Cybersecurity
Testiamo applicazioni, API e infrastrutture come farebbe un attaccante e ti consegniamo un report con le vulnerabilità ordinate per gravità e le correzioni da fare. Proteggiamo i sistemi AI da prompt injection, abuso degli strumenti e fughe di dati. E progettiamo software e server sicuri fin dal primo giorno, perché la sicurezza aggiunta alla fine costa di più e protegge di meno.
Tre servizi, un obiettivo: trovare le falle prima degli altri
Penetration test e vulnerability assessment
Web app, API, app mobili e reti, seguendo le guide OWASP. Report tecnico con prove e priorità, sintesi per la direzione e nuovo test dopo le correzioni.
Sicurezza dei sistemi AI
Prompt injection diretta e indiretta, esfiltrazione di dati, abuso degli strumenti dell’agente, jailbreak. Red teaming del tuo assistente e guardrail su misura, con riferimento a OWASP Top 10 for LLM Applications.
Secure by design e infrastrutture
Analisi delle minacce, revisione del codice, hardening di server e cloud, gestione dei segreti, backup e disaster recovery, monitoraggio e pipeline di rilascio con controlli automatici.
Esempio di report
Analisi in corso
Esempio di report
- Alta Prompt injection indiretta nell’assistente AI Aperta Chiusa
- Alta Accesso ai dati di altri clienti tramite API Aperta Chiusa
- Media Token di sessione non revocati al cambio password Aperta Chiusa
- Media Libreria con vulnerabilità nota (CVE) Aperta Chiusa
- Bassa Intestazioni di sicurezza HTTP mancanti Aperta Chiusa
Simulazione illustrativa: nessun dato di clienti reali.
Lo facciamo prima di tutto nel nostro codice
- Dati isolati per cliente Uno schema di database separato per ogni azienda, oppure regole di accesso a livello di riga: nessuno legge i dati di un altro.
- Segreti cifrati Credenziali e token di terze parti cifrati con AES-256-GCM, mai in chiaro nel codice o nei log.
- Firme ovunque Webhook verificati con firma HMAC, link firmati, firmware dei dispositivi firmato con RSA-3072.
- Rilasci controllati Il deploy parte solo se i controlli automatici passano, con chiavi limitate al minimo indispensabile.
Tecnologie
Domande frequenti
Che cos’è un penetration test?
È un attacco simulato e autorizzato a un’applicazione, un’API o una rete, per scoprire quali vulnerabilità un attaccante potrebbe sfruttare davvero. Si chiude con un report che indica le falle trovate, quanto sono gravi e come correggerle.
Che differenza c’è tra vulnerability assessment e penetration test?
Il vulnerability assessment cerca e classifica le vulnerabilità note, in modo ampio e in buona parte automatico. Il penetration test prova a sfruttarle, combinandole come farebbe un attaccante, per misurare il danno reale. Spesso conviene partire dal primo e approfondire con il secondo.
Come si protegge un agente AI dalla prompt injection?
Trattando ogni testo esterno come non fidato, limitando gli strumenti che l’agente può usare ai permessi dell’utente, chiedendo conferma per le azioni a rischio e controllando cosa esce dal sistema. Poi lo si attacca di proposito, con un red teaming, per verificare che le difese tengano.
Fate penetration test anche su software sviluppato da altri?
Sì. Testiamo applicazioni, API e infrastrutture di qualsiasi fornitore, con un perimetro e un’autorizzazione scritti prima di iniziare.
Raccontaci cosa vuoi costruire.
Scrivici qualche riga sul progetto: ti rispondiamo personalmente per fissare una prima chiamata.