Rapporto Orca Security: il 99,9% delle vulnerabilità dell’intelligenza artificiale risolvibili rimane senza patch mentre l’IA entra in fase di produzione

Un’analisi di oltre 1.200 ambienti cloud di produzione offre una panoramica diretta su come le imprese stiano integrando l’IA nei flussi di lavoro aziendali critici, esponendosi a nuovi rischi per la sicurezza che i controlli tradizionali non sono stati progettati per affrontare.

PORTLAND, Oregon--(BUSINESS WIRE)--Orca Security, un leader nella sicurezza del cloud e dell’IA, oggi ha pubblicato il rapporto 2026 sullo stato della sicurezza IA che offre una panoramica diretta su come l’IA viene distribuita in oltre 1.200 ambienti cloud di produzione. I risultati mostrano che l’IA non è più limitata a progetti pilota isolati o a esperimenti degli sviluppatori. Le imprese la stanno integrando in applicazioni di produzione, servizi cloud e flussi di lavoro autonomi più rapidamente di quanto i programmi di sicurezza riescano a adattarsi.

Più della metà (56%) delle imprese sta già impiegando agenti IA in ambienti di produzione, mentre il 51% utilizza l’IA per creare applicazioni personalizzate. Non solo: Orca ha rilevato che l’81% delle imprese esegue pacchetti IA vulnerabili e che il 99,9% delle vulnerabilità IA risolvibili rimane senza patch, evidenziando la rapidità con cui l’IA è diventata un’infrastruttura operativa senza una corrispondente maturità sul fronte della sicurezza.

Il rapporto rivela inoltre che gli ambienti IA stanno rapidamente diventando più interconnessi e cruciali per le imprese. Tra quelle che adottano l’IA, il 64% ora gestisce database vettoriali e il 55% esegue quattro o più servizi IA simultaneamente, mentre tra l’87% e il 98% dei carichi di lavoro IA fra i tre principali provider cloud è priva di crittografia gestita dal cliente. Nel complesso questi risultati mostrano che le imprese non devono proteggere strumenti IA indipendenti bensì complessi ecosistemi IA interconnessi con flussi di lavoro relativi ai dati aziendali, a servizi cloud, all’identità e alla produzione.

“Ciò che ci ha sorpreso non è stata semplicemente la velocità con cui è cresciuta l’adozione dell’IA, ma quanto profondamente l’IA sia ormai integrata negli ambienti cloud di produzione”, racconta Gil Geron, amministratore delegato e co-fondatore di Orca Security. “Non stiamo osservando solo modelli isolati – si tratta di agenti IA collegati ai dati aziendali, che interagiscono con le identità, utilizzano servizi cloud e diventano parte di flussi di lavoro cruciali per l’impresa. L’IA non è più un esperimento; è un’infrastruttura di produzione. Il numero di sviluppatori è aumentato in modo esponenziale e le imprese hanno bisogno di una sicurezza che fornisca visibilità completa e la fiducia necessaria per innovare alla velocità dell’IA senza introdurre rischi inutili”.

L’IA è diventata un’infrastruttura di produzione prima che la sicurezza fosse pronta

Il rapporto rileva come l’IA si sia evoluta oltre i modelli autonomi trasformandosi in un ecosistema di produzione interconnesso che spazia tra servizi cloud, agenti IA, database vettoriali, strumenti di sviluppo e flussi di lavoro autonomi. Mentre da un lato questa trasformazione consente alle imprese di innovare più rapidamente, dall’altro amplia la superficie di attacco in modi che i programmi di sicurezza tradizionali non sono mai stati progettati per affrontare.

Tra i risultati chiave del rapporto:

• L’81% delle imprese che utilizzano pacchetti IA presenta almeno una vulnerabilità nota, rispetto al 62% del rapporto Orca del 2024.
• Il 50% delle vulnerabilità di un pacchetto IA include ora un exploit di dominio pubblico, con un incremento di 250 volte rispetto al 2024.
• Il 99,9% delle vulnerabilità IA per le quali è disponibile una soluzione rimane senza patch.

“L’IA ha introdotto un livello operativo completamente nuovo negli ambienti cloud”, spiega Nir Mashal, Direttore informatico presso Orca Security. ”Ora le imprese hanno agenti che prendono decisioni, database vettoriali collegati ai dati aziendali e servizi IA distribuiti tra più provider cloud. I team responsabili della sicurezza hanno bisogno di una visibilità unificata su tutto questo ambiente, associata a una prevenzione automatizzata, per capire dove risieda effettivamente il rischio e fermare gli hacker prima che vengano causati danni”.

I progressi sono misurabili quando le imprese trattano l’IA come un’infrastruttura di produzione

Nonostante i persistenti divari, la ricerca evidenzia anche progressi significativi laddove le imprese hanno concentrato i propri investimenti nella sicurezza. Rispetto al precedente rapporto Orca sull’IA, la percentuale di ambienti Amazon SageMaker eseguiti con accesso root è scesa dal 98% al 76%, mentre le configurazioni IMDSv2 non sicure sono diminuite dal 77% al 48%. Questi miglioramenti dimostrano che l’applicazione di una disciplina operativa a livello di produzione agli ambienti IA produce vantaggi misurabili in termini di sicurezza.

Il rapporto raccomanda alle imprese di trattare l’IA come un’infrastruttura di produzione, estendendo le pratiche di sicurezza esistenti all’intero ciclo di vita dell’IA – gestione delle vulnerabilità, protezione delle credenziali, accesso basato sul principio del minimo privilegio, crittografia, monitoraggio specifico dell’IA e governance. L’urgenza aumenta con l’entrata in vigore di nuove normative, tra cui gli obblighi per i sistemi ad alto rischio previsti dal Regolamento UE sull’intelligenza artificiale a partire dal 2 agosto 2026 e la legge emendata sull’IA del Colorado che entrerà in vigore il 1° gennaio 2027.

“Le imprese che stanno facendo i maggiori progressi sono quelle che trattano l’IA come qualsiasi altro sistema di produzione cruciale”, aggiunge Geron. “Ciò significa applicare visibilità, governance, accesso basato sul principio del minimo privilegio e risoluzione coerenti per l’intero ciclo di vita dell’IA. La sicurezza non può essere un elemento aggiunto dopo l’installazione – deve essere integrata nel modo in cui i team sviluppano ed espandono l’IA”.

Il rapporto 2026 sullo stato della sicurezza IA analizza i dati telemetrici aggregati e anonimizzati provenienti da oltre 1.200 imprese e relativi alla fase di produzione, raccolti nel corso del secondo trimestre del 2026. La ricerca esamina i servizi cloud IA, le vulnerabilità dei pacchetti IA, le identità e le chiavi segrete, gli agenti IA, i database vettoriali, la crittografia e la governance in AWS, Microsoft Azure e Google Cloud. Il rapporto completo è disponibile all’indirizzo https://orca.security/lp/2026-state-of-ai-security-report/.

Informazioni su Orca Security

Orca Security offre soluzioni per la sicurezza alle imprese che creano e sviluppano. Mentre il cloud, le applicazioni, l’IA e la generazione di app espandono la superficie di attacco, Orca trasforma il rischio per la sicurezza nel contesto di cui i team hanno bisogno per intervenire. La piattaforma Orca offre visibilità completa degli ambienti cloud, IA e applicativi, correla il rischio a ogni livello e prioritizza le esposizioni secondo i livelli di criticità, consentendo alle imprese di attuare le risoluzioni più rapidamente e di innovare con fiducia. Orca – su cui contano centinaia di imprese tra cui SAP, Autodesk, Gannett, Lemonade e Digital Turbine – è sostenuta da importanti investitori come Temasek, CapitalG, ICONIQ Capital e Redpoint Ventures. Per saperne di più visitare il sito orca.security. Collegare il proprio primo account nell’arco di minuti su https://orca.security o prenotare una demo personalizzata.

Il testo originale del presente annuncio, redatto nella lingua di partenza, è la versione ufficiale che fa fede. Le traduzioni sono offerte unicamente per comodità del lettore e devono rinviare al testo in lingua originale, che è l'unico giuridicamente valido.