Punti di forza
- Commvault integra la tecnologia all’avanguardia di rilevamento delle vulnerabilità basata sull’intelligenza artificiale nel proprio programma di sicurezza basato sul rischio, anziché affidarsi all’intelligenza artificiale come soluzione autonoma.
- Ogni risultato generato dall’intelligenza artificiale viene esaminato e convalidato da personale umano prima che vengano prese decisioni in merito alle misure correttive.
- Frontier AI integra le pratiche di sicurezza consolidate, quali l’analisi statica, l’analisi dinamica e i test di penetrazione, ampliando la copertura del codice e individuando scenari di exploit più complessi.
- Commvault applica rigide misure di governance in materia di codice sorgente, accesso dei fornitori e gestione delle vulnerabilità.
- Commvault sta investendo in processi scalabili di gestione delle vulnerabilità per poter reagire in modo efficiente man mano che l’intelligenza artificiale aumenta il volume dei potenziali problemi di sicurezza individuati.
In tutto il settore della sicurezza, l’intelligenza artificiale e i modelli linguistici su larga scala vengono utilizzati per individuare le vulnerabilità, aiutando i team a valutare una maggiore quantità di codice, esplorare più percorsi di attacco e identificare le condizioni sfruttabili più rapidamente rispetto alla sola revisione manuale. Non si tratta di un esperimento di nicchia. Si tratta di un cambiamento nel livello di approfondimento che una valutazione della sicurezza può raggiungere, e sta modificando le aspettative ragionevoli dei clienti nei confronti dei propri fornitori di software.
I clienti spesso chiedono ai propri fornitori di software: «Testate i vostri prodotti utilizzando gli stessi metodi che potrebbe impiegare un autore di minacce? I processi alla base di tali test sono sufficientemente rigorosi da stare al passo con l’evoluzione delle minacce?». Queste sono le domande giuste da porre.
Il nostro approccio: processi solidi, nessun strumento unico
La strategia di sicurezza di Commvault si basa su processi solidi e ripetibili, anziché sulla dipendenza da un singolo strumento, modello o fornitore.
La gestione delle vulnerabilità segue un quadro di riferimento consolidato e basato sul rischio: i risultati vengono valutati in base alla loro effettiva sfruttabilità, classificati in ordine di priorità in base alla gravità e all’esposizione, e risolti attraverso il nostro ciclo di vita standard dello sviluppo. Tale quadro di riferimento viene applicato allo stesso modo, indipendentemente dal fatto che un risultato provenga da un test di penetrazione, da un ricercatore esterno o dall’intelligenza artificiale.
L’individuazione delle vulnerabilità tramite IA è integrata in questo quadro come funzionalità aggiuntiva, non come programma separato che opera secondo regole proprie. I risultati candidati generati tramite metodi di IA sono trattati come input che richiedono la conferma umana della possibilità di sfruttamento prima che venga intrapresa qualsiasi azione correttiva. Questo passaggio aiuta a prevenire contemporaneamente due tipi di errore: la sottovalutazione dei rischi reali e lo spreco di risorse su falsi positivi.
L’intelligenza artificiale a supporto delle prassi consolidate in materia di sicurezza
I metodi basati sull’intelligenza artificiale non sostituiscono le discipline che da sempre caratterizzano una gestione responsabile delle vulnerabilità. L’analisi statica, l’analisi dinamica, i test di penetrazione e gli strumenti di scansione consolidati rimangono parti essenziali del nostro programma. Ciò che l’IA apporta è una maggiore profondità di analisi: la capacità di valutare un insieme più ampio di percorsi di codice, modellare condizioni di exploit più complesse e individuare risultati che richiedono una comprensione contestuale piuttosto che un semplice confronto con modelli prestabiliti.
Il nostro programma di gestione delle vulnerabilità è, per sua stessa natura, indipendente dagli strumenti e dai modelli utilizzati. Non dipendiamo da alcun fornitore o modello specifico, e nuovi approcci possono essere integrati man mano che si dimostrano efficaci, senza dover ridefinire l’architettura dei processi di gestione o correzione dei risultati. Il vantaggio non sta nel modello che utilizziamo, ma nel fatto che il processo sottostante sia sufficientemente rigoroso da consentire di agire in base a quanto rilevato da tale modello.
Governance e controlli
Ogni scansione basata sull’intelligenza artificiale che eseguiamo opera secondo gli stessi principi di governance:
- I modelli di intelligenza artificiale vengono sottoposti a verifica prima di essere utilizzati. L’accesso a fornitori e strumenti è regolato da accordi di riservatezza (NDA) formali e da clausole contrattuali.
- I risultati vengono elaborati attraverso lo stesso processo di revisione ingegneristica della sicurezza utilizzato per tutte le altre fonti di vulnerabilità.
- Nessun risultato generato dall’intelligenza artificiale viene messo in pratica senza una valutazione da parte di un operatore umano e la conferma della sua utilizzabilità.
Dalla ricerca dei candidati alla soluzione definitiva
I risultati generati dall’intelligenza artificiale sono considerati potenziali vulnerabilità, non vulnerabilità confermate. Ciascuno di essi viene valutato da ingegneri ed esperti di sicurezza dei prodotti per verificarne l’effettiva sfruttabilità in contesti realistici dei clienti. I livelli di gravità vengono assegnati in base all’esposizione, alla possibilità di sfruttamento e all’impatto, non al modo in cui la vulnerabilità è stata individuata. Le vulnerabilità confermate seguono gli stessi tempi di risoluzione e gli stessi percorsi di escalation di qualsiasi altra fonte, con la priorità stabilita in base alla gravità e all’esposizione.
Prime informazioni sul Patch Tuesday – agosto 2026
Il nostro primo “Patch Tuesday”, pubblicato l’11 agosto 2026, include le seguenti informazioni:
| ID CVE | Gravità | Riepilogo |
| CVE-2026-13737 | Critico | CommServe presentava una vulnerabilità che consentiva di aggirare l’elenco delle autorizzazioni, con conseguenti ripercussioni sull’autorizzazione all’esecuzione dei comandi. |
| CVE-2026-13738 | Critica | CommServe presentava una vulnerabilità che consentiva di aggirare le autorizzazioni e che interessava un numero limitato di operazioni di esecuzione dei comandi. |
| CVE-2026-13739 | Alto | Un endpoint legacy nel Command Center presentava una vulnerabilità di tipo Server-Side Request Forgery (SSRF) non autenticata, correlata alla gestione di URL di destinazione arbitrari. |
Le note tecniche complete, comprese le versioni interessate e le indicazioni per la risoluzione del problema, sono disponibili sulla nostra pagina delle note di sicurezza. Per ulteriori informazioni sul passaggio a una cadenza mensile, consultare “Garantire la fiducia nelle divulgazioni CVE
“.
Perché la prontezza operativa è più importante di qualsiasi singolo strumento
Man mano che l’individuazione delle vulnerabilità tramite IA diventa una pratica standard in tutto il settore, il volume dei potenziali risultati che i team di sicurezza devono valutare continuerà ad aumentare. La domanda fondamentale per qualsiasi fornitore di software aziendale non è quale modello di IA utilizzi, ma se il proprio processo di gestione delle vulnerabilità sia sufficientemente maturo e scalabile per gestire tale volume senza creare un arretrato che aumenti l’esposizione dei clienti.
Abbiniamo il nostro investimento nell’intelligenza artificiale a un investimento di pari entità nell’infrastruttura di processo necessaria per agire in base a quanto individuato: capacità di triage, definizione delle priorità in base alla gravità, monitoraggio delle misure correttive e pratiche coordinate di divulgazione. Il valore del nostro investimento dipende interamente dalla capacità di risposta che lo sostiene.
Domande frequenti
D: In che modo Commvault sta affrontando i test di sicurezza all’avanguardia nel campo dell’intelligenza artificiale? R: Valutiamo attivamente i nostri prodotti utilizzando metodi di intelligenza artificiale nell’ambito del nostro programma strutturato di ingegneria della sicurezza. Stiamo valutando attentamente la possibilità di testare diversi modelli e strumenti per individuare eventuali vulnerabilità potenzialmente non rilevate in precedenza dagli esseri umani e/o dai test esistenti. Questo lavoro segue lo stesso processo di gestione delle vulnerabilità di ogni altra forma di test. Si tratta di un’attività già in corso, non di un elemento della roadmap. D: In che modo Commvault si sta preparando all’individuazione delle vulnerabilità legate all’IA? R: Abbiamo sviluppato un programma progettato per essere indipendente dal modello e dallo strumento utilizzato. Il nostro obiettivo è garantire che la nostra pratica di ingegneria della sicurezza possa integrare i migliori metodi disponibili in un’ampia gamma di strumenti di IA, all’interno di un unico quadro coerente di governance e gestione dei rischi.
D: Commvault utilizza questi modelli in modo sicuro? A: Sì. Tutte le scansioni effettuate dall’IA sono sottoposte a un controllo approfondito. L’accesso da parte di fornitori e strumenti è regolato da accordi di riservatezza (NDA) formali e da termini di collaborazione, e ogni risultato generato dall’IA richiede la conferma da parte di un operatore umano della sua sfruttabilità prima che venga intrapresa qualsiasi azione correttiva. D: In che modo Commvault sta adattando la gestione delle vulnerabilità all’era dell’intelligenza artificiale?
R: Il nostro obiettivo è garantire che il processo di risposta sia in grado di adattarsi al volume delle richieste di individuazione e al ritmo delle analisi. Poiché l’intelligenza artificiale aumenta il numero di potenziali risultati che i nostri team devono esaminare, stiamo investendo in un sistema di triage basato sul rischio, in accordi sul livello di servizio (SLA) coerenti per la risoluzione dei problemi e nell’infrastruttura operativa necessaria per gestire un volume maggiore di analisi in tempi più rapidi, al fine di ridurre l’esposizione dei clienti.
Bill O’Connell è Chief Security Officer presso Commvault.
