L’intelligenza artificiale sta cambiando il modo in cui le aziende sviluppano, utilizzano e proteggono web application e API. Non si tratta più soltanto di aggiungere nuove funzionalità ai processi digitali, ma di ripensare il comportamento stesso degli ambienti applicativi, che diventano sempre più dinamici, automatizzati e interconnessi. E, proprio per questo, più complessi da governare.
Secondo il 2026 Web Application Security Report – The AI Readiness Gap, realizzato da Cybersecurity Insiders con il supporto di Fortinet, questa trasformazione sta mettendo in evidenza un divario sempre più netto tra la velocità con cui le aziende adottano l’AI e la loro reale capacità di proteggere ciò che questa evoluzione porta con sé. Il dato è significativo: solo il 29% delle aziende dichiara alta fiducia nella propria postura di application security. Quando si parla di web application e API integrate con GenAI o LLM, la percentuale scende al 15%. Di fronte ad attacchi generati o accelerati dall’intelligenza artificiale, arriva appena al 12%.
Il punto è che l’AI accelera tutto. Accelera lo sviluppo, rende più veloci le automazioni, aumenta le interazioni tra sistemi. Allo stesso tempo, amplia la superficie esposta e offre anche agli attaccanti nuovi strumenti per muoversi in modo più rapido, adattivo e difficile da intercettare.
Le architetture di sicurezza nate per ambienti più statici si trovano così a proteggere ecosistemi applicativi che cambiano continuamente. Le applicazioni dialogano con servizi cloud, piattaforme esterne, ambienti SaaS, sistemi aziendali e partner. In questo scenario, le API diventano il punto di connessione tra dati, processi e servizi digitali. Quando poi entrano in gioco componenti basate su AI, questa rete si estende ulteriormente e diventa ancora meno prevedibile.
Le API sono il punto di massima esposizione
Tra gli aspetti più critici evidenziati dal report, le API occupano un ruolo centrale. Sono considerate la categoria applicativa a più alto rischio dal 67% degli intervistati e, allo stesso tempo, rappresentano il principale gap di visibilità per il 53%. In pratica, ciò che oggi preoccupa di più le aziende è anche ciò che spesso riescono a vedere e controllare meno.
Il report sottolinea infatti che solo il 13% delle organizzazioni dichiara alta fiducia nella propria capacità di conoscere tutte le applicazioni e API effettivamente in uso. È un dato centrale, perché la protezione parte sempre dalla visibilità. Se un’API non è inventariata, non può essere classificata, monitorata, protetta o dismessa nel modo corretto. E ciò che non viene visto dal team di sicurezza può trasformarsi in una porta d’ingresso per l’attaccante.
Una parte significativa del rischio nasce proprio qui, nelle aree meno presidiate della superficie applicativa. Non sempre le API in uso sono note, documentate o monitorate. Alcune nascono per esigenze temporanee e restano attive più del previsto. Altre vengono create in fase di test, integrate in un progetto specifico o collegate a servizi esterni senza rientrare pienamente nei processi di governance.
Con l’AI, questo scenario si complica ulteriormente. Le applicazioni intelligenti e i workflow automatizzati possono generare nuove dipendenze e nuovi flussi difficili da intercettare con strumenti pensati per ambienti più tradizionali. E lo stesso vale sul fronte offensivo: gli attaccanti possono sfruttare l’intelligenza artificiale per cercare punti deboli con maggiore velocità, adattare le proprie tecniche al comportamento dell’applicazione e rendere meno riconoscibili attività che, a prima vista, possono sembrare legittime.
Non sorprende, quindi, che secondo il report il 74% delle organizzazioni abbia osservato un aumento degli attacchi AI-generated o AI-assisted negli ultimi dodici mesi. I rischi che crescono più rapidamente confermano questa direzione: al primo posto ci sono gli attacchi generati o accelerati dall’AI (55%), seguiti dalle API shadow o non documentate e dalle vulnerabilità introdotte dall’integrazione dell’AI nelle applicazioni.
Il rischio aumenta quando la sicurezza delle API viene fatta coincidere solo con l’autenticazione. Controllare chi accede resta fondamentale, ma non basta più. Un utente può presentarsi con credenziali valide, o con un token apparentemente legittimo, e muoversi comunque in modo anomalo all’interno dell’applicazione. Può accedere a più dati del previsto, modificare parametri, sfruttare logiche applicative deboli o usare un flusso corretto per finalità completamente diverse da quelle attese.
Per questo la protezione deve andare oltre la semplice domanda: “chi sta chiamando questa API?”. Oggi serve capire anche come quella chiamata si comporta, se è coerente con il contesto, se rientra in uno schema normale o se nasconde un tentativo di abuso. È questo il salto necessario dell’API Protection: passare dal controllo dell’accesso alla comprensione del comportamento.
Web Application Security: il tempo è diventato una variabile critica
La velocità degli attacchi si scontra con una realtà ancora troppo lenta sul fronte difensivo. Secondo il report, il 53% delle aziende ha subito una violazione legata a web application o API negli ultimi dodici mesi. Solo il 20% rileva una violazione entro poche ore, mentre il 54% impiega una settimana o più. I tempi di remediation sono ancora più critici: il 68% impiega più di un giorno a contenere l’incidente e il 39% richiede un mese o più.
Questo dato evidenzia uno dei punti più delicati per le aziende: la distanza tra compromissione, rilevamento e contenimento. In un ambiente in cui gli attaccanti possono muoversi rapidamente tra identità, API, servizi e dati, ogni ora di permanenza aumenta il potenziale impatto dell’incidente.
Il problema non è solo tecnologico. Spesso i segnali necessari per comprendere un attacco sono distribuiti tra sistemi diversi e vengono analizzati in modo separato. La conseguenza è che la correlazione diventa lenta, manuale e dipendente da passaggi successivi. E quando la correlazione è lenta, l’attaccante guadagna tempo.
Per ridurre questa finestra di esposizione servono workflow più integrati, detection più contestuale e capacità di risposta automatizzate. La sicurezza non può più basarsi solo su ticket, passaggi sequenziali e analisi manuali: deve essere in grado di agire alla stessa velocità con cui si muove la minaccia.
Il ruolo di Longwave: visibilità, integrazione e gestione continua
Per le aziende, la vera sfida non è aggiungere un nuovo strumento alla propria architettura di sicurezza. È costruire una strategia capace di restituire controllo su una superficie applicativa che cambia di continuo e che spesso cresce più velocemente dei processi pensati per governarla.
Il punto di partenza è la visibilità. Prima di proteggere applicazioni e API, bisogna capire quali sono realmente esposte, come comunicano tra loro, quali dati trattano e dove si concentrano le aree di rischio. È in questa fase che possono emergere elementi non pienamente presidiati, come API non documentate, configurazioni deboli, integrazioni rimaste attive oltre la loro funzione originaria o flussi di autenticazione non analizzati con sufficiente profondità.
Longwave supporta le aziende proprio in questo percorso: dalla lettura iniziale dell’esposizione fino alla definizione di un modello di protezione più integrato e governabile nel tempo. L’obiettivo non è introdurre controlli isolati, ma costruire un disegno coerente in cui protezione applicativa, API security, mitigazione degli attacchi automatizzati, rilevamento delle anomalie e risposta agli incidenti lavorino come parti dello stesso ecosistema.
La protezione delle applicazioni web e delle API non può più essere trattata come un layer separato della cybersecurity, ma come un elemento centrale della resilienza digitale. Perché è proprio lì, nel punto in cui dati, processi e servizi digitali si incontrano, che oggi si gioca una parte sempre più importante della sicurezza aziendale.
Fonte: fortinet.com
