La corsa contro il tempo dell'intelligenza artificiale
Più vulnerabilità, individuate più rapidamente, sfruttate prima.
Esplosione globale dei CVE
72,812
I CVE pubblicati nel 2026 fino a settembre sono già il 51% in più rispetto all’intero 2025
Riduzione dei tempi di messa in produzione
−7 giorni
Tempo medio necessario per sfruttare una vulnerabilità nel 2025: gli attacchi iniziano ora, in media, prima che venga rilasciata una patch
Cosa si aspetta la CRA
I produttori devono informare l’ENISA e il proprio CSIRT nazionale in tre fasi, a partire da sole 24 ore dopo aver preso conoscenza di una vulnerabilità sfruttata.
24 ore
Allerta precoce
Primo avviso, con l'indicazione della causa sospetta e dei paesi colpiti
72 ore
Notifica
Dettagli sulla vulnerabilità, sui prodotti interessati e sulle misure di mitigazione adottate
14d
Relazione finale
Entro 14 giorni dalla disponibilità di una correzione, indicando la gravità, l'impatto e la misura correttiva
Sei pronto a presentare il rapporto entro 24 ore?
Per rispettare ogni scadenza, hai bisogno di risposte rapide:
- Si tratta di vere e proprie vulnerabilità, o solo di potenziali punti deboli?
- Sono accessibili e utilizzabili nel tuo prodotto?
- È disponibile una soluzione verificata, oppure è possibile crearne una in tempi brevi?
Il divario nella gestione delle vulnerabilità della CRA
Il CRA attribuisce all'utente la responsabilità di ogni vulnerabilità presente nel proprio prodotto, sia che si tratti del proprio codice, di un componente di terze parti o di una libreria open source. Gli obblighi sono sanciti dalla legge, mentre il carico di lavoro che ne deriva continua ad aumentare.
Più codice, rilasci più rapidi
Lo sviluppo basato sull'intelligenza artificiale comporta una maggiore quantità di codice, un numero maggiore di dipendenze e cicli di rilascio più brevi. Ogni versione introduce nuovi componenti proprietari, di terze parti e open source, oltre a nuove possibilità che si verifichino delle lacune.
Difficile stabilire le priorità
In assenza di prove di vulnerabilità, sono i punteggi di gravità a determinare da soli l’ordine di priorità. I team dedicano le proprie risorse a problemi irrilevanti, mentre i rischi reali restano in sospeso.
Assenza di prove del rischio
Gli scanner segnalano migliaia di risultati, ma raramente indicano se una vulnerabilità sia accessibile, sfruttabile e rilevante per il proprio prodotto.
Traccia di audit ridotta
Il codice interno e i componenti esterni vengono spesso gestiti in flussi di lavoro separati, con decisioni sparse tra ticket, chat e fogli di calcolo. Riuscire a raccogliere prove tracciabili e pronte per la revisione entro 24 o 72 ore è praticamente impossibile.
Risoluzione delle vulnerabilità basata sull’intelligenza artificiale, integrata nel ciclo di sviluppo
Keysight AI Analysis for CRA è un servizio di analisi del codice basato sull'intelligenza artificiale che integra la gestione delle vulnerabilità, automatizzando l'intero ciclo di vita delle vulnerabilità. Basato sull'esperienza di Keysight nel campo della sicurezza, il nostro framework proprietario basato sull'intelligenza artificiale identifica le vulnerabilità, verifica se possono essere sfruttate, suggerisce e convalida le correzioni e documenta ogni fase del processo.
Capacità chiave
Triage intelligente
Effettua una selezione preliminare dei CVE e dei risultati SAST sulla base dello SBOM, elimina i falsi positivi e assegna la priorità ai rischi sfruttabili.
Soluzioni verificate
Compila, testa e verifica ogni correzione in un ambiente di prova per confermare che la vulnerabilità sia stata risolta.
Analisi di raggiungibilità
Mostra quali vulnerabilità possono effettivamente essere raggiunte e sfruttate a partire da punti di accesso reali dell'ambiente di produzione.
Prove CRA
Crea registrazioni tracciabili e pronte per la revisione relative alla gestione delle vulnerabilità, alla divulgazione coordinata, alla segnalazione degli incidenti e alla valutazione della conformità.
- Inserimento
- Valutazione iniziale
- Analisi e convalida tramite intelligenza artificiale
- Analisi dei risultati
- Retrospettiva
Inserimento
Ci fornisci l'accesso al tuo repository del codice sorgente e ai dettagli dell'ambiente. Poiché analizziamo il codice sorgente, non i file binari, ogni risultato individuato rimanda alla riga esatta e le correzioni vengono fornite sotto forma di patch pronte per il merge.
Valutazione iniziale
Keysight valuta i prerequisiti e risolve gli ostacoli insieme a voi prima di procedere all'analisi completa.
Analisi e convalida tramite intelligenza artificiale
La nostra piattaforma raccoglie i dati SCA ed esegue un SAST basato sull'intelligenza artificiale, quindi avvia un ambiente sandbox per testare la raggiungibilità e la vulnerabilità e per verificare ogni patch.
Analisi dei risultati
Il vostro team e Keysight esaminano insieme i risultati dell'analisi, quelli delle patch e le raccomandazioni correttive.
Retrospettiva
Individuiamo le lacune nella copertura e raccogliamo i commenti per apportare miglioramenti in futuro.
Tutte le opzioni coprono il codice proprietario, di terze parti e open source in un unico flusso di lavoro unificato basato sull'intelligenza artificiale; l'integrazione con la pipeline CI/CD sarà disponibile a breve.
Il tuo indirizzo IP rimane tuo
Il tuo codice sorgente è la tua risorsa più preziosa. Noi lo trattiamo come tale.
- Ospita i progetti su server di IA offline, senza inviare dati al cloud
- Scegliere modelli di IA conformi alle normative regionali
- Possibilità di utilizzare fornitori di servizi cloud basati sull'intelligenza artificiale
- Nessuna formazione sui dati dei clienti
Domande frequenti
L'obbligo di segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi entra in vigore l'11 settembre 2026. I restanti requisiti, tra cui la gestione delle vulnerabilità e gli SBOM, entrano in vigore l'11 dicembre 2027.
No. L'IA suggerisce delle patch e le verifica in un ambiente di test. Le patch critiche vengono sempre sottoposte a revisione umana prima di essere integrate nel codice.
No. I progetti possono essere eseguiti su server di intelligenza artificiale offline e i tuoi dati non vengono mai utilizzati per addestrare i modelli.
Sai già quali vulnerabilità del tuo prodotto sono accessibili e sfruttabili, e ogni risultato è documentato in modo tracciabile. Quando emerge una nuova vulnerabilità sfruttata, puoi valutarne rapidamente l'impatto e segnalarla fornendo prove concrete.
I risultati vengono integrati nel flusso di lavoro esistente, ad esempio sotto forma di ticket Jira con priorità assegnata o elementi dello sprint.
Con un proof of concept su uno dei vostri prodotti. Segue i cinque passaggi sopra indicati e si conclude con una retrospettiva sui risultati.