SentinelOne (NYSE: S), leader nella cybersecurity basata sull’intelligenza artificiale e Tenable® Holdings, Inc. (NASDAQ: TENB), azienda specializzata nella gestione dell’esposizione dei rischi, hanno pubblicato una ricerca congiunta che evidenzia un crescente divario tra l’individuazione delle vulnerabilità, la loro divulgazione e lo sfruttamento effettivo. La ricerca si basa sui dati legati alle vulnerabilità raccolti da Tenable presso migliaia di organizzazioni e sui dati telemetrici relativi alle misure correttive, integrati con i dati di SentinelOne relativi al rilevamento degli endpoint e delle attività successive allo sfruttamento. Insieme, queste due fonti forniscono un quadro gerarchizzato delle aree in cui si concentrano i rischi, con indicazioni preziose per l’era dell’AI avanzata. Il dato più significativo è che sia gli attacchi degli Stati-nazione che quelli delle organizzazioni criminali si concentrano sui fornitori e sui potenziali punti deboli della superficie di attacco più che su specifiche vulnerabilità CVE.
Le dinamiche attuali degli attacchi stanno evolvendo a un ritmo più veloce di quanto i cicli standard delle patch riescano a gestire. I modelli di AI avanzati riducono i tempi di individuazione delle vulnerabilità da mesi a ore, esponendo i sistemi a rischi potenzialmente più elevati e consentendo agli hacker di passare dalla scoperta alla creazione del codice di exploit in circa una settimana. Oggi, un’organizzazione media impiega cinque mesi per correggere le vulnerabilità note₁. Per colmare questa lacuna non basta la velocità: occorre sapere quali linee di prodotti sono più esposte alla prossima ondata di attacchi.
La ricerca rileva che i dati di esposizione e il rilevamento in fase di runtime convergono sugli stessi fornitori di dispositivi edge nel 79% dei casi, mentre a livello di singola vulnerabilità presentano solo il 21% di sovrapposizione. Sia gli autori degli Stati-nazione che quelli del ransomware attingono dallo stesso ristretto insieme di vulnerabilità ad alta priorità attivamente sfruttate. Le superfici sono costanti, mentre gli autori non lo sono. Questa distinzione è fondamentale per stabilire le priorità di difesa; un modello che Tenable ha definito “Persistently Targeted Vendor”. L’idea è che sia un ristretto insieme di prodotti di un fornitore, e non i singoli CVE, a costituire il rischio nel lungo periodo.
Tra i risultati chiave emersi dalla ricerca troviamo:
· Dodici vulnerabilità presenti nel set di dati hanno un’attribuzione confermata di tipo “multi-nexus”: operatori sponsorizzati dagli Stati e autori di attacchi ransomware sfruttano indipendentemente la stessa vulnerabilità in cinque distinte categorie di minaccia, tra cui Cina, Russia, Corea del Nord, Iran e attori criminali (con motivazioni finanziarie).
· Più della metà (54%) delle organizzazioni che utilizzano prodotti F5 presenta almeno una vulnerabilità esposta e attivamente sfruttata, mentre i clienti Citrix registrano i tempi di correzione più lenti tra tutti i vendor esaminati, con una durata media di 461 giorni — un esempio concreto di come specifiche linee di prodotti rimangano esposte a lungo dopo la disponibilità di una patch.
· La complessità della correzione delle vulnerabilità ad alta priorità introduce un divario statisticamente significativo di 24 giorni, ampliando la finestra di tempo a disposizione dagli hacker per mettere in atto un exploit — il che sottolinea perché la velocità di applicazione delle patch da sola non sia sufficiente senza che la riduzione della superficie di attacco e la protezione degli endpoint operino in sinergia.
“La velocità da sola non basta. Quando una vulnerabilità entra nel processo di correzione, gli hacker stanno già perfezionando l’exploit”, ha affermato Steve Stone, Chief Customer Officer di SentinelOne. “Le firme statiche seguono i tempi dell’uomo, ma le minacce no. Il rilevamento comportamentale in fase di runtime deve adeguarsi a quel ritmo, segnalando i modelli di sfruttamento non a posteriori, ma nel momento stesso in cui emergono.”
Per i team di security, la ricerca sottolinea la necessità di andare oltre le singole vulnerabilità e comprendere quali superfici digitali vengono prese di mira ripetutamente. I dati di Tenable sull’esposizione mostrano dove le organizzazioni sono più vulnerabili e dove si concentra il rischio, mentre i dati di SentinelOne sulle minacce in fase di runtime e sul DFIR (Digital Forensics and Incident Response) indicano dove e come gli aggressori operano in ambiente reale. La convergenza di queste due prospettive distinte fornisce ai responsabili della sicurezza prove più solide per stabilire le priorità nelle azioni correttive, potenziare il rilevamento e ridurre il rischio sulle superfici digitali costantemente prese di mira.
“Gli aggressori prendono sistematicamente di mira specifici ecosistemi di fornitori che potrebbero fornire loro un punto di accesso. Non si concentrano ossessivamente su singole vulnerabilità, e nemmeno i difensori dovrebbero farlo”, ha affermato Vlad Korsunsky, Chief Technology Officer di Tenable. “La ricerca congiunta conferma che gli autori degli attacchi, grandi e piccoli, prendono di mira le stesse superfici di attacco nella maggior parte dei casi. La ricerca sottolinea i principi della gestione delle esposizioni: individuare, dare priorità e correggere le esposizioni che creano un rischio reale per l’azienda. Poiché gli autori degli attacchi utilizzano l’AI per violare le difese più rapidamente, le organizzazioni che adottano la gestione delle esposizioni avranno la meglio.”
La ricerca è l’ultima collaborazione nel quadro di una partnership in continua espansione tra le migliori aziende del settore specializzate in tecnologie CTEM native per l’AI e in soluzioni di rilevamento e risposta in tempo reale basate sull’AI, che si fonda sul lavoro già svolto congiuntamente da Tenable e SentinelOne, compresa la partecipazione di SentinelOne in qualità di membro fondatore del CyberAgents Exchange di Tenable, annunciato durante il Black Hat USA 2026.
