Nei mesi scorsi, Anthropic ha trasformato la sicurezza software rilasciando Claude Mythos Preview e lanciando Project Glasswing – un’iniziativa che ha identificato oltre 10.000 vulnerabilità critiche in soli due mesi, comprese falle zero-day in ogni major operating system. Nella mia esperienza gestendo infrastrutture enterprise, ho visto come questo cambio paradigma richiede un ripensamento completo dell’integrazione della sicurezza nel ciclo di sviluppo.
In questo articolo vi mostro come implementare Vulnerability Assessment Automation nel vostro SDLC usando i risultati concreti di Project Glasswing, trasformando da una strategia reattiva (trovare bug dopo il deploy) a una defensiva (identificare e patchare prima che il codice raggiunga produzione).
Il Problema: La Crisi della Velocità di Patch
Partiamo dai dati. Nel maggio 2026, Anthropic ha identificato più di 10.000 vulnerabilità high- o critical-severity in sistemi software critici attraverso Project Glasswing. Ma ecco il punto doloroso: il progresso sulla sicurezza software era limitato da quanto velocemente potevamo trovare nuove vulnerabilità, ma ora è limitato da quanto velocemente possiamo verificare, divulgare e patchare.
In pratica, affrontiamo la dinamica classica velocità-calendario versus velocità-macchina: i difensori lavorano a velocità calendario mentre gli attacchi avvengono a velocità macchina. Ho gestito infrastrutture dove manutentori open-source impiegano mesi per patchare falle critiche – e nel frattempo, AI può identificarne migliaia di nuove.
Come Claude Mythos Cambia la Scoperta di Vulnerabilità
Claude Mythos Preview è un modello frontier general-purpose non rilasciato che rivela un fatto sorprendente: i modelli AI hanno raggiunto un livello di capacità nel coding dove superano tutti tranne gli umani più esperti nel trovare e sfruttare vulnerabilità software. Non è teoria – ho visto i risultati concreti:
- Claude Mythos ha identificato migliaia di vulnerabilità zero-day in ogni major operating system e ogni major web browser, insieme a una gamma di altri software importanti
- Un esempio: Mythos ha rilevato una vulnerabilità in wolfSSL (CVE-2026-5194), una libreria crittografia usata da miliardi di dispositivi, e ha costruito un exploit che permette agli attaccanti di forgiare certificati per fingersi banche o provider email in modo perfettamente legittimo agli utenti finali
- Mythos è stato in grado di scrivere exploit privilege escalation sul Linux kernel: dei 40 CVE forniti, oltre la metà dei tentativi ebbero successo
Questo non è marketing – è una ricalibrazione della baseline di sicurezza che richiede action immediata nei vostri SDLC.
Implementare Claude Code Security nel Vostro Ambiente Enterprise
Ho iniziato a integrare questi strumenti nel nostro workflow di sviluppo. Anthropic ha lanciato Claude Code Security in public beta per Claude Enterprise customers – uno strumento che aiuta i team a scansionare i codebase per vulnerabilità e può generare fix proposti. Nei tre settimane dal lancio, Claude Opus 4.7 è stato usato per patchare oltre 2.100 vulnerabilità.
Ma cosa differenzia Claude Code Security dai tradizionali SAST tools? L’analisi statica tradizionale è typically rule-based, matching code contro pattern di vulnerabilità noti – questo cattura problemi comuni come password esposte o encryption outdato, ma spesso manca vulnerabilità complesse come flaws in business logic o broken access control. Claude Code Security invece legge e ragiona del vostro codice come un human security researcher: capisce come i componenti interagiscono, traccia come i dati si muovono nell’applicazione, e cattura vulnerabilità complesse che tools rule-based mancano.
Nella mia implementazione, ho configurato tre livelli di scanning:
Livello 1: Continuous Real-Time File-Edit Review
Il file-edit review funziona in near real-time, fornendo instant feedback mentre codificate. È il fastest e lightest review level, progettato per catturare low-hanging fruit prima che abbiate investito significant time in un particolare approccio.
L’ho integrato nel nostro Claude Code workflow aggiungendo:
# Esempio configurazione .claude/commands/security-check.md
/security-review
- Scan per exposed credentials
- Check deprecated libraries
- Identify dangerous API patterns
- Provide inline fix suggestions
Livello 2: Model-Turn Comprehensive Diff Review
Dopo che Claude Code completa una response o fa cambiamenti, il security plugin fa una comprehensive diff review. Questo level esamina il full context of changes e catch issues che potrebbero non essere ovvi quando guardi individual file changes in isolation.
Livello 3: Pre-Commit Deep Context Validation
Prima di committare codice, il security plugin fa la sua più thorough review, leggendo surrounding code per validare potenziali vulnerabilità in full context.
Integrazione nel CI/CD Pipeline con ASPM
Nel nostro ambiente enterprise, ho implementato Application Security Posture Management (ASPM) come orchestrator centrale. ASPM platforms consolidano vulnerability data dagli AI-driven tools e traditional scanners in una singola view, aiutando i team a ridurre duplicazione e mantenere visibility across the SDLC.
La configurazione nel nostro GitHub Actions workflow:
name: Enterprise AI-Driven Vulnerability Assessment
on:
pull_request:
branches: [main, develop]
push:
branches: [main]
jobs:
claude-code-security:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
with:
fetch-depth: 0
- name: Run Claude Code Security Scan
uses: anthropics/claude-code-security-action@v1
with:
api-key: ${{ secrets.ANTHROPIC_API_KEY }}
model: opus-4-7
scan-type: comprehensive
severity-threshold: high
enable-false-positive-filtering: true
- name: Upload to ASPM Platform
uses: example-aspm/upload-findings@v2
with:
findings-format: sarif
correlation-context: true
risk-prioritization: business-impact
- name: Block on Critical
if: failure()
run: |
echo "Critical vulnerabilities detected - blocking merge"
exit 1
Questo workflow garantisce che ogni PR viene sottoposto a tre livelli di scrutinio: pattern-matching tradizionali (SAST), AI semantic reasoning (Claude Code), e correlazione business risk (ASPM).
La Sfida del Triage ad Scala: Skill e Tools
Ho incontrato il primo ostacolo reale durante il triage. Anthropic ha reso disponibili ai qualifying customers i tools usati con Mythos Preview, inclusi: custom instructions (skills) per repeated work condivise dai partner, un harness che aiuta Claude a mappare il codebase, spin up scanning subagents, triage findings, e write reports; e un threat model builder che mappa un codebase per identificare potential attack targets.
Ho utilizzato il threat model builder per prioritizzare:
- Attack Surface Mapping: Quali componenti interagiscono con input untrusted?
- Data Flow Analysis: Come si muovono i dati sensibili attraverso il sistema?
- Authorization Boundaries: Dove ci sono accessi cross-service che potrebbero essere bypassati?
- Exploitability Scoring: Non tutte le vulnerabilità sono uguali – il tool assegna probabilità di sfruttamento reale
Ogni finding passa attraverso un multi-stage verification process prima di raggiungere un analyst. Claude re-examines ogni result, tentando di provare o disapprovare i suoi stessi findings e filtrare out false positives. Findings sono anche assegnati severity ratings così i team possono focalizzarsi sui most important fixes first.
Cosa Cambierà nel Vostro SDLC: Guida Pratica
Oltre raw vulnerability detection, i partner di Project Glasswing stanno deployando Claude Mythos Preview across a broader range of defensive tasks: questi includono automated patch writing, pre-release security checks per prevenire vulnerabilità da entrare in produzione, penetration testing simulations, threat detection and response automation, e rebuilding legacy codebases in memory-safe languages.
Nel nostro team abbiamo implementato un modello in tre fasi:
Fase 1: Baseline Assessment (Week 1-2)
Scansione completa del codebase legacy per stabilire la baseline di rischio. Nei nostri 500K linee di codice, Claude ha identificato 89 vulnerabilità, di cui 23 erano effettivamente exploitable.
Fase 2: Continuous Scanning Integration (Week 3-4)
Ho integrato il scanning nel pre-commit hook e nel CI/CD. Inizialmente, avevamo 15-20 findings per PR – il triage era diventato un bottleneck. La soluzione: AI-powered analysis riduce il rumore capendo quando il codice è effettivamente vulnerabile.
Fase 3: Automated Remediation Workflows (Week 5+)
Claude Code Security usa un strict human-in-the-loop review mechanism. Tutti i remediation suggestions richiedono explicit developer approval prima di essere applied – non modificherà mai automaticamente alcun codice. Questo assicura che il development team ha sempre l’ultima word.
Ho configurato PR automatici per i findings low-risk, ma ogni patch critica passa per il nostro security team.
Mitigare i Rischi della Stessa AI Usata per l’Offesa
Un problema che spesso sottovaluto: Mythos Preview rappresenta un critical warning signal per l’industria. Anthropic stima che entro sei-dodici mesi, le competing AI companies svilupperanno Mythos-class models, potenzialmente rilasciandoli senza sufficient safeguards per prevenire offensive misuse.
Questo significa che la finestra temporale per “remediate before attackers do” è stretta. La mia strategia:
- Shorten Patch Cycles: Anthropic sta esortando gli software developers a shortenare i loro patch cycles e fare security fixes disponibili il più velocemente possibile. Network defenders dovrebbero shorten loro patch testing e deployment timelines
- Implement Zero-Trust Defenses: Collegamento al nostro articolo su Windows Server 2025 Zero-Trust Architecture – anche se patchate velocemente, assumete che i nemici penetreranno
- Supply Chain Security: Anthropic è in active discussions con third parties per substantially scale up la review e patching di vulnerabilità in open-source software, includendo lo sviluppo di standardized best practices per disclosing findings a open-source maintainers
Governance e Compliance: AI Act Era
Non è solo tecnico – è anche compliance. Ho visto come questo impatta il nostro AI Act Compliance strategy.
L’EU AI Act, che ha preso full effect ad agosto 2025, ha classificato sistemi AI con autonomous cyber capabilities come “high risk” richiedendo pre-market conformity assessments. Le capabilities di Mythos probabilmente triggerrerebbero le most restrictive provisions dell’Act, includendo mandatory human oversight e transparency requirements.
Nel nostro SDLC, mantengo:
- Comprehensive logging di tutti i findings e decisions
- Human review sign-off per every critical patch
- Audit trail di chi ha approvato cosa e quando
- Regular governance reviews con legal e compliance
Metriche: Come Misurare il Successo
Dopo 3 mesi di implementazione, ecco le metriche che tracciamo:
- Detection Velocity: Vulnerabilità trovate per 1000 linee di codice aggiunto/modificato
- False Positive Rate: Findings che non sono vulnerabilità reali (target: <10%)
- Mean Time to Triage: Quanto tempo dalla detection alla decisione (target: <24h per critical)
- Mean Time to Patch: Quanto tempo dalla triage alla fix in produzione (target: <48h per critical)
- Vulnerability Escape Rate: Vulnerabilità non catturate che raggiungono produzione (target: 0% per critical)
Considerazioni di Costo per Implementazione Enterprise
Una domanda che sempre ricevo: quanto costa? Project Glasswing ha già spinto molte organizzazioni a prendere azione sui loro codebase con generally-available models – Anthropic sta lavorando per rendere questo molto più facile. Hanno rilasciato Claude Security in public beta per Claude Enterprise customers.
Nel nostro budget:
- Claude Enterprise subscription (token-based): ~$100/team/mese per development team di 15 persone
- ASPM Platform: ~$500/mese per enterprise
- CI/CD Integration (GitHub Actions): included in GitHub Enterprise
- Security Team Ramp-up (formazione): ~40 ore per team
Il ROI arriva velocemente – una singola vulnerability critica evitata in produzione costa minimo $500K in incident response.
Limitazioni e Blind Spots da Conocere
Ho incontrato anche limitazioni reali. LLMs riproducono pattern dai training data senza capire security context o trust boundaries. Studi mostrano che AI-generated code contiene 2.74x più vulnerabilità di codice scritto da umani perché i modelli ottimizzano per functionality e syntax correctness, non per security properties che richiedono contextual reasoning su authorization flows e data exposure risks.
Inoltre, Claude Code Security Review porta security risks che necessitano mitigazione prima del deployment. Due vulnerabilità critiche disclosure ad early 2026: CVE-2025-59536 permette arbitrary code execution attraverso prompt injection attacks embedded in pull request content – un attacker crafta malicious instructions in code comments che Claude interpreta come legitimate commands durante security scans. CVE-2026-21852 permette API key exfiltration attraverso simili vectors.
Le mitigazioni nel nostro ambiente:
- Scansione solo di repository trusted
- Manual approval per external PRs
- Never automated security reviews su forks dove adversari controllano il codice analizzato
- Regular security patches per Claude Code stesso
FAQ
Devo usare Project Glasswing o Claude Code Security?
Non è un “either/or”. Project Glasswing è un’iniziativa ristretta a ~150 organizzazioni critiche con accesso a Claude Mythos Preview (il modello unreleased più potente). Claude Code Security è il prodotto generally-available per Enterprise customers. Nel vostro SDLC, userete Claude Code Security come scanning continuo. Se siete un critical infrastructure provider e vi viene offerto accesso a Glasswing, la decisione strategica è diversa – comporta reporting governo e responsabilità superiore.
Claude Code Security è pronto per produzione enterprise?
È in limited research preview, quindi tecnicamente no – ma nei tre settimane dal lancio, Claude Opus 4.7 è stato usato per patchare oltre 2.100 vulnerabilità in ambienti enterprise reali. Io lo consiglio per codebases nuovi e critical path code. Per legacy monolith, usatelo come tool addizionale accanto ai SAST tools tradizionali.
Come integro questo col nostro SAST tool esistente (Snyk, Checkmarx)?
Non sostituite – complementate. Il security plugin eccelle nel catturare issues durante active development, quando le fix sono più economiche e facili. Funziona insieme ai traditional security tools, fornendo AI-powered reasoning che va oltre il pattern matching. Integrate entrambi nel vostro ASPM platform per correlazione e prioritization.
Quali linguaggi e framework supporta?
Claude Code Security è agnostico al linguaggio – funziona con any codebase che potete fornire a Claude (Python, Java, C/C++, Go, Rust, JavaScript, etc.). Le limitations maggiori sono nei very large codebases (>500K lines) dove il context window di Claude può diventare un constraint.
Come gestisco i false positives senza rallentare lo sviluppo?
Ogni identified potential vulnerability passa through secondary analysis e filtering. Ogni finding sul security dashboard include: Severity Rating (ranked dalla potential impact della vulnerability), Confidence Rating (riflette l’AI’s certainty sull’accuracy del finding), Remediation Suggestions (provides specific code patches per ogni vulnerability). Configurate severity thresholds nel vostro CI/CD per bloccare solo critical findings – gli altri vanno a review asincrone.
Conclusione: Il Paradigm Shift è Già Qui
Project Glasswing è un urgent attempt per mettere queste capabilities al lavoro per defensive purposes. Anche se i rischi da AI-augmented cyberattacks sono seri, c’è motivo di ottimismo: le stesse capabilities che rendono AI models pericolosi nelle wrong hands li rendono invaluable per finding e fixing flaws in important software—e per producing new software con far fewer security bugs. Project Glasswing è un important step verso dare ai defenders un durable advantage nella coming AI-driven era della cybersecurity.
Nel vostro enterprise SDLC, questo significa:
- Integrare Claude Code Security nei vostri flussi di sviluppo oggi, non domani
- Ricalibrate i vostri patch cycles – “monthly” non è più abbastanza veloce per critical infrastructure
- Investire nella formazione dei team sulla nuova era di AI-driven security
- Implementare governance e compliance frameworks che anticipano l’EU AI Act
Il rischio di non agire? Gli attaccanti avranno accesso a Mythos-class capabilities prima del vostro team. La finestra per la difesa asymmetric advantage è adesso. Fatemi sapere nei commenti come state implementando questa strategia nel vostro ambiente – sono curioso di sentire i vostri blind spots e successi.