OWASP lancia OASIS: AI e AppSec contro le vulnerabilità open source

OWASP ha presentato OASIS (Open Automated Security Initiative for Software) il 26 agosto 2026 a San Francisco, un progetto community che mira a ridurre il time-to-fix delle vulnerabilità open source combinando patch generate da intelligenza artificiale con validazione umana da parte di professionisti AppSec. La posta in gioco è immediata: il 98% dei codebase commerciali contiene componenti open source, secondo il Black Duck 2026 Open Source Security and Risk Analysis Report citato dalla fonte, e il divario tra scoperta delle vulnerabilità e loro correzione resta il collo di bottiglia strutturale della supply chain software.

Un modello a tre gambe: generazione, validazione e decisione

Il meccanismo centrale di OASIS separa nettamente le responsabilità. La prima fase è un pipeline AI che scansiona il codice e genera candidate patch a partire da alert di vulnerabilità. La seconda fase è la Expert Community Validation: professionisti AppSec revisionano il codice proposto prima che tocchi i maintainer. La terza fase, Upstream Contribution, consegna la patch validata al maintainer del progetto, che mantiene il controllo finale.

Questa architettura risponde a un problema documentato da Michael Cartsonis, Co-Founder e VP of Product di AppSecAI, nel comunicato ufficiale del progetto: "It's always been easier to find than to fix". La separazione tra generazione automatica e validazione umana è il tratto distintivo rispetto a iniziative enterprise come Patch the Planet di OpenAI, Akrites della Linux Foundation e Project Glasswing di Anthropic, che OASIS si propone di integrare piuttosto che sostituire.

Il vero test: la acceptance rate dei maintainer

La fonte non specifica metriche di efficacia del processo: nessun tasso di accettazione delle patch, nessun tempo medio di remediation misurato, nessun repository scansionato con dati quantitativi verificabili. Il claim di riduzione del tempo di validazione "da giorni o settimane a minuti" compare nelle fonti editoriali ma manca di evidenza empirica nel brief.

Questo vuoto è significativo perché definisce il confine tra promessa organizzativa e impatto operativo. Per le aziende che dipendono da componenti open source, il valore di OASIS si misurerà non su quante patch l'AI genera, ma su quante di quelle validate dalla community vengono effettivamente integrate upstream più velocemente delle tradizionali segnalazioni CVE. Il mantainer di un progetto con poche risorse, ricevendo una patch AI+AppSec, deve comunque allocare attenzione e tempo di review: il collo di bottiglia si sposta, ma non necessariamente si elimina.

Accountability e rischio regressione nel modello AI-human

Il dossier non dettaglia i criteri di qualità per la validazione AppSec, né la struttura di governance che garantisce coerenza tra i centinaia di professionisti coinvolti. Questo limite solleva questioni concrete: chi assume responsabilità legale se una patch validata introduce regressione funzionale? Il contratto sociale dell'open source, basato su licenza senza garanzia, si complica quando una terza parte intermedia propone correzioni con imprimatur di esperti.

Il brief non specifica inoltre la natura degli strumenti AI impiegati: modelli, training data, metodologia di generazione e tasso di falsi positivi restano non documentati. Senza questi dati, la community non può valutare se il processo di generazione sia trasparentemente verificabile o se operi come black box con validazione post-hoc.

"AI is dramatically increasing the speed at which software is created, and it's also increasing the speed at which vulnerabilities can be discovered and exploited" — James Wickett, CEO and Co-Founder, DryRun Security

OASIS e il contesto del "vibe hacking"

OWASP ha introdotto il termine "vibe hacking" per descrivere l'uso offensivo dell'intelligenza artificiale nell'accelerare cicli di attacco. Il lancio di OASIS si colloca in questo quadro come risposta asimmetrica: se l'AI abbassa i costi di scoperta e sfruttamento vulnerabilità, la stessa tecnologia può essere deviata verso la difesa, a condizione che resti ancorata a processi di validazione umana.

Chris Holt, Strategic Engagement and Community Architect di Intigriti, ha dichiarato nel comunicato ufficiale: "The legacy corporate incident response model is fundamentally antiquated in the AI era". La citazione, riportata con testo sostanzialmente identico nelle fonti editoriali, segnala un intento programmatico: spostare il baricentro della remediation dalla risposta coordinata vendor-centrica verso un modello distribuito e community-driven.

Tuttavia, il brief non documenta come questo modello scala effettivamente rispetto alle iniziative enterprise più strutturate. La focalizzazione sulla "long tail" delle librerie open source — non solo infrastruttura critica di alto profilo — è ambiziosa ma non verificata nei dati: il numero esatto di repository coperti, il tasso di partecipazione geografica dei professionisti AppSec, la distribuzione delle patch candidate per ecosistema rimangono unknown.

Cosa fare adesso

Per le organizzazioni che utilizzano software open source, il lancio di OASIS impone tre verifiche concrete. Prima: monitorare il repository ufficiale del progetto per identificare quando le patch validate inizieranno a essere sottomesse agli ecosistemi rilevanti per la propria supply chain. Seconda: valutare se i maintainer dei propri componenti open source critici hanno già ricevuto comunicazioni da OASIS, dato che il processo richiede la loro adesione attiva per l'integrazione. Terza: richiedere ai vendor di security testing che integrano OASIS nei propri flussi di vulnerability management la documentazione dei criteri di validazione AppSec applicati.

Per i professionisti AppSec, il progetto offre un canale di partecipazione strutturato: l'iscrizione alla community di validazione passa attraverso il portale owasp-oasis.org. Il brief non specifica requisiti di certificazione o esperienza minimi, ma documenta che centinaia di professionisti hanno già aderito dalle prime fasi di sign-up.

Per i maintainer open source, la postura corretta è di trattare le patch OASIS come qualsiasi altra contribution esterna: revisionare il codice proposto con gli stessi standard di qualità, senza assumere che la validazione AppSec sostituisca il proprio giudizio tecnico. Il controllo finale resta esclusivamente del maintainer, come documentato nel comunicato ufficiale.

Domande aperte sul modello

Fonti

• https://gbhackers.com/owasp-launches-oasis-to-use-ai-and-appsec-experts-to-fix-open-source-vulnerabilities/
• https://www.opensourceforu.com/2026/09/owasp-launches-oasis-to-fix-open-source-bugs-at-scale/
• https://blog.ogwilliam.com/post/owasp-oasis-official-project-ai-vulnerability-fixes
• https://cyberpress.org/owasp-launches-oasis-to-fight-ai-powered-attacks/
• https://www.owasp-oasis.org/news/launch

Le informazioni sono basate sulle fonti citate e aggiornate al momento della pubblicazione.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://gbhackers.com/security-researchers-discover-critical-rce-vulnerability/
• https://any.run/threat-intelligence-feeds/?utm_source=csn&utm_medium=article&utm_campaign=cta_links&utm_content=landing_feeds&utm_term=sep_26#contact-sales