuare un attacco in corso.

I migliori strumenti SAST del 2026

I migliori strumenti SAST del 2026: Aikido, Snyk, Semgrep e altri ancora

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali

Confronta i migliori strumenti SAST del 2026 in base a profondità di rilevamento, rumore, correzione e adeguatezza alle esigenze aziendali.

I migliori strumenti di sicurezza LLM per proteggere le applicazioni di intelligenza artificiale

I migliori strumenti di sicurezza basati su LLM nel 2026 | Aikido Security

Confronta i migliori strumenti di sicurezza LLM per le applicazioni di intelligenza artificiale, tra cui Aikido, Snyk, Semgrep, Endor Labs e Wiz, in termini di codice, catena di fornitura e fase di esecuzione.

Le migliori alternative ad Acunetix per la scansione automatizzata delle vulnerabilità

Le migliori alternative ad Acunetix per la scansione delle vulnerabilità | Aikido Security

Stai cercando delle alternative ad Acunetix? Il suo DAST prevede controlli basati su regole, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione di livello audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Stai cercando delle alternative ad Acunetix? Il suo DAST copre i controlli standard, ma non è in grado di analizzare la logica di business né di eseguire test di penetrazione a livello di audit. Ecco cinque opzioni che offrono funzionalità più avanzate.

Una migliore rilevazione generica dei segreti inizia con la ricerca di non-segreti

Alcune chiavi API sono destinate a essere pubbliche. Betterleaks ora le esclude dai risultati generici relativi ai segreti, riducendo di migliaia il numero di falsi positivi per ogni scansione.

SQL injection non è morta

Le iniezioni SQL (e Little Bobby Tables) non sono scomparse

La soluzione al problema dell’iniezione SQL risale a decenni fa e funziona ancora. Allora perché il core di WordPress ha appena avuto bisogno di una patch d’emergenza proprio per questo? I dati e come difendersi.

Il CISO di Tyro: Essere l'"Einstein della cybersecurity" non basta se gli sviluppatori non si fidano di te

L’Einstein della sicurezza informatica ha ancora bisogno della fiducia degli sviluppatori

Arun Singh, CISO di Tyro, parla della fiducia degli sviluppatori come risorsa limitata e di cosa succede quando gli attacchi alla catena di approvvigionamento costringono i team a consumarla

Cosa devono sapere gli sviluppatori su DSPM e l'esposizione dei dati nel codice

Il DSPM tradizionale individua dove si trovano i dati sensibili. Il DSPM basato sul codice individua in che modo vengono esposti e indica la correzione da apportare nel codice.

La trappola dell'aggiornamento: quando l'aggiornamento è la risposta sbagliata a una CVE

Perché l'aggiornamento per risolvere una vulnerabilità CVE spesso peggiora la situazione | Aikido

Eseguire un aggiornamento per risolvere una vulnerabilità CVE sembra semplice. Tuttavia, spesso la versione corretta non funziona correttamente con la tua app, non è ancora stata rilasciata o non esiste affatto. Ecco perché e cosa funziona davvero.

L'approccio "aggiorna per risolvere il problema" presuppone che esista una versione corretta, che sia già disponibile e che non causi malfunzionamenti nell'app. Spesso nessuna di queste condizioni è vera. Si tratta della "trappola dell'aggiornamento", in cui sia l'aggiornamento che la mancata esecuzione dello stesso comportano rischi per la sicurezza e il malfunzionamento dell'ambiente di produzione. Vediamo quale potrebbe essere la via d'uscita.

SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti

SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi

RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL

Vulnerabilità RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL. Applicate subito la patch per risolvere la vulnerabilità!

Il core di WordPress presenta una vulnerabilità RCE (wp2shell) senza autenticazione, confermata come iniezione SQL. Effettuate subito l'aggiornamento alla versione 7.0.2 o 6.9.5; se non è ancora possibile applicare la patch, adottate le misure di mitigazione. Bloccate la classe di attacco in fase di esecuzione con Aikido Zen.

Le migliori alternative a Pentera per i test di penetrazione automatizzati

Le migliori alternative a Pentera per i test di penetrazione automatizzati | Aikido Security

Confronta le migliori alternative a Pentera per i test di penetrazione automatizzati nel 2026. Scopri in quali contesti Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra e Astra si adattano meglio.

Analisi comparativa di 13 modelli di IA per l'individuazione di CVE già noti

Analisi comparativa di 13 modelli di IA nel rilevamento di vulnerabilità CVE note

Abbiamo testato 13 modelli di intelligenza artificiale su 26 CVE noti per verificare quale fosse in grado di individuare il maggior numero di vulnerabilità e se il modello più costoso valesse davvero la spesa.

Abbiamo testato 13 modelli di IA per individuare 26 vulnerabilità CVE note. GPT-5.6 è stato quello che ne ha individuate di più, ma il modello più costoso non si è rivelato il miglior investimento in termini di budget.

La checklist pratica per difendersi dagli attacchi alla supply chain

La checklist pratica sugli attacchi alla catena di approvvigionamento | Aikido

Trenta misure di difesa prioritarie contro la recente ondata di attacchi alla catena di approvvigionamento del software. Classificate come critiche, elevate o medie.

Pacchetti npm AsyncAPI con backdoor tramite GitHub Actions

Cinque versioni del pacchetto, che registrano circa 2 milioni di download settimanali, hanno distribuito un dropper offuscato il 14 luglio 2026. Ecco cosa abbiamo appurato finora.

Come Aikido Intel rileva per primo malware e vulnerabilità

Aikido Intel è un feed in tempo reale che individua malware e vulnerabilità non ancora rese note negli ecosistemi open source, spesso entro 8 minuti dalla loro diffusione.

Aikido Intel è un feed di intelligence in tempo reale sulla catena di approvvigionamento che individua rapidamente malware e vulnerabilità non ancora rese note negli ecosistemi open source.

Individuare otto vulnerabilità ad alta gravità in NodeBB in sei ore

Otto vulnerabilità di NodeBB ad alto livello di gravità, individuate dal nostro test di penetrazione basato sull'intelligenza artificiale in sei ore. Analisi tecnica completa delle catene XSS, dei bypass dell'autenticazione e del dirottamento dei post.

Che cos’è un firewall di dipendenza?

Che cos’è un firewall di dipendenza? | Aikido Security

Un firewall delle dipendenze blocca i pacchetti open source dannosi prima che vengano installati. Scopri come funzionano e in che modo Aikido Safe Chain blocca gli attacchi alla catena di approvvigionamento.

Come mantenere gli standard di qualità del codice con AI code e vibe coding

Vibe Coding implementa rapidamente le funzionalità e elimina il "debito di revisione". Scopri come i controlli di qualità del codice, basati su benchmark e per singola regola, forniscono ai team un risultato coerente in tutte le pull request e in tutti i repository.

@injectivelabs\/sdk-ts compromesso esfiltra le chiavi del wallet tramite telemetria falsa

Una versione dannosa di @injectivelabs/sdk-ts nascondeva un programma per il furto delle chiavi dei wallet all’interno di un codice etichettato come “telemetria d’uso”, per poi diffonderlo in altri 17 pacchetti npm. Ecco come funzionava e come controllare i propri progetti.

Guida all'acquisto di AI Pentesting: Come valutare i fornitori di AI pentesting

Guida all'acquisto dei test di penetrazione basati sull'intelligenza artificiale | Valutazione dei fornitori di test di penetrazione basati sull'intelligenza artificiale

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a un’analisi condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione scaricabile.

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a una ricerca condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione.

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web

Le migliori alternative a Burp Suite per i test di sicurezza delle applicazioni web | Aikido Security

Confronta le migliori alternative a Burp Suite per il DAST e i test di penetrazione basati sull'intelligenza artificiale, tra cui Aikido, Caido, ZAP e Invicti.

Le migliori alternative ai paracatena del 2026

Le migliori alternative ai paracatena nel 2026 | Aikido

Confronto tra le migliori alternative a Chainguard nel 2026, da Aikido Security alle immagini Docker Hardened, passando per Minimus, RapidFort ed Echo.

Confronto tra alternative al Chainguard per le immagini di container indurite e la correzione delle vulnerabilità CVE senza migrazione forzata.

Le migliori feste, eventi collaterali e incontri sulla sicurezza del Black Hat USA 2026

Una guida selezionata alle feste, agli happy hour, alle cene dei CISO e agli incontri sulla sicurezza del Black Hat USA 2026 a Las Vegas, tra cui l’Omega Mart After Hours di Aikido con AWS e Tailscale.

Previsione continua di MongoDB ObjectId in Rocket.Chat

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita dell'ObjectId di MongoDB ha evidenziato la scarsa casualità che lo rende vulnerabile agli attacchi.

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita della funzione ObjectId() di MongoDB ha evidenziato la scarsa casualità che la rende vulnerabile agli attacchi.

Bypass dell'autenticazione nella configurazione predefinita di phpBB

I nostri agenti di pentest basati sull'intelligenza artificiale hanno individuato una vulnerabilità critica che consente di aggirare l'autenticazione in phpBB (CVE-2026-48611): una singola richiesta non autenticata permette di accedere a qualsiasi account. Consulta l'exploit e la correzione.

Aikido acquisisce Root per mettere in sicurezza la supply chain

Aikido ha acquisito Root per garantire la sicurezza della catena di fornitura del software, risolvendo le vulnerabilità dell'open source nella versione già in uso, senza necessità di aggiornamenti. Le correzioni critiche vengono condivise con la comunità, gratuitamente.

E un altro ancora. GitHub implementa la revoca delle credenziali break-glass

GitHub introduce la revoca delle credenziali "break glass"

La revoca delle credenziali tramite "break-glass" è ora disponibile su GitHub Enterprise. Le ripetute operazioni "durabletask" di Trivy e Microsoft dimostrano perché fosse necessaria una revoca rapida e completa.

GitHub Enterprise è ora in grado di revocare tutte le credenziali di un account con un'unica operazione. L'attacco a Trivy e la violazione del servizio "durabletask" di Microsoft stessa dimostrano perché questa funzionalità fosse attesa da tempo.

npm ora blocca gli account ad alto impatto dopo modifiche rischiose agli account

Uno sguardo al nuovo blocco dell'account di 72 ore di npm: cosa lo fa scattare, cosa blocca e come funziona in combinazione con la pubblicazione "trusted" e "staged".

Le migliori alternative a Koi nel 2026

Le migliori alternative a Koi Security nel 2026 | Aikido

Cerchi un'alternativa a Koi Security dopo l'acquisizione da parte di Palo Alto? Confronta i concorrenti in termini di protezione dei dispositivi, ampiezza della piattaforma e prezzi.

L'azione GitHub compromessa codfish/semantic-release-action ruba i segreti CI/CD

Il 24 giugno 2026 il servizio codfish/semantic-release-action è stato compromesso. Gli autori dell'attacco hanno reindirizzato i tag da v2 a v5 verso un payload Miasma finalizzato al furto di credenziali, mirato ai segreti dei sistemi CI/CD. Ecco cosa è successo e come verificare se si è stati colpiti.

Tutti stanno rilasciando codice che non riescono a leggere

Grazie all'intelligenza artificiale, ormai tutti sono sviluppatori, e gran parte del codice viene distribuito senza essere stato sottoposto a un'attenta revisione da parte di esperti del settore.

Aikido x Drydock | Un modo per i maintainer di rilevare il malware prima del rilascio

Aikido collabora con Drydock per introdurre una verifica del malware prima della pubblicazione su npm e PyPI

Aikido collabora con Drydock per introdurre la revisione dei pacchetti prima della pubblicazione su npm e PyPI. Scopri esattamente cosa contiene una versione prima che venga rilasciata: il malware viene individuato prima ancora del primo download.

Aikido ha avviato una collaborazione con Drydock per consentire ai responsabili della manutenzione di npm e PyPI di verificare con precisione il contenuto di una versione prima della sua pubblicazione. Individua il malware prima che venga distribuito, non dopo.

Packagist è ora protetto da Aikido Intel e altri aggiornamenti al registro PHP

Il feed dedicato al malware di Aikido ora blocca per impostazione predefinita le versioni dannose dei pacchetti in Composer. Uno sguardo a come Packagist sta contrastando intere categorie di attacchi alla catena di approvvigionamento.

Il feed anti-malware di Aikido ora blocca per impostazione predefinita le versioni dei pacchetti segnalate in Composer, per tutti coloro che effettuano installazioni da Packagist.org, senza che sia necessario attivare alcuna opzione. Nell’ultimo anno, Packagist e Composer hanno eliminato intere categorie di attacchi alla catena di approvvigionamento a livello di registro. Ecco cosa hanno implementato e perché ogni registro dovrebbe funzionare in questo modo.

Aikido x OWASP: 200 crediti gratuiti per i membri individuali

Aikido e OWASP: 200 crediti gratuiti per i membri

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco chi ha diritto a riceverli e come richiederli in due semplici passaggi.

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco come richiederli in due semplici passaggi.

Oltre 140 popolari pacchetti npm Mastra colpiti da un attacco alla supply chain

141 pacchetti npm di Mastra sono stati compromessi in un attacco alla catena di approvvigionamento che ha introdotto una dipendenza dannosa per scaricare ed eseguire in modo silenzioso un payload al momento dell'installazione.

Diversi plugin IDE di JetBrains sorpresi a rubare chiavi AI

Una campagna coordinata che coinvolge almeno 15 plugin per IDE di JetBrains, pubblicati tramite sette account di fornitori diversi, sottrae la chiave API del fornitore di servizi di intelligenza artificiale che l'utente incolla nelle relative impostazioni.

Full Fathom Five: Il contesto del rilascio pubblico di classe Mythos di Anthropic

Full Fathom Five: Cosa significa il lancio pubblico della classe Mythos di Anthropic

Non c'è mai stato bisogno di Mythos per individuare gli IDOR e le falle nella logica di business. Uno sguardo a ciò che Anthropic ha rilasciato con Fable 5 e al motivo per cui la sicurezza informatica rimane, in fondo, un problema legato alle persone.

5 alternative sicure alle prese elettriche e perché sono migliori

5 alternative ai socket di sicurezza e perché sono migliori

Socket si è affermata grazie al rilevamento dei malware. Ma la velocità di rilevamento da sola non basta più. Ecco un confronto tra Aikido e altre quattro alternative in termini di sicurezza della catena di approvvigionamento, analisi della raggiungibilità, licenze e altro ancora.

npm v12 offre uno dei maggiori miglioramenti di sicurezza degli ultimi anni

npm v12 rende gli script di installazione opzionali per impostazione predefinita, bloccando il percorso di esecuzione in fase di installazione a seguito di un anno di vulnerabilità nella catena di approvvigionamento di npm, da Nx a Red Hat.

Aikido x Docker: meno rumore, più segnale nei tuoi container

Aikido supporta le immagini Docker Hardened con VEX

Aikido ora supporta le immagini Docker Hardened con integrazione VEX incorporata, aiutando i team a ridurre il "rumore" dei CVE e a concentrarsi sulle vulnerabilità dei container che richiedono effettivamente attenzione.

Esegui la scansione delle immagini Docker Hardened in Aikido con il filtro VEX automatico per le vulnerabilità CVE non sfruttabili.

Il codice viene scritto ovunque, e il dispositivo è l'unica costante

Il codice è ovunque e l’unico elemento costante è il dispositivo | Aikido Security

Gli sviluppatori scrivono codice ovunque. Gli agenti di intelligenza artificiale, i bot di Slack e i server MCP hanno trasformato i dispositivi degli sviluppatori nel principale punto cieco in materia di sicurezza.

Le SBOM nel 2026: Tutti le generano, nessuno le usa

Gli SBOM nel 2026: tutti li generano, ma nessuno li usa | Aikido Security

Il rapporto dell'ENISA del 2026 sull'adozione degli SBOM riguarda 334 organizzazioni e mette in luce un divario costante tra la generazione degli SBOM e il loro effettivo utilizzo. Ecco gli aspetti salienti.

Grazie! La tua richiesta è stata ricevuta!

Ops! Qualcosa è andato storto durante l'invio del modulo.

17 ottobre 2023

•

Vulnerabilità e Minacce

Che cos’è un CVE?

I CVE rappresentano il linguaggio comune utilizzato nel mondo della sicurezza per indicare le vulnerabilità note, ma nel 2026 il sistema è sottoposto a una forte pressione. Questa guida illustra il funzionamento dei CVE, il modo in cui vengono valutati tramite il CVSS e i motivi per cui i database su cui fanno affidamento i team non sono più completi. Spiega inoltre come affrontare la situazione, illustrando in particolare come Aikido Intel riesca a individuare vulnerabilità che non vengono mai inserite in alcun database pubblico.

Tag/

#Vulnerabilità

#IA

#open source

27 settembre 2023

•

Vulnerabilità e Minacce

Le 3 principali vulnerabilità di sicurezza delle applicazioni web nel 2024

Tag/

#Vulnerabilità

#AppSec

22 agosto 2023

•

Aggiornamenti aziendali

Nuove funzionalità di sicurezza di Aikido: agosto 2023

Nelle ultime settimane abbiamo introdotto numerose nuove funzionalità e ampliato il supporto per diversi stack di strumenti. Abbiamo aggiornato il nostro motore di raggiungibilità per supportare pienamente PNPM, ampliato le regole AWS, esteso Autofix a Python e potenziato il supporto per i registri dei container.

Tag/

#AppSec

#DevSecOps

10 agosto 2023

•

Guide e Best Practice

Lista di controllo per la sicurezza del CTO SaaS di Aikido per il 2025

Le aziende SaaS sono un vero e proprio bersaglio quando si parla di sicurezza. La "Checklist di sicurezza per i CTO SaaS 2024" di Aikido ti offre oltre 40 punti per migliorare la sicurezza 💪 Scaricala subito e rendi la tua azienda e il tuo codice 10 volte più sicuri. #cybersecurity #SaaSCTO #securitychecklist

Tag/

#AppSec

10 agosto 2023

•

Guide e Best Practice

Lista di controllo per la sicurezza del CTO SaaS di Aikido per il 2024

Tag/

#AppSec

25 luglio 2023

•

Guide e Best Practice

Le 15 principali sfide in materia di sicurezza del cloud e del codice rivelate dai CTO

Tutti i CTO devono affrontare sfide legate alla sicurezza dei propri prodotti. Abbiamo voluto individuare le tendenze e scoprire le esigenze e le preoccupazioni dei CTO del settore SaaS. Abbiamo intervistato 15 CTO di aziende produttrici di software cloud-native in merito alle sfide che devono affrontare in materia di sicurezza del cloud e del codice. Priorità, ostacoli, punti deboli, risultati auspicati!

Tag/

#AppSec

#Cloud

12 luglio 2023

•

Vulnerabilità e Minacce

Che cos’è l’OWASP Top 10?

L'OWASP Top 10 funge da lista di controllo fondamentale, individuando i rischi più critici per la sicurezza delle applicazioni web e guidando gli sviluppatori nella mitigazione di tali vulnerabilità. Attenendosi all'OWASP Top 10, non solo si proteggono i dati sensibili, ma si promuove anche una cultura della consapevolezza in materia di sicurezza, garantendo che l'applicazione rimanga resiliente di fronte alle minacce emergenti.

Tag/

#OWASP

#Vulnerabilità

11 luglio 2023

•

Guide e Best Practice

Come creare un pannello di amministrazione sicuro per la tua app SaaS

Evita gli errori più comuni nella creazione di un pannello di amministrazione SaaS. Ti illustriamo alcune insidie e possibili soluzioni pensate appositamente per chi sviluppa soluzioni SaaS!

Tag/

Nessun elemento trovato.

5 luglio 2023

•

Guide

Come prepararsi alla certificazione ISO 27001:2022

La norma ISO 27001:2022 sostituisce la norma ISO 27001:2013. Aikido ti aiuta a conformarti rapidamente ai nuovi controlli di sicurezza, così che tu e i tuoi clienti possiate dormire sonni tranquilli. Questo articolo del blog illustra i nuovi requisiti e spiega in che modo Aikido ti supporta.

Tag/

Nessun elemento trovato.

19 giugno 2023

•

Guide

Come evitare le conseguenze di un attacco hacker alla propria piattaforma CI/CD

Il CI/CD è uno dei principali obiettivi degli hacker, quindi è importante adottare misure per prevenire eventuali conseguenze negative. Aikido Security verifica se il vostro cloud sta difendendo attivamente il vostro CI/CD.

Tag/

#AWS

#Codeship

#Cloud

#CircleCI

12 giugno 2023

•

Guide e Best Practice

Come concludere le trattative più rapidamente grazie a un rapporto di valutazione della sicurezza

Tag/

#AppSec

#DevSecOps

5 giugno 2023

•

Guide

Automatizzazione della gestione delle vulnerabilità tecniche [SOC 2]

Come garantire la conformità senza gravare eccessivamente sul team di sviluppo

Tag/

Nessun elemento trovato.

novità sui prodotti e sull'azienda

21 settembre 2026

•

Aggiornamenti aziendali

Vi presentiamo Aikido Altar: il modello che rende possibile l’intelligence per la sicurezza sovrana

17 settembre 2026

•

Aggiornamenti aziendali

L'Aikido ottiene la certificazione AWS Security Competency per la sicurezza delle applicazioni

Comunicati

12 agosto 2026

•

Aggiornamenti aziendali

Individuare le vulnerabilità in ogni fase: quali test eseguire e quando

SAST, Deep PR Review, Code Security Audit e AI Pentest individuano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno di essi e perché

Test di penetrazione basati sull'intelligenza artificiale

Vulnerabilità e Minacce

23 settembre 2026

•

Vulnerabilità e Minacce

È apparso un nuovo worm denominato "supplychain.local Go"

"supplychain.local": codice dannoso rilevato nel plugin npm di MemTensor (0.1.21, 0.1.23) e in MemoryOS su PyPI (2.0.34).

Malware

8 settembre 2026

•

Vulnerabilità e Minacce

Un pacchetto Flutter compromesso su pub.dev contiene il malware XCSSET

Malware

7 settembre 2026

•

Vulnerabilità e Minacce

Shai-Hulud torna in vita dopo 111 giorni

Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni, per poi essere ripubblicato su npm, eludendo la scansione antimalware pensata proprio per individuarlo.

informazioni

Malware

Vulnerabilità

Strumenti DevSec e confronti

12 giugno 2026

•

Strumenti DevSec e confronti

5 alternative sicure alle prese elettriche e perché sono migliori

Aikido Zen

Malware

open source

19 agosto 2025

•

Strumenti DevSec e confronti

I 13 migliori strumenti per i test dinamici di sicurezza delle applicazioni (DAST) nel 2026

Scopri i 13 migliori strumenti per il Dynamic Application Security Testing (DAST) del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione DAST più adatta alle tue esigenze.

Strumenti

DAST

18 luglio 2025

•

Strumenti DevSec e confronti

I 14 migliori strumenti di scansione dei container nel 2026

Scopri i 14 migliori strumenti di scansione dei container del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione più adatta alla tua pipeline DevSecOps.

Strumenti

Scansione di container

Guide e Best Practice