Il bug bounty è morto? Spoiler: sì, è un morto che cammina. A distanza di un anno dal video "L'AI ci ha già sostituiti, ma siamo troppo mimi per accorgersene", torno a parlare di come l'intelligenza artificiale stia rivoluzionando il mondo della cybersecurity, del bug hunting e della difesa informatica.
Da dicembre 2025 con Claude Code chiunque può avviare un agente AI e scovare vulnerabilità di sicurezza. I numeri parlano chiaro: HackerOne riporta un +210% di report sulle vulnerabilità nell'ultimo anno, mentre Bugcrowd conferma che l'82% degli hunter usa già AI nel proprio workflow. La concorrenza non è più solo tra ricercatori di sicurezza umani, ma include aziende che usano modelli di AI per fare bug hunting H24, senza ferie e senza errori.
In questo video analizzo come Claude Code (Opus) oggi esegua code review e analisi di sicurezza con risultati paragonabili o superiori a quelli di un esperto con vent'anni di esperienza. Non solo il livello 1 del SOC è sostituibile, ma anche il livello 2 e il valore aggiunto degli analisti senior sta scomparendo rapidamente.
La domanda fondamentale che ogni professionista della cybersecurity deve farsi ORA: può Claude Code, Codex o ChatGPT fare quello che sto facendo oggi? Se la risposta è sì, è il momento di reinventarsi e trovare un nuovo valore aggiunto.
Nelle prossime settimane esploreremo insieme dove può andare il nostro mestiere e come creare valore reale nell'era dell'AI. Iscriviti al canale per non perdere i prossimi ragionamenti su sicurezza informatica, bug bounty, pentesting e intelligenza artificiale.
🔗 Video menzionato:
L'AI ci ha già sostituiti, ma siamo troppo miopi per accorgersene → https://youtu.be/cNy767ScOcQ
P.S. Questo video è stato editato e montato automaticamente da Claude Code.
In questa puntata Andrea e Gabriele partono dalla settimana “AI ovunque” (tra design generativo e coding agent) e finiscono dritti nel punto dolente: oggi l’attacco passa dall’identità, dagli OAuth scope e dalle integrazioni “fidate”. Parliamo del caso Vercel/Context AI e di come basti un login con permessi troppo larghi per consegnare le chiavi del castello. In mezzo: supply chain ovunque (Bitwarden), reverse engineering contro LLM con offuscamento “anti-analisi”, e un tizio che per vendetta sta droppando zero-day su Microsoft.
Table of Contents:
- AI per il design: quanto ci manca poco a sostituire Canva/Figma?
- Codex vs Claude Code: differenze pratiche e preferenze
- I limiti (e il cringe) dei blocchi “cyber” e KYC su GPT
- Ursa: il “Fairphone dei trattori” e il right to repair contro John Deere
- Caso Vercel/Context AI: OAuth, permessi e pivot con accessi legittimi
- Perimetro aziendale vs perimetro identità: federation e SaaS ovunque
- Supply chain attack: backdoor nel Bitwarden CLI
- Elastic Security Lab: offuscamento con Tigress per deragliare gli LLM
- Saturare contesto/tempo/budget: quando la difesa ribalta l’asimmetria
- Tecniche anti-sandbox: sleep, calcoli inutili e detection euristica
- “AI necromanzia”: avatar vocali dei defunti e business (distopico) annesso
- Startup fallite che vendono Slack/email come dataset di training: privacy e rischi
- Nightmare Eclipse: zero-day pubblicati contro Microsoft Defender
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
👇 Seguici anche qui:
💬 LinkedIn: linkedin.com/company/rev3rse
📸 Instagram: @rev3rsesecurity
🔔 Iscriviti per altri approfondimenti su cybersecurity, AI automation e incident analysis.
=[ Powered by ]=
SicuraNext – https://sicuranext.com/
In questa puntata Andrea e Gabriele si infilano nel flame della settimana: Claude che “trova vuln impossibili” vs chi dice che con modelli piccoli (e un po’ di strumentazione fatta bene) ottieni gli stessi risultati. Parliamo di agent, orchestrazione, falsi positivi e della nuova realtà in cui i token sono la vera valuta (e chi ne compra di più… gioca un altro campionato). Poi si vira sul lato Black Mirror: operai che “trainano” robot con microcamere, l’age verification europea che fa discutere, e il caos NIST/NVD sulle CVE.
Table of Contents:
- Claude e la “Justice League” della sicurezza: cosa prometteva Anthropic
- La critica di Trail of Bits: non è il modello, è il sistema (orchestrazione/triage)
- Il caso FreeBSD/GSS: context isolation e test “gli dai la funzione e grazie al…"
- Modelli thinking vs non-thinking: cosa cambia davvero nel trovare vuln
- Coverage massiva vs modello super-capace: costi, token e convenienza operativa
- False positive: quando sono accettabili e quando ti ammazzano il workflow
- “Tokens are the new concurrency”: tokenomics e pay-per-use (addio flat rate)
- Startup che wrappano LLM: perché è un modello di business fragile
- Video Black Mirror: operai del tessile con microcamere per addestrare robot umanoidi
- Robot umanoidi in fabbrica: perché questa mania e che senso ha nell’automazione
- EU Age Verification App: annuncio di “tech readiness” e shitstorm immediata
- Problemi di threat modeling: smartphone non-trusted, PIN reset, dati non cancellati
- ZK proof e non-trasferibilità: perché “verificare l’età” è più dura di quanto sembri
- NIST/NVD rallenta l’enrichment delle CVE: priorità a exploited-in-the-wild e fed gov
- Dipendenza dall’ecosistema USA e alternative (es. OSV): indipendenza vs realtà pratica
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
👇 Seguici anche qui:
💬 LinkedIn: linkedin.com/company/rev3rse
📸 Instagram: @rev3rsesecurity
🔔 Iscriviti per altri approfondimenti su cybersecurity, AI automation e incident analysis.
=[ Powered by ]=
SicuraNext – https://sicuranext.com/
L'IA avanza, ma la cybersecurity resta fondamentale. Capire i meccanismi interni dell'IA è la chiave per non restare indietro. Il futuro della protezione digitale inizia ora. #Cybersecurity #IntelligenzaArtificiale #FormazioneDigitale #FuturoTech
La vita digitale sta divorando quella reale. I viaggi, prima un'esperienza, ora sono una performance social. Milioni di foto creano overtourism, trasformando luoghi magici in attrazioni a pagamento e affollate. #Overtourism #TurismoDigitale #Viaggi #SocialMedia
In questa puntata Andrea e Gabriele partono dal progetto più assurdo della settimana (sì, si può “sculacciare” un MacBook) e finiscono dritti nel tema che sta facendo impazzire la community: Project Glasswing di Anthropic e il modello “Mythos”, a quanto pare fortissimo nel trovare vulnerabilità nel codice (pure roba rimasta lì 27 anni). Poi si ragiona senza filtri su costi reali dell’AI, hype vs realtà, e su cosa significa studiare security oggi mentre i modelli diventano sempre più bravi.
Table of Contents:
- Intro e format “low level” + interazione con la chat
- Spank: sculacciare il MacBook e parlare con IOKit low level
- Project Glasswing / “Mythos”: AI per trovare vulnerabilità nel codice
- Bug nello stack TCP dopo 27 anni e altri finding (FFmpeg, ecc.)
- Perché nel progetto ci sono big tech e non aziende “pure” da pentest
- Costi di inference/agent run: il vero “pay to play” dell’AI offensiva
- Code review vs pentest dinamico: cosa cambia davvero (e cosa no)
- “Non studio più security?”: perché capire il low level conta ancora di più
- Linus Torvalds, Rust/memory safety e l’idea di usare AI per scrivere C “safe”
- DLSS 5: cos’è e perché La7 finisce per bloccare (anche) il trailer Nvidia
- Meta e Google condannate: design che crea dipendenza (Instagram/YouTube)
- BankID/ID verification: cresce, corre, ignora, viene breachata
- LinkedIn e il tracciamento delle estensioni (fingerprinting e GDPR)
- Mistral: 830M$ per un data center AI in Francia (sovranità europea?)
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
👇 Seguici anche qui:
💬 LinkedIn: linkedin.com/company/rev3rse
📸 Instagram: @rev3rsesecurity
🔔 Iscriviti per altri approfondimenti su cybersecurity, AI automation e incident analysis.
=[ Powered by ]=
SicuraNext – https://sicuranext.com/
In questa puntata del Seemposium, Andrea e Omar ospitano Francesco Marino: giornalista, digital strategist e fondatore di Pillole di Futuro Presente. Una conversazione che parte da una domanda apparentemente innocua — perché non balliamo più come negli anni '90? — e arriva dritta al cuore di come i social network, l'intelligenza artificiale e la guerra cognitiva stanno ridisegnando la società, il giornalismo e la geopolitica.
Si parte dal panoptic content e dalla sindrome del protagonista: ogni momento della nostra vita è potenzialmente un contenuto virale, e questo ha cambiato in modo profondo come ci muoviamo, viviamo e pensiamo. Da lì è inevitabile arrivare a TikTok come innovazione non solo di formato ma di potere, all'overtourism come tragedia dei beni comuni digitali, e alla guerra cognitiva come caos per accumulo — non disinformazione, ma saturazione deliberata.
Francesco Marino smonta molte semplificazioni: dall'idea che vietare i social agli under 16 risolva qualcosa, alla narrativa dei "buoni di Anthropic" contro i "cattivi di OpenAI", fino all'illusione che l'Europa possa giocare ancora il ruolo di arbitro del mondo digitale in un'era in cui il diritto internazionale è diventato facoltativo.
Un episodio che non cerca di rassicurare. Cerca di far capire.
🔍 Temi affrontati nella puntata
- Panoptic content: perché non balliamo più come negli anni '90
- TikTok e la promessa del "chiunque può diventare influencer"
- Overtourism e la collisione tra spazio digitale e spazio fisico
- Guerra cognitiva: nascondere le cose in piena vista con il caos informativo
- Attenzione come risorsa strategica — e chi la controlla
- EPAM files e la disinformazione per accumulo
- Ban dei social per i minori: perché non basta e cosa manca
- Anthropic vs OpenAI: wrestling, marketing e miliardi in perdita
- Claude in Iran e Venezuela: il chatbot etico che bombardava obiettivi in tempo reale
- Il Pentagono, la nazionalizzazione dell'AI e il contratto da 200 milioni
- Silicon Valley di destra: Trump, Musk e il regime di codipendenza
- Europa: ritardo cronico, crisi di identità e il miraggio della sovranità digitale
- Mistral, OVH e perché le alternative girano su infrastrutture americane
- Il futuro del giornalismo indipendente tra newsletter e frammentazione
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
In questa puntata Andrea e Gabriele parlano di quando l’open source ti sorride e poi ti ruba le credenziali: LightLLM finisce in mezzo a un supply chain attack con release malevole su PyPI e un trucchetto Python (i file .PTH) che parte all’avvio senza nemmeno importare niente. Poi si va dal “banniamo i router esteri” made in USA all’ironia delle backdoor “di origine controllata”, passando per PA europee che provano a mollare il lock-in dei formati. E sì: anche Strava riesce ancora a fare OSINT militare gratis.
Table of Contents:
- Robot che consegnano la spesa e futuro imbarazzante “low level”
- Cos’è LightLLM: AI gateway/proxy per più provider LLM
- Release malevola su PyPI: versioni 1.8.28/1.8.27 e impatto
- File .PTH in Python: esecuzione automatica e stealth payload
- Credential stealer “su misura”: AWS/Azure/K8s secrets e config
- Possibile takeover account/pipeline: segnali dal thread e maintainer sparito
- Caso Trivy/Aqua Security: GitHub Actions checkout backdoor e fallout
- Mitigazioni realistiche: pinning, auditing (che “non fa nessuno”) e isolamento runner
- FCC/USA e router esteri: covered list, supply chain hardware e ironia Cisco/NSA
- Chain of trust hardware: secure enclave/TPM/attestation e produzione globale
- Germania e ODF nella PA: strategia “Germany stack” anti lock-in
- Cloud provider europei vs hyperscaler: OVH, Infomaniac, Aruba & co.
- Strava e OPSEC: corsa su portaerei e leak della posizione nel Mediterraneo
- Chat Control: stop alla deroga sul “voluntary scanning” e tema falsi positivi
- Age/Identity verification e rischi: quando il controllo si sposta sul device
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
👇 Seguici anche qui:
💬 LinkedIn: linkedin.com/company/rev3rse
📸 Instagram: @rev3rsesecurity
🔔 Iscriviti per altri approfondimenti su cybersecurity, AI automation e incident analysis.
=[ Powered by ]=
SicuraNext – https://sicuranext.com/
37 dipendenti Investcloud sostituiti da agenti IA. La vera sfida è trovare informazioni precise in questo scenario in evoluzione. #IntelligenzaArtificiale #Investcloud #Automazione #Lavoro
Un grave errore di sicurezza ha lasciato il pannello admin accessibile a chiunque, esponendo dati sensibili degli utenti. La fretta nello sviluppo ha compromesso la protezione. #BrokenAccessControl #CyberSecurity #Vulnerability #DataBreach #AdminPanel
In questa puntata Andrea e Gabriele partono dal paradosso dell’age verification che finisce scaricata sui sistemi operativi (sì, anche Linux) e da lì si va a valanga: open source messo alle corde da leggi scritte male, e soluzioni "creative" tipo geoblocking e licenze anti-California. Poi si passa al caso Baudr: social “vibe-coded” finito subito nei guai con un pannello /admin aperto e dati utenti in chiaro… e la solita domanda: l’AI abbassa la barriera del codice, ma chi si prende la responsabilità del software? Nel mezzo: Nvidia che punta a ricavi folli, licenziamenti “per colpa dell’AI”, repo GitHub dual-use da brividi, biocomputing che gioca (male) a Doom e il ritorno di curl su HackerOne.
Table of Contents:
- Age verification: quando i regolatori la scaricano su OS e open source
- “Brasile banna Linux”: geofencing, licenze modificate e caos normativo
- Secure Boot/attestation come rischio “policy-driven”
- Bowder (Gr0w): social vibe-coded e pannello /admin senza auth
- Termini “a tuo rischio e pericolo” vs GDPR/DSA: implicazioni legali reali
- Vibe coding: codice facile, software difficile (e responsabilità non delegabile)
- Nvidia: verso 1000 miliardi di ricavi e la trasformazione totale in AI-company
- DLSS e gaming: frame generation, resa artistica e “boomer reaction”
- InvestCloud Marghera: 37 licenziamenti e narrativa “sostituiti dall’AI”
- Giornalismo che chiede a Gemini opinioni: perché è un non-senso
- GitHub e dual-use: repo con razzo guidato low-cost (ESP32 + 3D print)
- Cortical Labs CL1: neuroni umani che giocano a Doom e incubo security
- Meta e fine dell’E2E su Instagram (dal 2026): privacy vs moderazione
- DNS over HTTPS/TLS e monitoring: trade-off e dipendenze ricorsive
- curl torna su HackerOne: bug bounty, triage e “slop” nelle segnalazioni
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
👇 Seguici anche qui:
💬 LinkedIn: linkedin.com/company/rev3rse
📸 Instagram: @rev3rsesecurity
🔔 Iscriviti per altri approfondimenti su cybersecurity, AI automation e incident analysis.
=[ Powered by ]=
SicuraNext – https://sicuranext.com/
Europol ha disarticolato la piattaforma di phishing "Tycon", responsabile di oltre il 60% degli attacchi globali. Specializzata nel furto d'identità tramite l'intercettazione di cookie di sessione in tempo reale. #Europol #Phishing #Cybersecurity #FurtoIdentità #Tycon
Sorprendente confronto sul consumo idrico: i golf club utilizzano ancora più acqua dei data center. Una prospettiva inaspettata sulla gestione delle risorse. #ConsumoIdrico #Golf #DataCenter #Sostenibilità #Ambiente
In questa puntata Andrea e Gabriele, con Claudio, parlano di come il cybercrime stia diventando sempre più “as-a-service”: dal mega takedown di Tycoon 2FA (phishing che ruba session cookie in real time e aggira la multifactor) fino al caso Paragon/Graphite e allo spyware su iPhone. Poi si passa all’AI: report di Anthropic sul lavoro (meno apocalisse, più gap tra teoria e pratica), costi reali, “brain rot” nei C-level e cosa significa per junior dev e aziende che vogliono farsi guidare da agent.
Table of Contents:
- Fake news “data center vs golf club”: chi consuma davvero più acqua?
- Tycoon 2FA: cos’è e perché contava una fetta enorme del phishing globale
- MFA bypass via proxy + furto cookie di sessione in real time
- Differenze con Evilginx: modello “SaaS” plug-and-play e scala “corporate”
- Operazione Europol: takedown e collaborazione pubblico-privato
- Spyware Paragon/Graphite: conferme Citizen Lab sul caso Cancellato
- iPhone, iMessage/image processing e perché il CVSS spesso racconta poco
- Timeline e ipotesi: cosa implica l’infezione nella notte del 14 dicembre
- Report Anthropic: impatto reale dell’AI sul lavoro vs capacità “teoriche”
- Regulations e freni pratici (esempio: sanità) vs hype da “licenziamenti subito”
- Restructuring e rischi operativi (team ridotti + agent in produzione)
- Costi dell’AI: inferenza vs capex/hardware e sostenibilità delle subscription
- “C-level AI brain rot”: decisioni strategiche delegate al modello
- Junior dev e formazione: barriere all’ingresso, aziende e fuga dai corsi
- Claude su Firefox: 100+ vuln trovate e perché exploitare costa molto di più
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
👇 Seguici anche qui:
💬 LinkedIn: linkedin.com/company/rev3rse
📸 Instagram: @rev3rsesecurity
🔔 Iscriviti per altri approfondimenti su cybersecurity, AI automation e incident analysis.
=[ Powered by ]=
SicuraNext – https://sicuranext.com/
In questa puntata Andrea e Gabriele si fanno due domande scomode: quando un’infrastruttura “neutrale” come Cloudflare può (o deve) bloccare qualcosa, e quanto danno collaterale siamo disposti ad accettare per la guerra alla pirateria. Poi si passa al delirio AI: Microsoft che banna “microslop” su Discord e scopre l’effetto Streisand, il Pentagono che vuole Claude senza guardrail, e gli smart glasses Meta che ti vendono magia… ma dietro hanno anche review umane dei contenuti. Chiusura con un bel salto nel passato: TikTok che dice “no” all’end-to-end nei DM perché “vi rende più sicuri”.
Table of Contents:
- Spagna vs Cloudflare: blocchi antipirateria e tribunale a Madrid
- Infrastrutture “neutrali” vs enforcement: il precedente Kiwi Farms
- Normative anti-pirateria fuori tempo massimo e danni collaterali (IP condivisi)
- Il paradosso: blocchi che impattano servizi pubblici e siti legittimi
- Microsoft Copilot Discord: nasce “microslop” e parte l’effetto Streisand
- Bot, word-ban e bypass (zero, caratteri cirillici) sul server Microsoft
- Rumor su Windows e feature a pagamento + promesse di fix performance
- Pentagono vs Anthropic: richiesta di accesso “senza limiti” e guardrail AI
- OpenAI subentra: contratti, industria e uso militare dell’AI
- GitHub Actions sotto attacco: misconfig, PAT rubati e compromissioni
- “Hacker bot” autonomi e confusione mediatica su cosa sia davvero supply chain
- Meta Ray-Ban smart glasses: dati che finiscono anche a revisione umana
- Rischi privacy reali: camera da letto, bagno, documenti e carte di credito
- TikTok e messaggi: niente E2E encryption nei DM ("li legge solo personale autorizzato")
- Perché senza basi non si fa security (né cloud né AI): il take finale
=[ SOCIAL ]=
- Instagram: @sicuranext
- Telegram: https://t.me/rev3rsesecurity (trova il modo di entrare)
👇 Seguici anche qui:
💬 LinkedIn: linkedin.com/company/rev3rse
📸 Instagram: @rev3rsesecurity
🔔 Iscriviti per altri approfondimenti su cybersecurity, AI automation e incident analysis.
=[ Powered by ]=
SicuraNext – https://sicuranext.com/
Accedi
