L’introduzione del modello Mythos di Anthropic, pochi mesi fa, ha dimostrato che l'evoluzione dei modelli di intelligenza artificiale sta trasformando radicalmente anche la gestione delle vulnerabilità IT. Nella nuova era “post Mythos”, gli strumenti di AI sono in grado di individuare vulnerabilità con una velocità e una scala senza precedenti, abbattendo il tempo tra la scoperta e il possibile sfruttamento da parte degli attaccanti.

Il tradizionale approccio basato sull'individuazione delle vulnerabilità e sulla loro correzione indiscriminata quindi non è più sostenibile, anche perché solo una minima parte di esse viene realmente sfruttata negli attacchi. Occorre pertanto superare una logica puramente quantitativa e adottare modelli di gestione del rischio che ordinano secondo priorità di intervento le vulnerabilità, e in base a questo orchestrano vari tipi di intervento (remediation) con tempi diversi.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Hyper prioritization e automazione delle remediation

È questa in poche parole la nuova visione di Qualys, presentata nei giorni scorsi anche in Italia con l’evento ROCon Connect Milano 2026, in cui i manager della società hanno mostrato le soluzioni Qualys per affrontare appunto l’era “post Mythos”.

Un elemento centrale di questa proposta è il concetto di “hyper-prioritization”, implementato attraverso la piattaforma Qualys Enterprise TruRisk Management (ETM): l'obiettivo è concentrare gli interventi solo sulle vulnerabilità che rappresentano rischi concreti per il business della specifica organizzazione, evitando di disperdere risorse su rischi a basso impatto.

L’altro elemento chiave è l'automazione della remediation. Per gestire l'aumento esponenziale delle vulnerabilità, Qualys propone di automatizzare non solo l’individuazione e prioritizzazione, ma anche l'applicazione di patch e mitigazioni. Qui si inserisce Qualys TruRisk Eliminate, che orchestra e automatizza diverse attività di remediation, offrendo oltre alla classica applicazione automatica di patch anche opzioni per ridurre l'esposizione al rischio quando l'aggiornamento non è possibile, come la correzione senza patch (mitigazione) e l'isolamento proattivo degli asset critici.

“Abbiamo organizzato questo evento di Milano in un solo mese”, spiega Emilio Turani, Regional Vice President Sud Europa di Qualys: “Quando è esplosa la questione Mythos, visto che abbiamo una piattaforma che affronta proprio il problema del proliferare delle vulnerabilità, abbiamo pensato di sfruttare subito questo punto di forza, e in effetti sono intervenute 130 persone: è un numero che dà un’idea del forte interesse sul tema anche in Italia”.

Capire i possibili impatti sul business

L’AI, continua Turani, ha aperto una specie di ‘vaso di Pandora’ nel mondo del software: d’ora in poi la gestione delle vulnerabilità non sarà più alla portata degli esseri umani, sia nel numero, sia nella capacità di decidere quale sia critica e quale no.

“La nostra piattaforma ETM anche negli ultimi mesi è evoluta proprio in questa direzione: individua la vulnerabilità, testa se è realmente sfruttabile, calcola l’impatto che può avere sul business della specifica azienda, ed elabora il rimedio, che non è solo la distribuzione automatizzata delle patch, ma può essere anche la modifica delle configurazioni, l’isolamento temporaneo di asset o porzioni di reti, o l’intervento automatico mirato e basato su policy”.

Nel 2025, spiega il manager, le soluzioni Qualys hanno installato a livello globale 150 milioni di patch di cui 40 milioni in modo automatizzato. “La strategia passa dalla reattività alla proattività, anche a livello di gestione: il CISO oggi è chiamato a collaborare con i diversi stakeholders, dal finance al CIO, per definire i rischi in un contesto di business, cioè gli impatti potenziali delle vulnerabilità sul business dell’azienda”.

"Un tema capito molto bene in Italia. Anche dalla PA"

Questo tema per Turani anche in Italia è stato capito molto bene. “Per la prima volta siamo chiamati dalle aziende che ci dicono di essere disposte anche a definire degli extra budget pur di tamponare il problema: abbiamo un numero importante di richieste di POC (proof of concept, ndr)”.

Un trend che vale anche nella pubblica amministrazione. “Non posso fare nomi, ma quest'anno stiamo migrando direi la quasi totalità dei PCP (private cloud platform, ndr) on premise che avevamo su clienti pubblici. Anche i più riluttanti ci chiedono di andare su cloud italiano: è una tendenza irreversibile, ormai è solo una questione di quando e non di se”.

Questa evoluzione dello scenario ovviamente si riflette anche sui partner di Qualys, visto che la società realizza il 100% delle vendite attraverso il canale. 

“Quello che noto è che stiamo erogando sempre più servizi gestiti. Diversi nostri partner sono mROC partner, cioè erogano servizi di sicurezza gestita attraverso Risk Operation Center, e ci sono sempre più clienti propensi ad avvalersi di loro: rispetto al passato sta aumentando il numero di imprese interessate e anche la loro dimensione media, a maggior ragione in questa situazione che si è creata”.