I responsabili dei programmi di bug bounty stanno affrontando due fenomeni opposti che arrivano dalla stessa tecnologia. Da un lato l'intelligenza artificiale generativa ha reso banale produrre segnalazioni verbose e ben formattate che non contengono alcuna vulnerabilità reale: report plausibili, corredati di spiegazioni convincenti, che consumano ore di triage e non portano a nulla.
Dall'altro lato i modelli più capaci hanno iniziato a trovare vulnerabilità autentiche. Non varianti banali di problemi noti, ma difetti riproducibili, con catena di sfruttamento coerente, in codebase reali. Un caso emblematico è quello dell'accesso anticipato concesso da Anthropic a Microsoft su un modello sperimentale dedicato alla ricerca automatizzata di vulnerabilità: il volume di risultati ha superato la capacità di assorbimento dei team di remediation.
Quest'ultimo dettaglio è il più interessante e il meno discusso. Il collo di bottiglia si sta spostando dalla scoperta alla correzione. Trovare bug diventa economico; correggerli, testare le patch, distribuirle e verificarne l'efficacia richiede ancora persone, tempo e finestre di manutenzione.
Per i programmi di bug bounty la conseguenza è la necessità di ripensare il triage: verifica automatica della riproducibilità come primo filtro, reputazione dei ricercatori pesata sulla storia delle segnalazioni valide, premi ricalibrati su impatto dimostrato più che su categoria teorica.
Per le aziende che non gestiscono un bounty, la lezione resta valida. Se strumenti automatici stanno trovando difetti nel software commerciale a un ritmo crescente, li stanno trovando anche nel software che usiamo. La capacità di applicare patch rapidamente vale oggi più della capacità di prevedere quali vulnerabilità arriveranno.