Coding Agent per Bug Bounty: quando l'AI fa il lavoro sporco

Se ti dicessi che qualcuno ha guadagnato 200.000 dollari con un singolo prompt, mi prenderesti per pazzo? Eppure è esattamente quello che sta succedendo nel mondo della cybersecurity. E la domanda che mi sono fatto subito dopo averlo scoperto non è stata "come ha fatto?", ma "perché le aziende non lo fanno da sole?".

Quando ho letto la storia di questo ricercatore di vulnerabilità, mi sono reso conto di qualcosa di più profondo: non stiamo parlando di un caso isolato, ma di un nuovo paradigma nel rapporto tra competenza umana e automazione. E forse, per la prima volta, dovremmo chiederci seriamente: fino a quando saremo noi a usare questi strumenti?

Come funziona un coding agent nella ricerca di vulnerabilità

Il processo è più semplice di quanto sembri. Un ricercatore di sicurezza ha accesso a una piattaforma di bug bounty, dove le aziende pubblicano programmi aperti per trovare falle nei loro sistemi. Invece di passare giorni o settimane a testare manualmente ogni endpoint, ha delegato il lavoro a un coding agent basato su Claude.

Il prompt era strutturato così: accesso a una macchina virtuale sandbox, ruolo di ricercatore di vulnerabilità, utilizzo di dynamic workflow per lanciare sub-agent specializzati, istruzione esplicita di non fermarsi fino alla scoperta di vulnerabilità concrete. Il risultato? L'agente ha individuato diverse falle critiche, ha generato un report dettagliato e strutturato, e il ricercatore ha incassato una ricompensa considerevole.

Quello che mi ha colpito non è tanto il risultato economico, ma l'efficienza del processo. Un professionista esperto avrebbe impiegato settimane per lo stesso lavoro. L'agente lo ha completato in una frazione del tempo, con un livello di sistematicità che un essere umano fatica a mantenere per ore consecutive.

Perché le aziende non chiudono il cerchio da sole?

Qui emerge la domanda più interessante: se un singolo professionista può automatizzare la ricerca di vulnerabilità con un prompt, perché un'azienda dovrebbe ancora pagare terzi per farlo? Perché non usare direttamente gli stessi coding agent per testare i propri sistemi?

La risposta breve è: molte lo stanno già facendo. Claude, per esempio, offre il comando /security review pensato proprio per questo tipo di analisi. Il problema è che la maggior parte delle organizzazioni non ha ancora la cultura interna per sfruttare questi strumenti. C'è un gap tra chi sa cosa chiedere a un agente AI e chi si limita a usare l'AI come un assistente glorificato.

E qui sta il punto: la competenza non è più nel saper trovare vulnerabilità, ma nel saper orchestrare un sistema di agenti che le trovino per te. È un cambio di paradigma radicale. Il valore si sposta dalla capacità tecnica alla capacità di progettare workflow intelligenti.

Quando i guardrail non bastano: modelli senza censura

Un aspetto che ho trovato particolarmente interessante è come aggirare i limiti etici dei modelli commerciali. Claude, GPT-4 e altri LLM mainstream hanno guardrail progettati per impedire attività potenzialmente pericolose, inclusi penetration test e ricerca di vulnerabilità, anche quando sono legittimi.

Nella pratica, ho scoperto che esistono alternative: modelli cinesi come GLM o Kimi, che hanno policy meno restrittive, e modelli completamente "obliterated", cioè versioni modificate senza censura. Non sto suggerendo di usarli per scopi illeciti, ma è importante sapere che esistono, soprattutto in contesti professionali dove la capacità di testare liberamente i propri sistemi è essenziale.

Dal punto di vista di un professionista che lavora con clienti reali, questa frammentazione crea una sfida: quale modello usare per quale task? La risposta non è universale. Dipende dal contesto legale, dai requisiti di compliance, e dalla natura del lavoro. Ma una cosa è certa: chi sa navigare questo ecosistema ha un vantaggio competitivo enorme.

Bug bounty e AI: il futuro del mestiere

Il caso del ricercatore che ha automatizzato la scoperta di vulnerabilità solleva una questione più ampia: quale sarà il futuro dei bug bounty quando chiunque potrà lanciare un agente AI per fare lo stesso lavoro?

La mia ipotesi è che il mercato si dividerà in due fasce. Da un lato, la ricerca di vulnerabilità "commodity", facilmente automatizzabile, verrà progressivamente assorbita dalle aziende stesse o da piattaforme di automazione. Dall'altro, emergerà una nicchia di ricercatori ultra-specializzati, capaci di trovare falle complesse che richiedono intuizione umana, creatività e conoscenza del contesto.

In altre parole: l'AI eliminerà il lavoro ripetitivo, ma premierà chi sa pensare in modo non lineare. Non è una novità, è un pattern che abbiamo già visto in altri settori. La differenza è che qui sta succedendo in mesi, non in anni.

Cosa significa per un professionista italiano oggi

Se lavori in ambito digitale, marketing o consulenza, questa storia ha implicazioni dirette. Non importa se non ti occupi di cybersecurity: il meccanismo è lo stesso. Stai ancora facendo manualmente task che un agente potrebbe completare in una frazione del tempo?

Nel mio lavoro quotidiano, ho iniziato a usare Claude Code per automatizzare analisi di dati, generazione di report, costruzione di workflow di automazione con Make e n8n. Non sono diventato ricco, ma ho moltiplicato la mia capacità di output senza aumentare le ore lavorate. E questa, per un freelancer, è la differenza tra scalare e rimanere intrappolato nel modello ore-per-soldi.

Il consiglio pratico che mi sento di dare è questo: inizia a pensare in termini di orchestrazione, non di esecuzione. Chiediti sempre: "Questo task può essere delegato a un agente?". Se la risposta è sì, il tuo tempo vale di più altrove.

E forse, la domanda più scomoda da farsi è questa: se un agente AI può fare il mio lavoro meglio e più velocemente di me, cosa mi rende ancora indispensabile? La risposta non è rassicurante, ma è onesta: la capacità di fare le domande giuste. Per ora.