App create dai dipendenti con l'IA: il nuovo punto debole delle aziende
Le aziende hanno un nuovo buco di sicurezza: le applicazioni che i dipendenti si costruiscono da soli con l'intelligenza artificiale, senza passare dal reparto informatico. La startup Pluto Security, appena uscita allo scoperto con 42 milioni di dollari di finanziamenti, afferma che il 60% dei rischi individuati presso i suoi clienti nasce proprio lì.
- Pluto Security ha raccolto 42 milioni di dollari e dichiara oltre 30 clienti aziendali.
- Il 60% dei rischi rilevati nasce da app create con l'IA da non sviluppatori.
- Un caso citato: un'app con dati dei clienti lasciata esposta su internet.
Che cos'è il vibe coding
Il termine vibe coding indica la pratica di descrivere a un modello di intelligenza artificiale l'applicazione che si desidera e lasciare che sia il software a scrivere il codice. È un modo rapido di ottenere uno strumento su misura anche senza saper programmare, ma nessuno garantisce che il risultato sia sicuro.
Shahar Bahat, amministratrice delegata e cofondatrice di Pluto Security, ha spiegato a TechCrunch che la maggior parte dei rischi rilevati arriva da strumenti creati in questo modo da persone che non sono sviluppatori. In cima alla classifica ci sono i reparti finanziari, seguiti da marketing e uffici legali; gli sviluppatori veri e propri sono solo al quarto posto.
Un esempio citato dalla società: un dipendente dell'area finanza di un'azienda della classifica Fortune 500 aveva costruito con l'IA un'app per gestire le informazioni sui clienti, lasciandola però esposta su internet, accessibile a chiunque.
Dal comportamento degli utenti a quello degli agenti
Secondo Bahat, uno strumento di IA appena annunciato può comparire dentro i sistemi aziendali entro due ore dal lancio: una velocità di adozione che i software di sicurezza tradizionali non sono stati pensati per gestire.
Pluto monitora gli strumenti di IA usati dai dipendenti, le estensioni, le cosiddette skill e i server MCP, cioè i connettori che permettono a un assistente di dialogare con altri programmi e dati. Raccoglie prompt, comandi, processi e permessi, e usa modelli leggeri installati sui dispositivi per capire cosa un agente stia cercando di fare, intervenendo anche mentre l'operazione è in corso. In nessuna delle prove sul campo, sostiene Bahat, l'azienda non ha trovato qualcosa di malevolo, in alcuni casi attacchi in corso.
La startup dichiara oltre 30 clienti aziendali e più di 2 milioni di dollari di ricavi ricorrenti annui dopo l'avvio delle vendite ad aprile. Il finanziamento comprende un seed da 8,5 milioni guidato da TLV Partners e un round A da 34 milioni guidato da Jump Capital.
Perché conta
La possibilità per chiunque di creare software senza competenze tecniche sposta il problema della sicurezza fuori dal reparto IT e lo distribuisce in tutta l'azienda, anche in quelle piccole e medie che formano l'ossatura del tessuto produttivo italiano.
Il rischio concreto non è teorico: dati di clienti, contratti o informazioni finanziarie possono finire in applicazioni improvvisate e lasciate aperte in rete, con conseguenze anche sul piano della protezione dei dati personali.
