Ricerca, analisi, tutorial.

Un umano rivede da solo la pull request di un agente l'8% delle volte. Cosa cambia l'incidente dell'UK AI Security Institute per la tua revisione.

La capacità è raddoppiata in una generazione di modello e la sicurezza non si è mossa. Perché cambiare modello e promptare meglio falliscono entrambi.

AGENTS.md e CLAUDE.md vengono caricati con un'autorità quasi da prompt di sistema. Come funziona l'attacco, gli incidenti del 2026 e come difendere il repository.

Cosa contiene un AI-BOM, come risponde all'articolo 11 e all'allegato IV dell'AI Act, e perché un inventario tenuto come documento è già obsoleto.

Come gli agenti AI allucinano nomi di pacchetti che gli attaccanti pre-registrano, perché le difese anti-typosquatting li mancano, e la botnet 2026.

Come funziona l'auto-remediation con l'AI, perché l'autofix a singolo scanner è superficiale, e come gira il loop trova, correggi, verifica, PR.

I 13 strumenti di sicurezza per il codice generato dall'AI a confronto nel 2026: CybeDefend, Snyk, Checkmarx, Aikido, Semgrep, Endor Labs, SonarQube, Wiz.

Gira, passa i test e resta insicuro in buona parte. I benchmark del 2026, le classi che scanner e modelli non vedono, e come governare il tuo agente.

I quattro punti di controllo che proteggono un workflow di codice AI, dalle regole nell'agente alle guardie, senza rallentare gli sviluppatori.

L'AI vulnerability remediation dà all'agente accesso live a ogni finding SAST, SCA, IaC, segreti e CI/CD, così smista e corregge nel loop.

Passo dopo passo: crea l'account, collega il repo per la prima scansione, installa VibeDefend con un comando e lascia che l'agente corregga i finding.

Perché la scansione post-PR fallisce contro gli agenti, cosa significa sicurezza agent-time, e come proteggere Claude Code, Cursor, Copilot e Codex.

SAST trova le injection, non un'autorizzazione compromessa o un carrello negativo. Come cogliere le falle di logica di business agent-time.

L'MCP dà agli agenti strumenti reali e una superficie di attacco reale: tool poisoning, rug pull, prompt injection. Come funzionano e come bloccarli.

Il vibe coding è sicuro? Non di default: il 91,0% delle app auditate porta una vulnerabilità. Le classi di rischio per CWE e la checklist in dieci passi.

L'agente Cascade modifica file, esegue comandi e richiama strumenti MCP. I rischi reali per la sicurezza e come proteggere Windsurf davvero.

Sicurezza di Claude Code: i rischi reali di un agente che legge il repo, esegue shell e usa MCP, cosa coprono i controlli nativi e come proteggerlo al prompt.

Sicurezza di Cursor: i rischi reali di un editor che indicizza il repo e genera codice in fretta, cosa coprono i controlli nativi e perché non bastano da soli.

Gran parte del SAST per Rust è pattern matching: tanti falsi positivi, bug reali mancati. Ecco perché il dataflow rafforza la sicurezza di Rust.

Sicurezza di GitHub Copilot: cosa coprono esclusioni, scanning dei segreti e indennizzo IP, i rischi che restano e come colmarli.

Sicurezza di OpenAI Codex: cosa proteggono sandbox e approvazioni, i rischi dalla command injection alla supply chain e come governarlo.

Una riga npx collega Claude Code, Cursor, Codex, Windsurf e VS Code Copilot al tuo livello di governance: regole di business, OWASP, SOC 2 e GDPR, action guard.

Apri un report SAST qualsiasi e vedi centinaia di bandierine rosse. Guida a raggiungibilità, sfruttabilità e logica di business, e al perché vengono confuse.

Il loro CI/CD era perfetto. Snyk girava, Dependabot vigilava, tutto verde. Dieci minuti dopo l'inizio dell'audit avevo comprato tutto il magazzino per 0 euro.

L'AI ridefinisce il Secure by Design e trasforma una sicurezza statica in difesa proattiva. Come gli agenti anticipano e fermano le minacce prima che accadano.