Sviluppo
Quando si parla di sicurezza del codice di programmazione, per il ricercatore è essenziale ricostruire il percorso che un attaccante potrebbe seguire, verificare se i controlli presenti lo interrompono e proporre una correzione capace di resistere a una nuova analisi. Su questa idea Capital One ha costruito VulnHunter (repository GitHub), uno strumento open source che usa un modello linguistico avanzato per esaminare il codice sorgente dalla prospettiva dell’attaccante. Il progetto, pubblicato il 16 luglio 2026 con licenza Apache 2.0, nasce da un impiego interno su migliaia di repository appartenenti a decine di aree aziendali.
Per capire perché l’approccio merita attenzione bisogna tornare ai limiti storici della Static Application Security Testing (SAST). Gli scanner SAST analizzano il codice senza eseguirlo, cercano costrutti rischiosi e seguono, quando possibile, il flusso dei dati. Hanno portato la verifica di sicurezza dentro il ciclo di sviluppo, ma spesso generano segnalazioni che richiedono una lunga revisione manuale. OWASP ricorda che i falsi positivi compaiono soprattutto quando lo strumento non riesce a stabilire con certezza quali trasformazioni, validazioni o barriere proteggano un dato durante il suo percorso.
