Test di sicurezza con IA · Fase pilota
Un attaccante cerca una via d’ingresso, verifica cosa funziona e prosegue verso dati preziosi o maggiore controllo. Stiamo sviluppando EverBreach per usare l’IA allo stesso modo, con il tuo permesso, limiti concordati e risultati su cui puoi intervenire.
Per organizzazioni con o senza un team di sicurezza dedicato. Ambito, accessi, prezzo e tempi concordati prima dei test.
Richiedi un’analisi pilotaEsplora la dimostrazione dello scannerApplicazioni, API, account, servizi cloud e infrastruttura possono formare un unico percorso d’attacco. Un team che usa l’IA adatta la mossa successiva a ciò che scopre. È il principio delle nostre simulazioni.
Esplorare l’ambiente concordato dall’esterno o con un normale account utente. Individuare servizi esposti, dati accessibili e punti in cui i controlli dei permessi potrebbero cedere.
Accertare se una possibile vulnerabilità dà davvero accesso ai dati di altri candidati, a un file a pagamento prima dell’acquisto o a una funzione riservata agli amministratori.
Verificare se una falla porta oltre: da un record ai suoi documenti, da credenziali esposte a un altro servizio o da un account a permessi più ampi. Sempre entro i limiti concordati.
Spiegare l’accesso dimostrato, le conseguenze per l’attività e la correzione precisa. Dopo la modifica, ripetere i passaggi interessati per verificare che il percorso sia chiuso.
Dimostrazione controllata dello scanner
Esplora un controllo registrato su un server dimostrativo locale con dati fittizi. Usa lo stesso rilevamento dei file esposti dello scanner EverBreach attuale.
# Synthetic demo values; no account or database exists.
DB_HOST=database.example.invalid
DB_USER=demo_only
DB_PASSWORD=NOT_A_REAL_PASSWORD
Critico · File di configurazione accessibile pubblicamente
Un file di configurazione può rivelare indirizzi di database e credenziali. Se i valori fossero reali e validi, un attaccante potrebbe provare a usarli per accedere a un altro servizio. Questo controllo dimostra che il file è leggibile, ma non dimostra l’accesso a un database.
Mantieni i file di configurazione fuori dalla distribuzione pubblica e bloccane l’accesso diretto. Se sono stati esposti segreti reali, revocali o sostituiscili ed esamina i log di accesso. In questa dimostrazione abbiamo modificato il server per rifiutare la richiesta.
Forbidden
La stessa richiesta ora riceve lo stato 403. La regola di rilevamento non produce più un riscontro per questo percorso. Questo verifica solo la correzione mostrata, senza dimostrare che l’intero sistema sia sicuro.
È un singolo controllo deterministico dello scanner. Non è stato chiamato alcun modello di IA, non sono state usate credenziali reali e non è stato tentato l’accesso a un altro servizio. Il nome host è stato sostituito per la visualizzazione; le risposte sono state registrate su un server accessibile solo in locale.
Le prove della minaccia
Gli attaccanti usano l’IA per esaminare sistemi, mettere alla prova le vulnerabilità e ottenere accesso. Anche chi difende i sistemi la usa per scoprire falle sconosciute. Questi rapporti pubblicati mostrano esempi concreti.
Attacco documentato
È la quota stimata da Anthropic in una campagna di spionaggio contro circa 30 organizzazioni. Le intrusioni sono riuscite in pochi casi. Le persone sceglievano gli obiettivi e prendevano le decisioni chiave; anche l’IA ha commesso errori.
Anthropic · novembre 2025 ↗Vulnerabilità scoperte e corrette
Mozilla ha segnalato queste scoperte durante una prima valutazione di Claude Mythos Preview. Alla ricerca su Firefox sono seguite correzioni distribuite agli utenti: un esempio concreto di IA usata per difendersi.
Mozilla · aprile 2026 ↗Simulazione di attacco controllata
Secondo l’AI Security Institute britannico, GPT-5.5 ha completato l’intera sequenza in 2 tentativi su 10, dall’accesso iniziale alla rete fino a un database protetto. Ogni tentativo disponeva di 100 milioni di token. Non c’erano difensori attivi.
UK AI Security Institute · GPT-5.5 · 2026 ↗La nostra conclusione: usare queste capacità per verificare le proprie difese e ripetere i test quando cambiano sistemi o modelli. Sono risultati esterni ottenuti in contesti diversi. Non misurano le prestazioni di EverBreach né la probabilità che la tua organizzazione subisca un’intrusione.
Alta · Limitare subito l’accesso
Partiamo da un sistema o processo aziendale concordato. La scelta dipende dai dati, dagli accessi o dall’attività che vuoi proteggere.
Cosa è stato testato e dimostrato, le possibili conseguenze e le correzioni da apportare. Copertura e limiti sono documentati anche quando non emerge un problema confermato.
Rivediamo insieme prove e priorità. Coinvolgi chi realizzerà le correzioni: sviluppatori, team di sicurezza o fornitore IT esterno.
Ripetiamo le verifiche concordate per controllare le correzioni. La proposta definisce la copertura e il periodo del nuovo test.
Prima del tuo impegno, la proposta fissa perimetro, prezzo, data di consegna e periodo del nuovo test. La richiesta è gratuita e non avvia alcun test.
Prima di concedere accesso saprai chi è responsabile dell’analisi, quale fornitore del modello è coinvolto e come saranno gestite le prove.
Le decisioni sugli accessi coinvolgono applicazioni, API, storage e infrastruttura. Una pagina può sembrare normale mentre i sistemi dietro espongono dati o aggirano una regola aziendale.
Una simulazione richiede permesso, ambito definito e condizioni di arresto. Li concordiamo prima dei test.
Definire sistemi, account e azioni consentite. I servizi di terzi possono richiedere una loro autorizzazione.
Concordare account, dati fittizi e condizioni di arresto. Una prova limitata deve dimostrare la falla senza diventare una raccolta massiva di dati personali.
Prima dei test spieghiamo fornitore del modello, informazioni inviate, storage e conservazione. La gestione delle prove sensibili viene concordata esplicitamente.
Separare l’accesso dimostrato dalle possibili conseguenze più ampie. Il rapporto deve spiegare il ragionamento e permettere di riprodurre il risultato entro l’ambito autorizzato.
No. Il progetto riguarda applicazioni, API e sistemi collegati di organizzazioni di varie dimensioni. Lo scanner attualmente implementato qui è più limitato: controlla la configurazione dei siti pubblici. Distinguiamo questo punto di partenza dalle simulazioni più ampie in sviluppo.
Un test assistito dall’IA segue un percorso possibile entro limiti concordati: a cosa può accedere un account, quali informazioni rivela e cosa permettono di fare dopo. Gli scenari mostrano la profondità prevista. Non sono risultati dello scanner attuale.
Una modifica software può introdurre una falla. Un modello migliore può scoprire un difetto precedente sfuggito ai test. Sono due motivi diversi per ripetere la verifica. Non ogni scoperta è una zero-day o dimostra che l’IA da sola sia stata decisiva.
Sì. Il rapporto si rivolge a chi decide le correzioni e a chi le realizza: sicurezza interna, sviluppatori o fornitori. Ogni risultato deve indicare un responsabile e una correzione verificabile.
Ambito, disponibilità, prezzo e consegna vengono concordati prima del tuo impegno. La richiesta è gratuita; non avvia scansioni, non prenota una data e non obbliga ad acquistare.
I test continui e le verifiche automatiche dopo l’uscita di nuovi modelli sono ancora in sviluppo. Le analisi attuali e i controlli successivi vengono concordati singolarmente.