Sicurezza IA ed evidenze deterministiche a confronto

Ogni confronto spiega che cosa fa bene l'altro prodotto, in che cosa CRACI è diverso e quando conviene usarli entrambi. Per tutte le categorie, veda tutti i confronti.

Due livelli, due compiti

La maggior parte dei team di sicurezza sta già adottando l'IA: per esaminare il codice, fare il triage dei risultati e scrivere correzioni. È un buon uso. La domanda è da che cosa parte l'IA. Un programma di sicurezza ha bisogno di due livelli:

Un livello di IA che legge, spiega e agisce: code review, triage e pull request di correzione.
Un livello del record che dice che cosa è realmente accaduto: quali dipendenze ha scaricato ogni build, registrate sempre allo stesso modo, indicando dove il record è incompleto.

L'IA funziona meglio se si appoggia al record. Il resto di questa pagina, e le guide qui sotto, spiegano dove ciascun livello è forte.

Tre prove per i dati di sicurezza

I dati di sicurezza che escono dal team di sviluppo, in un audit, in un questionario di un cliente o in una segnalazione CRA, devono superare tre prove.

Riproducibilità. Fare due volte la stessa domanda e ottenere la stessa risposta. L'output di un modello può variare da un'esecuzione all'altra; un record della build no.
Verificabilità. Mostrare come lo si sa. Un record rimanda alla build da cui proviene; una risposta dedotta non può mostrare allo stesso modo il proprio percorso.
Completezza. Non si può riportare ciò che non si è mai visto. Né uno strumento di IA né uno scanner possono elencare una dipendenza che non hanno mai avuto davanti.

Il determinismo è necessario, non sufficiente. I generatori di SBOM sono deterministici e tuttavia non concordano tra loro, quindi ciò che colma il divario è l'osservazione: registrare che cosa la build ha scaricato, e dichiarare quando il record è incompleto. CRACI contrassegna ogni job e cache come Complete, Complete with connections, Incomplete, Unavailable o Not recorded. IA e sicurezza deterministica, con un esempio concreto

Dove l'IA funziona bene

Code review: il lavoro di lettura che un revisore oberato salta, sotto forma di commenti e suggerimenti sulle pull request.
Triage: spiegare un advisory in linguaggio semplice e stabilire che cosa guardare per primo.
Correzioni: scrivere la modifica, adattare il codice a un aggiornamento che introduce incompatibilità e aprire la pull request. L'utilità di queste correzioni dipende da che cosa viene chiesto all'IA di correggere. Remediation delle vulnerabilità con l'IA
Lavorare con una SBOM registrata: riassumere quali componenti comportano rischi e preparare la documentazione relativa perché una persona la riveda.

Dove serve un record

"Siamo coinvolti?" Quando esce un nuovo advisory, la risposta deve coprire ogni build che ha scaricato il pacchetto, non solo quelle che un modello o una scansione hanno esaminato per caso.
Dipendenze aggiunte da un'IA. Gli assistenti di programmazione IA aggiungono dipendenze, e a volte citano pacchetti che non esistono. Un record della build mostra che cosa è stato effettivamente scaricato.
Audit e domande dei clienti. Un auditor o un cliente vuole evidenze verificabili, non una descrizione.
SBOM ai sensi del CRA. Una SBOM generata dall'IA è un'ipotesi sulla Sua build; il Cyber Resilience Act e gli elementi minimi CISA del 2026 si aspettano un record. Perché una SBOM generata dall'IA non è un'evidenza

La regola è semplice: lasci che sia la build a produrre il record, e che l'IA lo legga. Come si integrano gli strumenti di sicurezza IA e CRACI

CRACI a confronto con ciascuno strumento

IA e sicurezza: le risposte

Uno strumento di IA può scrivere la mia SBOM?

Può scrivere rapidamente qualcosa che le assomiglia. Ma un modello lavora sul codice e sui file che gli vengono mostrati, non su ciò che la build ha scaricato, e l'allucinazione è un tipo di errore documentato. Autorità di regolamentazione e clienti chiedono un record di ciò che il prodotto contiene. Lasci che sia la build a produrre la SBOM, e che il modello la legga.

Gli strumenti di sicurezza IA sostituiscono la SCA o le evidenze di build?

No. La code review, il triage e le pull request di correzione con l'IA sono aggiunte utili a un programma di sicurezza, ma funzionano meglio su dati completi e ripetibili. I due livelli svolgono compiti diversi, e la maggior parte dei team ha bisogno di entrambi.

Basta uno scanner deterministico?

Il determinismo è necessario, non sufficiente. I generatori di SBOM sono deterministici e tuttavia non concordano tra loro, perché ciascuno decide da sé che cosa conta come componente. Uno scanner deterministico può riprodurre ogni volta la stessa risposta incompleta. Ciò che colma il divario è registrare che cosa la build ha effettivamente scaricato, e dichiarare quando il record è incompleto.

Dove si colloca CRACI?

Nel livello del record. CRACI sostituisce il runner GitHub Actions, e un proxy che riconosce i pacchetti registra ciò che ogni job scarica durante l'esecuzione. Il risultato è una SBOM di ciò che il job ha scaricato, uno stato di completezza per ogni job e cache e una traccia di rete. L'API restituisce SBOM, tracce di rete e provenance. Gli strumenti di IA possono lavorare a partire da quel record.

IA e sicurezza