Patchstack apre l'accesso anticipato alla protezione per le app create con l'IA

Patchstack ha aperto l'Early Access a un servizio di protezione per le app create con l'IA, ovvero le applicazioni che le persone creano con strumenti di programmazione basati sull'intelligenza artificiale. L'azienda afferma che l'offerta copre Lovable, Replit, Base44, Claude Code e altre applicazioni JavaScript, e che è gratuita per tutta la durata del periodo di accesso anticipato, dopo il quale si applica il prezzo standard dell'abbonamento. L'annuncio è stato pubblicato il 18 settembre 2026 e scritto da Oliver Sild, amministratore delegato di Patchstack.

L'argomentazione dell'azienda per il lancio si basa sul puro volume. Le app generate dall'IA arrivano con più pacchetti di quanti plugin arrivi il sito WordPress medio, afferma Patchstack, e una semplice app per le cose da fare arriva già con oltre 800 pacchetti fin dall'inizio. Un pacchetto è un blocco di codice pronto all'uso che un programma installa e riutilizza invece di scrivere quella funzione da solo, e il numero cresce con la complessità dell'app. Patchstack aggiunge che, una volta che queste app sono online, la maggior parte non viene mai mantenuta adeguatamente: anche quando una vulnerabilità è nota, aggiornare sembra rischioso, quindi non viene fatto. È lo stesso schema di paura di rompere le cose, dice l'azienda, che ha guidato ogni grave compromissione di WordPress che ha mitigato.

Ciò che è cambiato, secondo Patchstack, è chi fa la costruzione. Un anno fa, dice l'azienda, chi costruiva con Node.js erano per lo più ingegneri del software; oggi sono fondatori, esperti di marketing e sviluppatori hobbisti indipendenti che non hanno mai usato git, lo strumento che i programmatori usano per tenere traccia delle modifiche al codice. La maggior parte degli strumenti di sicurezza JavaScript esistenti è stata progettata per gli ingegneri che non costituiscono più la maggioranza di questo pubblico, sostiene Patchstack: danno per scontato che l'utente sappia leggere un diff, cioè il confronto evidenziato che mostra cosa è cambiato tra due versioni di un file, e sappia correggere il codice personalmente. La maggior parte di chi costruisce non è in grado di farlo, dice l'azienda, e la maggior parte non può permettersi gli strumenti aziendali pensati per team che ne sono capaci. Patchstack avverte anche che la ricerca sulle vulnerabilità assistita dall'IA e gli attacchi basati sull'IA rendono il divario più pericoloso ogni mese, che le correzioni generate dall'IA sono inutili se nessuno le applica, e che affrettare un aggiornamento di un pacchetto ora comporta il proprio rischio di compromissione della catena di fornitura, dove codice malevolo viene inserito in un aggiornamento fidato.

Il meccanismo che Patchstack offre si chiama RapidMitigate, e l'azienda dice che ora funziona all'interno dell'applicazione JavaScript stessa. Secondo Patchstack, identifica le vulnerabilità, ne traccia la raggiungibilità e le mitiga a runtime dell'applicazione. Raggiungibilità qui significa capire se il pezzo di codice difettoso può effettivamente essere raggiunto e attivato da un attaccante; runtime significa il periodo in cui il programma è in esecuzione e serve richieste reali, non mentre viene costruito. Quando emerge una nuova vulnerabilità, una regola di mitigazione viene distribuita e attivata automaticamente, senza modifiche al codice e senza ricostruzione. Patchstack dice che questo neutralizza immediatamente la vulnerabilità, senza esporre l'app a un attacco alla catena di fornitura e senza la paura che un aggiornamento rompa qualcosa, dando al proprietario il tempo di correggere adeguatamente secondo i propri tempi senza esposizione nel frattempo.

L'azienda sta anche lanciando un secondo componente chiamato Live Hardening, descritto come un nuovo modulo di filtraggio dell'output all'interno dello stesso runtime RapidMitigate. Mentre la mitigazione è rivolta ai tentativi di sfruttamento in entrata, Live Hardening osserva ciò che l'applicazione restituisce in uscita. Patchstack dice che blocca le fughe di chiavi segrete Supabase e chiavi di ruolo del servizio, chiavi API e token di fornitori, chiavi private e messaggi di errore interni che rivelano più di quanto dovrebbero su un sistema. La configurazione è descritta come un prompt all'interno dell'interfaccia che chi costruisce già usa, dopodiché Patchstack si installa automaticamente e inizia il monitoraggio.

Queste app poi si affiancano a tutto il resto in un unico account. I siti WordPress, le app delle piattaforme IA e le app Node.js personalizzate ospitate ovunque sono ora gestiti sotto un unico account Patchstack, dice l'azienda, con visibilità e controllo su tutti. Su piattaforme come Lovable, un widget di accesso rapido si carica direttamente nel sandbox del builder, l'ambiente di lavoro isolato dove l'app viene assemblata, così i controlli appaiono dove il lavoro è già in corso. Patchstack nota che l'interfaccia del widget potrebbe cambiare durante il periodo di Early Access.

Il lancio è anche una dichiarazione su dove vengono costruiti i siti web. Patchstack dice che WordPress non è più l'unico posto dove le persone costruiscono per il web, e che i builder IA e l'hosting Node.js sono ora offerte standard dei suoi stessi partner di hosting, un cambiamento che ha silenziosamente ricreato in uno stack tecnologico diverso ogni problema di sicurezza che l'azienda ha impiegato cinque anni a risolvere in WordPress. I suoi recenti annunci di partnership indicano la stessa direzione: a marzo 2026 Manage by Elementor ha ottenuto il rilevamento delle vulnerabilità di Patchstack, ad aprile 2026 HostArmada ha aggiunto Patchstack al suo stack di sicurezza, e ad agosto 2026 FlyWP ha aggiunto la protezione proattiva dalle vulnerabilità di Patchstack. Queste integrazioni appartengono a Patchstack e a quei fornitori, e contano qui perché mostrano un fornitore di sicurezza che spinge la sua protezione negli strumenti che i proprietari di siti già usano.

Alcuni dettagli restano aperti. Patchstack non ha pubblicato un elenco delle vulnerabilità specifiche coperte dalle sue regole runtime, né un elenco delle versioni delle piattaforme supportate, e non fornisce cifre per il prezzo che si applicherà una volta terminato il periodo di accesso anticipato gratuito, dicendo solo che verrà usato il prezzo standard dell'abbonamento. L'azienda descrive lo strumento come mitigazione, uno strato protettivo applicato mentre il software è in esecuzione, e non come sostituto dell'aggiornamento del software stesso: dice che chi costruisce ottiene tempo per correggere adeguatamente, il che implica che la correzione sia ancora prevista.

Per i proprietari di WordPress, il problema di manutenzione qui descritto taglia in entrambe le direzioni. Un fornitore di hosting che mantiene e protegge la piattaforma per il cliente rimuove gran parte del peso che, secondo Patchstack, spinge le persone a saltare gli aggiornamenti, e AEU Hosting offre hosting WordPress gestito che è protetto end to end, il che copre quella parte del lavoro per i lettori che preferiscono non occuparsene da soli. Chi costruisce o ospita un sito dovrebbe comunque sapere chi è responsabile dell'applicazione delle correzioni di sicurezza quando arrivano.