Sonatype pubblica, a firma della sua technical writer Aaron Linskens, una sintesi di uno studio longitudinale condotto dai suoi research labs su quarantanove mesi, da giugno 2022 a giugno 2026. Il metodo è dichiarato fin dall'inizio: una coorte fissa di applicazioni monitorate in continuo, in modo che le variazioni misurate riflettano l'evoluzione del parco software piuttosto che quella del portafoglio clienti. Il risultato centrale è presentato come una contraddizione: le organizzazioni rimediano più rapidamente di prima, eppure le loro applicazioni accumulano più rischio.
Quattro misure inquadrano il risultato. Le vulnerabilità Critical e High per applicazione sono state moltiplicate per 4,31, passando da una media di 14,14 a giugno 2022 a 54,3 nel 2026; l'effetto non è dovuto al solo legacy, poiché escludendo le applicazioni legacy portate di recente sotto gestione resta comunque un fattore di 3,91. Le nuove versioni di componenti interessate avanzano a quarantasei volte il tasso pre-IA. L'età mediana delle vulnerabilità è scesa del 59% dal suo picco di gennaio 2024. Infine, la creazione mensile media di applicazioni è stata moltiplicata per 4,84, e con essa le decisioni di dipendenza.
I progressi nel rimedio sono reali: oltre la metà delle violazioni risolte lo è in meno di un giorno, e l'età mediana delle vulnerabilità Critical/High non risolte scende da 228 a 126 giorni, poi a 103 giorni a maggio 2026. Tra le coorti che hanno avuto almeno dodici mesi per agire, il 52,6% è risolto, il 44,3% resta aperto e il 3,1% è sotto waiver.
Il cambiamento proposto riguarda il monte. I ricercatori hanno esaminato le dipendenze vulnerabili entrate nelle applicazioni del periodo e posto una domanda semplice: al momento della selezione, esisteva già una versione sostanzialmente meno rischiosa? La risposta è sì nel 62,2% dei casi su Maven, nel 46,9% su npm, nel 34,3% su PyPI. Il testo rifiuta di leggere questo dato come colpa dello sviluppatore: alcune vulnerabilità sono inevitabili, altre derivano da un gap informativo al momento della scelta — un punto che diventa sensibile quando un assistente IA può introdurre un componente in pochi secondi senza disporre di intelligence aggiornata sul suo rischio e sulla politica organizzativa.
Il post riconosce che l'IA non è l'unica causa dell'espansione del panorama delle vulnerabilità e cita quattro fattori concorrenti. Conclude su Sonatype Guide, che porta questa intelligence fino al punto di selezione, e rimanda al report completo, The AI-Era Software Assembly Line, per i dati sottostanti.