IBM rileva che il 92% delle aziende con violazioni AI non aveva controlli di accesso di base

Contesto

Il Cost of a Data Breach Report 2026 di IBM, basato su una ricerca del Ponemon Institute condotta su 602 aziende, ha evidenziato significative carenze nella sicurezza dei sistemi di intelligenza artificiale. Quasi la totalità delle aziende (92%) che ha subito un incidente di sicurezza legato all'AI non disponeva di adeguati controlli di accesso per i propri sistemi AI.
Il problema raramente risiede nel modello AI stesso. Circa un quinto delle aziende colpite ha registrato il punto di ingresso attraverso un'API compromessa, un'applicazione connessa o un servizio cloud mal configurato. La natura del modello, che sia open-source o proprietario, non ha mostrato differenze significative in termini di sicurezza.
IBM attribuisce queste lacune a sviste basilari che non richiedono attaccanti sofisticati per essere sfruttate. Gli incidenti che coinvolgono sistemi di intelligenza artificiale hanno comportato un costo medio di $5.33 milioni, rispetto ai $4.70 milioni per quelli senza una componente AI. La media globale per tutte le violazioni di dati è aumentata del 12%, raggiungendo i $4.99 milioni. Quando gli attaccanti stessi hanno utilizzato l'AI, i costi sono saliti a $6.04 milioni; senza l'uso dell'AI da parte degli attaccanti, i costi si sono attestati a $5.03 milioni.

Perché conta

Le violazioni della sicurezza che coinvolgono sistemi di intelligenza artificiale comportano un costo medio di $5.33 milioni per le aziende, superando significativamente le violazioni non-AI. La buona notizia è che il 92% di questi incidenti è dovuto a carenze nei controlli di accesso di base, non ad attacchi complessi. Per la tua organizzazione, questo significa che la maggior parte dei rischi può essere mitigata con una gestione più attenta delle autorizzazioni e delle configurazioni. Sei sicuro che i tuoi sistemi AI e i servizi ad essi collegati non abbiano queste vulnerabilità fondamentali?

Cosa fare

• Implementare controlli di accesso granulari e robusti per tutti i sistemi AI.
• Verificare e configurare correttamente API e applicazioni connesse ai sistemi AI.
• Rivedere la configurazione di tutti i servizi cloud utilizzati per l'AI.
• Eseguire audit regolari per identificare e correggere sviste di sicurezza di base.

Cosa evitare

• Evitare di trascurare i controlli di accesso basilari per i sistemi AI.
• Non sottovalutare i rischi provenienti da API compromesse o applicazioni mal configurate.
• Non assumere che il tipo di modello AI (open-source o proprietario) influenzi intrinsecamente il livello di sicurezza.
• Non concentrarsi solo sulla sicurezza del modello AI ignorando l'infrastruttura di supporto.

Implicazioni pratiche

Le organizzazioni che adottano l'intelligenza artificiale sono esposte a maggiori rischi finanziari in caso di violazione se non implementano controlli di sicurezza fondamentali. La ricerca IBM evidenzia che la maggior parte delle vulnerabilità non dipende dalla complessità del modello AI o dall'abilità degli attaccanti, ma da carenze basilari facilmente prevenibili nella gestione delle autorizzazioni e delle configurazioni. Questo rende ogni organizzazione con sistemi AI un potenziale bersaglio se non si occupa delle fondamenta della sicurezza, con costi medi di milioni di dollari per incidente.

Errori da evitare

• Non ignorare le configurazioni di sicurezza predefinite o i permessi eccessivi sui sistemi AI.
• Non rimandare la revisione periodica della sicurezza dei sistemi AI, comprese le infrastrutture e i servizi correlati.
• Non concentrarsi unicamente sulla sicurezza del modello AI trascurando l'intero ecosistema di supporto.

Domande di self-assessment

• Abbiamo controlli di accesso granulari e aggiornati per tutti i nostri sistemi e dati AI?
• Le nostre API e applicazioni connesse all'AI sono state sottoposte a valutazioni di sicurezza recenti e approfondite?
• Il nostro personale è consapevole dei rischi di sicurezza specifici legati all'AI e alle configurazioni errate?
• Come si confrontano i nostri investimenti in sicurezza AI con i potenziali costi di una violazione da milioni di dollari?