Adaptavist collabora con Chainguard per proteggere le fondamenta open source della distribuzione software alla velocità dell’IA
Condividi sui social
Adaptavist collabora con Chainguard per proteggere l’open source alla velocità dell’IA
The Adaptavist Group
Pubblicato il 11 agosto 2026
12 min di lettura
The Adaptavist Group
Pubblicato il 11 agosto 2026
12 min di lettura
Vai alla sezione
Vai alla sezione
Il backlog di CVE che nessuno riesce a smaltire
Come può supportare Adaptavist?
Cosa significa per i team di ingegneria, security e per il business?
Sviluppare alla velocità dell’IA, senza rischi
La nuova partnership mette a disposizione dei clienti di Adaptavist il catalogo di software open source affidabili e robusti di Chainguard, colmando il divario tra la velocità dell’ingegneria e la sicurezza della supply chain.
Negli ultimi dieci anni, i team di ingegneria enterprise hanno lavorato per eliminare gli attriti e sono diventati estremamente efficaci nel rilasciare software rapidamente. Le moderne pipeline CI/CD, le architetture cloud-native, le API RESTful e, oggi, lo sviluppo assistito dall’IA hanno compresso cicli di rilascio che un tempo richiedevano mesi, portandoli a pochi giorni. Gran parte di questa velocità deriva dai componenti open source utilizzati sia dal software sia dalle pipeline: immagini di base, librerie e pacchetti che costituiscono la grande maggioranza di qualsiasi codebase moderna. L’evoluzione del panorama delle minacce alla software supply chain e iniziative di settore come Athena stanno portando la sicurezza della supply chain software all’attenzione dei consigli di amministrazione.
Per la maggior parte delle organizzazioni, “open source” continua però a significare “non patchato per impostazione predefinita”. La scansione delle vulnerabilità ti dice cosa non va solo dopo che la dipendenza è già stata inclusa in una build. La remediation diventa così un costo continuo in termini di tempo per i team di ingegneria, invece di essere una correzione una tantum; e nei settori regolamentati, inclusi i servizi finanziari, il settore pubblico e le infrastrutture critiche, questo costo cresce in modo esponenziale, mentre l’IA accelera sia il volume di codice prodotto sia la sofisticazione degli attacchi che lo prendono di mira.
Oggi siamo entusiasti di annunciare una nuova partnership con Chainguard, punto di riferimento affidabile per l’open source, per aiutare i nostri clienti a colmare questo divario: integrando la sicurezza fin dal primo pull delle dipendenze, invece di aggiungerla successivamente, e restituendo ai team di ingegneria l’enorme quantità di tempo oggi assorbita dalla remediation delle CVE.
Il backlog di CVE che nessuno riesce a smaltire
Se si chiede alla maggior parte dei responsabili engineering come viene realmente impiegato il loro tempo, la risposta che vorrebbero dare raramente include il patching delle vulnerabilità. Eppure, le ricerche condotte su implementazioni enterprise di grandi dimensioni indicano che la remediation delle CVE e le attività di compliance correlate assorbono dal 15% al 20% dello sforzo complessivo dei team di ingegneria: una capacità che non viene destinata a nuove funzionalità, nuovi mercati o alla risposta competitiva, ma a inseguire un arretrato che si rigenera più velocemente di quanto possa essere smaltito e che, aspetto cruciale, è controllato da altri.
Questo crea una ben nota tensione a tre all’interno delle organizzazioni clienti: l’ingegneria vuole recuperare la velocità degli sviluppatori, la sicurezza vuole standardizzazione, provenienza verificabile e una minore esposizione al rischio mentre la leadership di prodotto vuole rilasciare più rapidamente senza assumersi rischi aggiuntivi. La tradizionale scansione delle vulnerabilità non risolve nessuno di questi problemi: si limita a dirti, a posteriori, quanto sei già indietro.
Anche la normativa sta restringendo i tempi. Il Cyber Resilience Act dell’UE introduce requisiti obbligatori di security-by-design e di gestione delle vulnerabilità per qualsiasi prodotto con elementi digitali venduto nell’Unione Europea, inclusi i componenti open source che contiene, con obblighi di segnalazione per le vulnerabilità attivamente sfruttate che entreranno in vigore a settembre 2026. In combinazione con la pressione normativa già esercitata da EU DORA, FIPS, FedRAMP e PCI DSS, il messaggio per le imprese regolamentate è chiaro: un SBOM accurato e un processo di patching difendibile non sono più opzionali, e la sicurezza della software supply chain è una priorità urgente.
Allo stesso tempo, l’IA sta aumentando la posta in gioco su entrambi i fronti. Sviluppatori e coding agent stanno integrando dipendenze open source più rapidamente e con meno revisione manuale che mai, ampliando la superficie di attacco proprio nel momento in cui gli attaccanti stanno ottenendo accesso a strumenti di AI in grado di individuare e concatenare vulnerabilità molto più velocemente di quanto i metodi manuali abbiano mai consentito.
I modelli di frontiera per il coding sono sempre più capaci di comprendere le codebase a un livello sufficiente da individuare difetti nascosti o cumulativi a partire da una semplice istruzione: una capacità trasformativa per il lavoro legittimo dei team di ingegneria, ma che abbassa anche la soglia per sfruttare fondamenta deboli che molte organizzazioni hanno a lungo tollerato come rischio accettabile. I consigli di amministrazione se ne stanno accorgendo e la gestione delle vulnerabilità sta passando da nota tecnica a priorità finanziata e di livello board.
Prevenzione, non solo rilevamento
L’approccio di Chainguard consiste nell’eliminare la vulnerabilità prima ancora che raggiunga la tua pipeline, invece di segnalartela una volta che è già presente. I suoi container, le librerie e i pacchetti OS vengono ricostruiti continuamente a partire da fonti verificate in ambienti rinforzati, fungendo da sostituti immediati delle immagini e dei pacchetti presenti nei registry pubblici da cui la maggior parte dei team già dipende. Chainguard riporta una riduzione media del 98% delle vulnerabilità per i clienti che effettuano il passaggio e sono già oltre 600 le agenzie e le imprese che si affidano alla sua piattaforma.
Chainguard definisce questo approccio “start left” security: non si tratta solo di anticipare la sicurezza nelle prime fasi della pipeline, ma di integrarla fin dalla prima riga di codice e dal primo pull di dipendenze. Grazie a questa partnership, questa protezione si estende ora all’intero ciclo di vita della delivery software su cui i nostri clienti già operano:
- Container e librerie rinforzati: migliaia di immagini container leggere e CVE minime, ricostruite continuamente, insieme a sostituti immediati resistenti al malware per i più comuni pacchetti Python, Java e JavaScript, così i team possono contare su una base pulita senza cambiare il proprio modo di sviluppare, beneficiando anche di esecuzioni più rapide;
- Workflow CI/CD e agentici protetti: una protezione che si estende alle pipeline e agli agenti di coding IA che oggi scrivono e rilasciano codice, così che la crescita dello sviluppo assistito dall’AI non comporti anche un aumento dei rischi non osservati e non gestiti;
- Ricostruzioni continue supportate dalla provenienza verificabile: rivalutazione automatizzata dei grafi di dipendenza e ricostruzioni complete a partire dal codice sorgente, offrendo ai team di sicurezza e compliance prove verificabili invece di una semplice fotografia puntuale.
Come può supportare Adaptavist?
Il licensing di Chainguard è la parte più semplice. La vera barriera che la maggior parte delle aziende enterprise si trova ad affrontare è di natura organizzativa: gestione frammentata degli artefatti, pratiche incoerenti nell’uso dei container, team di sicurezza e ingegneria che storicamente hanno operato in silos e anni di debito tecnico accumulato che rendono una transizione pulita più difficile di quanto sembri. È proprio questo il divario che la practice DevOps e DevSecOps di Adaptavist è stata creata per colmare.
Come afferma Paul Cavanagh, Field CTO in Adaptavist:
"Tutte le organizzazioni di ingegneria con cui parliamo stanno combattendo la stessa battaglia persa in partenza, spendendo un quinto della propria capacità per correggere vulnerabilità in software che non hanno scritto e su cui non hanno piena visibilità. Chainguard ribalta questo modello, passando dal rilevamento alla prevenzione, e il nostro compito è rendere l’adozione di questo cambiamento il più rapida e indolore possibile: aiutando i clienti a migrare verso un repository affidabile, a riconfigurare gli upstream e a dimostrare al business la riduzione di tempo e rischio ottenuta. Mythos e Athena hanno elevato il tema della sicurezza della supply chain da discussione tecnica e di efficienza a imperativo di gestione del rischio a livello di board praticamente da un giorno all’altro. Il fatto che Chainguard sia un membro fondatore di Athena rappresenta, per me, un riconoscimento delle sue capacità distintive e della sua leadership di mercato nell’affrontare questa minaccia esistenziale"
I nostri servizi completano la tecnologia con un supporto che va dalla consulenza strategica su architettura di piattaforma e postura di sicurezza fino all’integrazione tecnica operativa e al supporto alla migrazione, inclusi il passaggio dei clienti a una gestione centralizzata e verificata degli artefatti e il reindirizzamento delle pipeline esistenti verso le fonti Chainguard. Il tutto con un percorso di abilitazione e adozione graduale, progettato per aiutare i team di ingegneria a ottenere rapidamente valore senza interrompere la delivery.
"Rendere il software sicuro per impostazione predefinita richiede più di un’ottima tecnologia: richiede partner eccellenti," afferma Naveen Sharma, Global Vice President Partnerships presso Chainguard. "Adaptavist mette a disposizione le competenze tecniche e la vicinanza al cliente necessarie per aiutare le organizzazioni a rendere operativo il software affidabile su scala enterprise, consentendo agli sviluppatori di innovare con maggiore velocità e fiducia."
Cosa significa per i team di ingegneria, security e per il business?
Per i team di developer experience e piattaforme, questo significa recuperare tempo: meno interventi d’emergenza sulle CVE, più capacità dedicata al lavoro che fa davvero avanzare la roadmap.
Per i team di sicurezza e compliance, si tratta di un passaggio dall’inseguire le evidenze all’averle disponibili per impostazione predefinita: ricostruzioni continue supportate da provenienza verificabile invece di scansioni periodiche, mappate rispetto ai framework normativi e di controllo (CRA, DORA, FIPS, SOC 2) che già dominano il calendario degli audit.
Per la leadership engineering, si tratta di uno di quei rari casi in cui il business case è davvero semplice: meno vulnerabilità, superficie di attacco ridotta, minore overhead di remediation e più ore di sviluppo restituite ad attività che generano valore. Il tutto a supporto di una base solida ed essenziale che consente di accelerare la strategia di software engineering guidata dall’IA, gestendo e mitigando al tempo stesso sicurezza e rischio in modo proattivo.
Sviluppare alla velocità dell’IA, senza rischi
Il ritmo dello sviluppo guidato dall’IA non sta rallentando, e lo stesso vale per la varietà e la sofisticazione delle minacce che colpiscono il consumo di open source. Con questa partnership, aiutiamo i clienti a smettere di trattare la remediation delle vulnerabilità come un costo permanente e reattivo del fare impresa, iniziando invece a costruire su fondamenta solide e sicure fin dal primo pull di dipendenze.
Pronto per i prossimi passi?
Parla con i nostri esperti DevOps per scoprire come potrebbe essere una software supply chain protetta da Chainguard nella tua organizzazione.
Scritto da