The Pulse
Microsoft: la ricerca assistita dall’IA ha contribuito a individuare 140 CVE in Windows
Microsoft afferma che il suo FORGE Lab ha contribuito a individuare vulnerabilità di Windows a cui sono stati assegnati 140 numeri CVE tra maggio e settembre 2026. L’azienda ha inoltre segnalato 155 rapporti su vulnerabilità convalidati int
AI.info Team · Scritto con l’IA ·
«La scoperta produce valore per la sicurezza solo se la verifica e la risoluzione delle vulnerabilità riescono a tenere il passo.»
Taesoo Kim, vicepresidente di Agentic Security presso Microsoft
Microsoft afferma che il suo Frontier Offensive Research & Generative Exploitation Lab, o FORGE, ha contribuito a individuare vulnerabilità di Windows a cui sono stati assegnati 140 numeri CVE tra maggio e settembre 2026. Secondo l’azienda, 52 sono state corrette nell’aggiornamento di sicurezza di settembre. I risultati, pubblicati il 7 ottobre da Taesoo Kim, presentano la ricerca assistita dall’IA come una fonte sempre più produttiva di scoperte in materia di sicurezza e richiamano l’attenzione sul lavoro necessario per verificarle e correggere le vulnerabilità.
140 CVE di Windows in cinque mesi
FORGE usa MDASH, l’infrastruttura di scansione agentica multimodello di Microsoft, per organizzare la ricerca sulle vulnerabilità in Windows e nel software open source. Microsoft descrive il totale relativo a Windows come il numero di vulnerabilità che FORGE ha contribuito a scoprire e a cui sono stati assegnati CVE, senza sostenere che un sistema di IA abbia individuato e risolto autonomamente tutte e 140 le vulnerabilità. I ricercatori e i team di ingegneri restano parte del processo.
Il grafico mensile allegato suddivide le 140 vulnerabilità per gruppi di aggiornamenti: 16 a maggio, 10 a giugno, 27 a luglio, 35 ad agosto e 52 a settembre. Microsoft precisa esplicitamente che questi totali mensili riflettono i gruppi di annunci e aggiornamenti, non le date in cui le vulnerabilità sono state scoperte né la quantità di codice esaminata. La distinzione è importante: il grafico segue gli aggiornamenti di sicurezza, non misura mese per mese il tasso di scoperta del sistema di IA.
Microsoft descrive inoltre un progetto interno che ha usato algoritmi deterministici, tra cui gli alberi sintattici astratti, per ridurre di circa il 45% le segnalazioni duplicate nelle scansioni ripetute dello stesso codice. Kim sostiene che le segnalazioni duplicate e le prove deboli possono assorbire la capacità di revisione necessaria per verificare le scoperte più solide. La misura concreta, scrive, non è semplicemente il numero di problemi segnalati da uno scanner, ma quante scoperte arrivano corredate di prove che consentano al team successivo di intervenire.
La verifica diventa il fattore limitante
Man mano che gli strumenti automatizzati generano più possibili bug, afferma Microsoft, il collo di bottiglia si sposta sulla verifica che una segnalazione riguardi una vulnerabilità reale, sfruttabile e rilevante per la sicurezza. Per una possibile vulnerabilità potrebbero servire un modo riproducibile per attivarla, una build funzionante o la prova che un aggressore possa raggiungere il percorso vulnerabile. Secondo Microsoft, strumenti per dimostrare la presenza di vulnerabilità e infrastrutture di test specifici per ciascun progetto possono aiutare a produrre queste prove e a ridurre lo smistamento manuale delle segnalazioni.
Il flusso di lavoro proposto dall’azienda considera la verifica e la risoluzione delle vulnerabilità parte della scoperta: i controlli automatizzati, la revisione umana, lo sviluppo delle patch e i test di regressione forniscono informazioni alle scansioni successive. Anche i tentativi di riproduzione falliti e le segnalazioni respinte possono aiutare a calibrare il sistema, purché registrino perché una scoperta non ha retto alla verifica. L’obiettivo è preservare la responsabilità degli ingegneri, automatizzando al contempo le attività ripetibili legate all’indagine.
Microsoft afferma che le stesse difficoltà riguardano i progetti open source, i cui manutentori hanno regole diverse per le segnalazioni e una capacità di revisione limitata. Nell’arco di tre mesi, FORGE ha presentato 155 rapporti convalidati internamente in 23 progetti, tra cui il kernel Linux. Al momento della pubblicazione, per 93 rapporti relativi a 14 progetti o famiglie di progetti era documentata una presa d’atto o un’accettazione da parte dei manutentori.
I test su Linux mostrano i costi e i limiti dei dati
Microsoft riferisce che i suoi agenti di verifica hanno prodotto prove a sostegno di 627 risultati sospetti relativi al kernel Linux. Per 182 casi confermati di arresto anomalo, la generazione di una proof of concept ha richiesto in media 3,61 dollari di costo del modello e 21,5 minuti. In sei casi selezionati, la generazione automatizzata di exploit per verificare la possibilità di un’escalation locale dei privilegi ha richiesto in media 8,56 dollari e 25,4 minuti.
Queste medie, calcolate usando GPT-5.5, includono i tentativi associati ai casi riusciti, ma escludono lo screening iniziale, i casi possibili che non hanno dato esito positivo o sono stati scartati, nonché l’indagine umana e la preparazione delle patch. Sono quindi una misura circoscritta dei costi della verifica automatizzata, non del costo complessivo per individuare e correggere le vulnerabilità. Microsoft afferma inoltre che un rapporto relativo a Linux è diventato la prima segnalazione tramite Akrites a sfociare in una patch integrata nel kernel.
I dati di FORGE mostrano che i sistemi assistiti dall’IA possono contribuire alla ricerca sulle vulnerabilità sia nel software di Microsoft sia nei progetti open source. Evidenziano anche il limite di contare soltanto le scoperte: una vulnerabilità ha valore per la sicurezza solo dopo che i team riescono a riprodurla, valutarne l’impatto e fornire una correzione verificata.