Il 13 agosto 2026 GitHub ha pubblicato le lezioni ricavate da un nuovo gruppo di progetti del Secure Open Source Fund. Il report racconta come i team open source combinano workflow assistiti dall’AI, strumenti di sicurezza GitHub, supporto di esperti e finanziamenti per migliorare la sicurezza in modo sistematico.
La lezione pratica è che la velocità non equivale alla sicurezza. L’AI può accelerare analisi del codice, remediation e aggiornamenti delle dipendenze, ma le modifiche finali devono comunque passare una normale review. Questo vale soprattutto per autenticazione, crittografia, pipeline di build e supply chain software.
Nei sistemi commerciali i requisiti sono ancora più severi perché entrano in gioco dati personali, operazioni di business e integrazioni esterne. Il codice generato dall’AI deve quindi seguire gli stessi controlli: analisi statica, scansione di dipendenze e segreti, test, principio del minimo privilegio e storico auditabile.
Il lato positivo è che l’AI può rafforzare anche la difesa, aiutando a classificare alert, individuare problemi ricorrenti e preparare correzioni più rapidamente. Lo sviluppo sicuro resta però il risultato di un processo maturo, non una proprietà di un singolo strumento.