Sicurezza delle applicazioni nell'era dell'IA agentica: cosa rivela l'Hype Cycle 2026 di Gartner

L'intelligenza artificiale non accelera soltanto la creazione di software: ne moltiplica anche le vulnerabilità. È l'avvertimento centrale del rapporto «Hype Cycle for Application Security, 2026» (Gartner, luglio 2026), che valuta la maturità delle tecnologie di sicurezza delle applicazioni e il momento giusto per adottarle.

Tre tendenze che cambiano il quadro

• Proteggere il ciclo di sviluppo agentico. Il codice generato da agenti di IA e il «vibe coding» aumentano la produttività, ma introducono difetti come segreti incorporati nel codice, autenticazione debole e dipendenze rischiose. Gartner prevede che, entro il 2027, almeno il 30% delle esposizioni di sicurezza nelle applicazioni deriverà da errori, configurazioni errate e cattive pratiche di codifica agentica.
• Proteggere gli agenti e le applicazioni di IA. Gli agenti ampliano la superficie di attacco. Nascono così i test di sicurezza per l'IA, la difesa in fase di esecuzione e un'identità propria per ogni agente. Secondo Gartner, oltre il 50% degli attacchi riusciti contro agenti di IA fino al 2029 sfrutterà falle nel controllo degli accessi.
• Semplificare il DevSecOps. L'analisi delle vulnerabilità e la gestione della postura di sicurezza delle applicazioni (ASPM) aiutano a dare priorità ai rischi, mentre il rilevamento e la risposta nelle applicazioni (ADR) offrono protezione in fase di esecuzione mentre si implementano le correzioni.

Innovazioni da osservare

I test di sicurezza agentici (Agentic AST) e gli assistenti di sicurezza del codice basati sull'IA sono giudicati trasformazionali: possono individuare difetti nella logica di business che gli strumenti tradizionali non vedono. Restano però più costosi e lenti, e i loro risultati sono probabilistici; per questo Gartner raccomanda di affiancarli ai test deterministici, senza abbandonarli. Gli «agenti guardiani», che supervisionano altri agenti di IA, sono appena agli inizi ma rispondono a un'esigenza chiara: la supervisione umana non scala.

Raccomandazioni pratiche

• Censire tutti gli agenti di IA e gli strumenti di codifica, autorizzati o meno.
• Applicare il principio della «minima agency»: permessi rigorosi e credenziali proprie, mai quelle di un dipendente.
• Mantenere le persone come orchestratori e revisori negli sviluppi ad alto rischio.
• Accelerare i processi di rimedio e di patching, che si adottino o meno test agentici.

Conclusione

L'IA è al tempo stesso fonte di rischio e strumento di difesa. Le organizzazioni che integrano controlli di sicurezza fin dalla progettazione dei propri agenti e del proprio codice, nel momento adatto alla loro maturità, guadagneranno velocità senza sacrificare la fiducia.

Fonte: Gartner, «Hype Cycle for Application Security, 2026», D. Zumerle, 21 luglio 2026 (ID G00846821). Sintesi e commenti propri.