Sondaggio: i team di sicurezza guardano con crescente diffidenza agli strumenti di pentesting completamente automatizzati

Secondo un nuovo rapporto della società di sicurezza offensiva Cobalt, i professionisti della sicurezza sembrano perdere fiducia nei test di penetrazione completamente automatizzati.

Il sondaggio State of Pentesting 2026 dell’azienda suggerisce che molti team siano rimasti frustrati da strumenti che promettono un’ampia copertura, ma che nella pratica non rilevano problemi gravi. Cobalt ha dichiarato che il 78% degli intervistati ha segnalato “falsi negativi critici” prodotti dagli scanner automatizzati, in particolare durante i test di ambienti che includono componenti di intelligenza artificiale e modelli linguistici di grandi dimensioni.

Perché lo scetticismo è in aumento

Secondo Cobalt, gli scanner tradizionali restano utili per individuare vulnerabilità note e basate su firme. Il problema, sostiene l’azienda, è che questi strumenti spesso fanno fatica a rilevare difetti che richiedono maggiore contesto, interazioni concatenate o analisi simili a quelle umane.

Questo aspetto è ancora più importante nei sistemi basati sull’intelligenza artificiale, dove problemi di sicurezza come la prompt injection o l’eccessiva autonomia degli agenti possono emergere solo dopo molteplici passaggi di interazione. Cobalt ha affermato che è improbabile che questo tipo di difetti logici venga individuato da controlli automatizzati eseguiti in un unico passaggio.

• Solo il 9% degli intervistati ha dichiarato di essere favorevole al pentesting completamente autonomo, in calo rispetto al 29% dell’anno precedente.
• Il 78% ha affermato di aver osservato falsi negativi critici generati dagli strumenti automatizzati.
• Negli ambienti tradizionali, circa il 12% delle vulnerabilità rilevate è stato classificato come grave o critico.
• Negli ambienti basati sull’intelligenza artificiale e sui modelli linguistici di grandi dimensioni, questa percentuale è salita al 32% e, secondo Cobalt, è rimasta a tale livello per due anni.

I test ibridi conquistano consensi

Cobalt sostiene che l’allontanamento dall’automazione completa non rappresenti necessariamente una battuta d’arresto per il settore. Al contrario, afferma che le organizzazioni cercano sempre più garanzie anziché una semplice copertura delle scansioni e che i sistemi più sensibili richiedono ancora il giudizio umano.

Il campione del rapporto era relativamente ridotto, con 450 intervistati, ma i risultati riflettono una preoccupazione più ampia nel settore: lo sviluppo assistito dall’intelligenza artificiale sta creando più attività di sicurezza di quante molti team riescano ad assorbire agevolmente.

Non tutti sono altrettanto prudenti. CJ Moses, responsabile della sicurezza di Amazon, ha dichiarato che il pentesting basato sull’intelligenza artificiale ha migliorato l’efficienza dei team, sottolineando però che gli esseri umani devono continuare a essere coinvolti nel processo decisionale e nella supervisione.

Per ora, la tendenza sembra favorire un approccio misto: strumenti automatizzati per la scalabilità e tester umani per i problemi più complessi.