Nell’ambito del progetto, Cefriel ha contribuito alla realizzazione di due paper dedicati a uno dei temi oggi più rilevanti per le imprese: come conciliare l’adozione dell’intelligenza artificiale con i requisiti di sicurezza, conformità e controllo richiesti dal Cyber Resilience Act (CRA).

Il paper “Programmazione assistita dall’IA e Cyber Resilience Act: obblighi, rischi e opportunità per i fabbricanti di prodotti digitali”, a cura di Angelo D’Amato, Fondatore di Vulnir, ed Enrico Frumento, Security Research Lead di Cefriel, chiarisce gli obblighi del Cyber Resilience Act e i rischi legati al codice generato dall’IA, indicando come gestire in modo coerente tracciabilità, controllo umano e DevSecOps, e riepilogandone le scadenze operative.

Il paper “Sicurezza nei sistemi potenziati dall’IA: da AI4Sec a Sec4AI”, a cura di Enrico Frumento, Security Research Lead di Cefriel, e Maura Pintor, Ricercatrice in Machine Learning Security dell’Università degli Studi di Cagliari, spiega come l’intelligenza artificiale possa rafforzare la cibersicurezza rilevando anomalie, classificando il traffico malevolo, analizzando il codice sorgente e assegnando priorità alle vulnerabilità oltre gli schemi predefiniti basati su regole (AI4Sec), ma, contestualmente, sia necessario proteggere gli stessi sistemi di IA, perché i modelli di machine learning possono essere ingannati sistematicamente mediante manipolazioni avversarie che causano classificazioni errate con un elevato grado di confidenza (Sec4AI).

Il Cyber Resilience Act (CRA) è il primo regolamento europeo a imporre requisiti obbligatori di cibersicurezza a tutti i prodotti con elementi digitali immessi sul mercato dell’UE. A differenza della normativa precedente – si legge nel paper – il CRA estende il proprio ambito di applicazione all’intero ciclo di vita del prodotto: dalla progettazione iniziale alla dismissione, compresi i servizi associati, il trattamento remoto dei dati e i relativi componenti software. Anche quando il codice è generato con l’IA, la responsabilità resta del fabbricante, che deve governare le dipendenze, le vulnerabilità e la conformità attraverso processi strutturati, controllo umano e pratiche DevSecOps che riducano la complessità e i costi delle correzioni successive. Per le imprese, la risposta alle nuove sfide è passare dal vibe coding all’ingegneria assistita. Il modello “human in control” assegna alle persone la definizione dell’architettura, la verifica della correttezza e la convalida della sicurezza. Modellazione, context engineering e principi classici dell’ingegneria del software aiutano a rendere il risultato più verificabile.

Mentre il processo di normazione del CRA avanza, il panorama dello sviluppo software cambia con la stessa rapidità e, per molti aspetti, nella direzione opposta a quella prevista dal regolamento. La diffusione del cosiddetto vibe coding – la pratica di delegare la generazione del codice ai modelli linguistici di grandi dimensioni (LLM), riducendo l’intervento umano alla sola definizione dei requisiti – introduce nuove categorie di rischio che il quadro normativo non ha ancora affrontato pienamente.

Nel paper gli autori approfondiscono come portare sistemi di IA sicuri in contesti reali, a partire dall’assunto che la sicurezza richiede un approccio integrato. Per un’azienda, adottare l’IA non basta: occorre rendere sicuri sia i processi che la utilizzano, sia gli stessi sistemi di IA. Questo richiede dati di addestramento rappresentativi, test capaci di simulare attaccanti adattivi, controllo sul codice generato e monitoraggio continuo. Integrare questi elementi attraverso il paradigma MLSecOps e competenze umane qualificate permette di sviluppare soluzioni più affidabili, facilitare le valutazioni di conformità e rafforzare la fiducia di clienti e partner, evitando che vulnerabilità non governate si trasformino in debito tecnico difficile da recuperare.

AI4Sec usa l’IA per rilevare anomalie, classificare traffico malevolo, analizzare codice e dare priorità alle vulnerabilità. Sec4AI protegge gli stessi modelli da manipolazioni avversarie che possono causare errori ad alta confidenza e una falsa sensazione di sicurezza.

Coordinato da Pluribus One, APPtake riunisce 13 partner europei con l’obiettivo di sviluppare e diffondere soluzioni DevSecOps accessibili alle piccole e medie imprese.

All’interno del progetto, Cefriel supporta le aziende nella definizione di percorsi di adozione della cybersicurezza integrati con i processi di innovazione, favorendo l’introduzione di strumenti avanzati e la crescita delle competenze necessarie per affrontare le nuove sfide tecnologiche e normative.

Scarica gli instant paper sul sito del progetto APPtake:

1. Instant paper “Programmazione assistita dall’IA e Cyber Resilience Act: obblighi, rischi e opportunità per i fabbricanti di prodotti digitali”


2. Instant paper “Sicurezza nei sistemi potenziati dall’IA: da AI4Sec a Sec4AI”