Il NCSC invita ad adottare un approccio basato sul rischio nello sviluppo software assistito dall’IA

Il National Cyber Security Centre del Regno Unito ha pubblicato una guida che incoraggia gli sviluppatori a considerare la scrittura di software assistita dall’IA come un continuum, anziché come una scelta assoluta tra due alternative. L’agenzia afferma che la cosiddetta “vibe coding” può essere utile, ma il livello di autonomia dell’IA dovrebbe dipendere dalla sensibilità del sistema in fase di sviluppo.

Gli strumenti di IA sono ormai ampiamente utilizzati per generare codice a partire da prompt di alto livello, e spesso gli utenti iterano sull’output invece di scrivere autonomamente ogni riga. Secondo il NCSC, questo può accelerare lo sviluppo, ma solleva anche preoccupazioni relative a vulnerabilità di sicurezza, architetture poco chiare e manutenibilità a lungo termine. Poiché i sistemi di IA vengono addestrati su grandi quantità di codice esistente, possono riprodurre schemi non sicuri se gli sviluppatori vi fanno affidamento senza un’adeguata revisione.

Sistemi diversi comportano rischi diversi

Secondo il NCSC, la domanda principale non è se utilizzare l’IA, ma dove utilizzarla e quanto controllo applicare. Le attività a basso rischio, come dimostrazioni proof-of-concept, strumenti interni o mock-up, possono essere adatte a un coinvolgimento più intenso dell’IA. Al contrario, il codice che gestisce autenticazione, dati personali sensibili, credenziali o funzioni critiche per la sicurezza richiede controlli più rigorosi.

L’agenzia descrive questo approccio come uno “spettro della vibe coding”. A un estremo si trova lo sviluppo tradizionale guidato dall’essere umano, con l’IA che offre assistenza tramite completamento automatico e piccoli suggerimenti. All’altro estremo c’è la piena autonomia, in cui un sistema di IA progetta, scrive e perfeziona il codice con un intervento umano minimo. Tra questi due estremi esistono numerosi approcci ibridi, tra cui funzioni generate dall’IA, architetture scritte dagli esseri umani e flussi di lavoro basati sui test, nei quali gli sviluppatori definiscono i test e il modello scrive l’implementazione.

Il controllo umano resta essenziale

Il NCSC ha dichiarato che l’uso dell’IA per software importanti non deve necessariamente essere escluso, ma richiede un controllo attento. Gli sviluppatori dovrebbero esaminare il codice generato, comprenderne il funzionamento, testarlo alla ricerca di vulnerabilità e verificare che si comporti come previsto. Anche il sistema nel suo complesso dovrebbe essere progettato per limitare l’impatto di un’eventuale compromissione.

Per i progetti a rischio più elevato, il NCSC fa riferimento ai requisiti di base per la cybersicurezza sviluppati con partner internazionali attraverso il Comitato tecnico ETSI sulla sicurezza dell’IA. La guida arriva mentre gli strumenti di coding basati sull’IA continuano a migliorare rapidamente, spingendo le organizzazioni a ripensare il livello di fiducia da accordare ai flussi di lavoro di sviluppo automatizzati.

• I progetti a basso rischio possono tollerare una maggiore autonomia dell’IA.
• I sistemi sensibili dal punto di vista della sicurezza richiedono una revisione umana più approfondita.
• Il giusto equilibrio dipende dal contesto, non da una regola fissa.