AWS propone un AI vulnerability harness: triage delle vulnerabilità più verificabile, meno “prompt-driven”

2026-10-11

AWS ha pubblicato il 7 ottobre 2026 due articoli tecnici collegati su un tema molto concreto per i team che stanno introducendo AI nei processi di sicurezza applicativa: come usare modelli linguistici e scanner esistenti senza trasformare il triage delle vulnerabilità in una fabbrica di falsi positivi. La proposta è un AI vulnerability harness , cioè un’infrastruttura di test e filtraggio che prende finding grezzi, li verifica contro il codice e li ripesa in base al contesto di deployment. La novità non è “l’AI trova tutte le vulnerabilità”. È quasi l’opposto: AWS insiste sul fatto che un modello non va creduto per autorevolezza narrativa. Deve essere guidato, vincolato e verificato. Per PMI, software house, freelance tecnici e team DevOps, il punto è rilevante perché molte organizzazioni hanno già scanner SAST, CodeQL, Semgrep o strumenti simili, ma faticano a trasformare centinaia di alert in poche azioni prioritarie. Chi sta valutando automazioni AI nei workflow di sviluppo dovrebbe leggere questa proposta come un pattern architetturale, non come un prodotto da comprare. Se serve una valutazione su come integrare questi controlli in pipeline reali, il punto di partenza più sempl