Il 7 aprile 2026, mentre il lancio di Claude Mythos Preview e di Project Glasswing domina la stampa di settore, una piccola società di sicurezza pubblica un report che cambia il framing del dibattito. Il post si intitola «AI Cybersecurity After Mythos: The Jagged Frontier» ed è firmato Aisle. La tesi non smonta i numeri di Anthropic, li riposiziona: la capacità di vulnerability discovery basata su modelli non vive solo nel modello frontier riservato, vive anche, e spesso meglio, nei modelli pubblici a costo basso. La frontiera è jagged, dentata, non un fronte uniforme che avanza.
Cosa significa «jagged frontier»
Aisle definisce la jagged frontier come una distribuzione irregolare di capacità. Modelli più piccoli e più economici superano modelli più grandi su alcuni task e falliscono su altri. La classifica non è stabile: cambia ranking spostandosi da una classe di vulnerabilità a un’altra, da un linguaggio a un altro, persino tra una variante e l’altra dello stesso codice. La frase chiave: «The capability frontier is jagged. There is no stable best model for cybersecurity».
L’esempio archetipico, in due righe: GPT-OSS-120b ricostruisce con precisione l’analisi del bug OpenBSD SACK, ma fallisce un esercizio elementare di data-flow tracing su Java. Qwen3 32B prende il punteggio massimo nella valutazione di severità del bug FreeBSD NFS, e nello stesso turno «dichiara robusto» il codice SACK di OpenBSD — lo stesso codice in cui altri modelli più piccoli hanno già trovato il bug.
I modelli messi a confronto
Il banco di prova di Aisle è volutamente largo. Da un lato i modelli pubblici, aperti o a basso costo:
- GPT-OSS-20b (3,6 miliardi di parametri attivi, prezzo dichiarato di 0,11 dollari per milione di token);
- GPT-OSS-120b (5,1 miliardi attivi, MoE da 120 miliardi totali);
- DeepSeek R1 (671 miliardi MoE, 37 attivi);
- Kimi K2 (open weights);
- Qwen3 32B;
- Gemma 4 31B;
- Codestral 2508.
Dall’altro i modelli frontier closed o a costo molto più alto: Claude Opus 4.6 e Sonnet 4.6, le varianti di GPT-4.1 e GPT-5.4, la famiglia Gemini 2.5 e 3.1, OpenAI o3.
La metodologia è volutamente austera: chiamate API standard, niente tool use, niente agentic loop, niente sandbox. Aisle considera questa base come upper bound di quello che un modello può fare in autonomia su un esercizio di vulnerability assessment ben definito. La discovery completa, end-to-end, in scenari reali, è presumibilmente diversa: ma serviva un test riproducibile.
FreeBSD NFS: otto su otto modelli vedono il bug
Sulla CVE-2026-4747 (FreeBSD NFS server, 17 anni di età, RCE non autenticata identificata da Mythos Preview), Aisle riporta un risultato sorprendente: otto modelli su otto, incluso GPT-OSS-20b da 3,6 miliardi di parametri attivi e 0,11 dollari per milione di token, identificano correttamente l’overflow di stack di 304 byte. Il modello classifica la vulnerabilità come «Critical, RCE», calcola lo spazio residuo del buffer e — nel caso di DeepSeek R1 — propone strategie alternative di exploit (stack-pivot, chain-loader) per aggirare il vincolo della dimensione del payload.
Sui modelli pubblici ottimi si può argomentare in molti modi. Aisle si limita a un dato: il prezzo. Una scansione che con un modello frontier costerebbe a tre cifre, con GPT-OSS-20b costa centesimi.
OpenBSD SACK: GPT-OSS-120b ricostruisce la catena
Sul bug TCP SACK di OpenBSD, presente da 27 anni e patchato il 25 marzo 2026 con la errata 025, GPT-OSS-120b ricostruisce «the full public chain» in una singola chiamata API. Identifica:
- l’overflow di intero con segno nei due confronti di sequenza TCP;
- la NULL pointer dereference nel codice di gestione del blocco;
- la mancanza di validazione dei bound prima dell’accesso;
- la condizione di wraparound che fa passare il bypass.
È esattamente la stessa logica di exploit ricostruita da Mythos Preview, in una stringa di output di un modello aperto. Kimi K2, sullo stesso prompt, produce un step-by-step exploit trace con valori specifici dei numeri di sequenza.
Il caso più controintuitivo: il falso positivo OWASP su Java
Il test più spiazzante riguarda un esercizio di OWASP che simula una vulnerabilità SQL injection in codice Java basato su ArrayList. Il get(1) dell’array, in quel codice, restituisce in realtà una costante di stringa («moresafe») e non un input utente. La vulnerabilità non c’è, è un test di abilità nel non falso-positivare.
- GPT-OSS-20b (0,11 dollari per milione di token) traccia il flusso correttamente: «get(1) returns the constant moresafe, not user input».
- DeepSeek R1 conclude con limpidezza: «No user input reaches the SQL statement».
- Claude Sonnet 4.5 e tutte le varianti GPT-4.1 falliscono confidentemente, dichiarando il codice vulnerabile.
I frontier model, qui, non sbagliano per ignoranza. Sbagliano per pattern matching: hanno visto migliaia di volte un’ArrayList indicizzata in modo simile e quel pattern li porta a concludere che l’input arrivi al codice SQL. I modelli aperti più piccoli, in questo caso, fanno meglio l’analisi semantica concreta del codice davanti a loro.
La sensitività vs la specificità
Aisle dedica una sezione a un punto operativamente cruciale: cosa succede quando si presenta al modello un codice già patchato? Il rischio è il falso positivo, ovvero il modello che continua a vedere il bug anche dopo la correzione, magari fabbricando giustificazioni.
Sui test di FreeBSD post-patch, solo GPT-OSS-120b raggiunge un punteggio 3 su 3, cioè identifica correttamente come sicuro tutto il codice patchato. La maggior parte degli altri modelli falsi positivi, costruendo argomenti su bypass di intero con segno che, dopo la patch, non sussistono più.
È il dato che, in produzione, separa lo strumento utile dal generatore di rumore. Una pipeline che segnala bug ovunque, anche dove non ci sono più, è una pipeline che spinge il team di security a perdere fiducia nei segnali e a chiudere l’allarmistica.
La raccomandazione di Aisle: cento detective adeguati battono uno geniale
La tesi finale è pratica e diretta. Aisle invita i difensori a non aspettare il modello frontier ideale: «The priority for defenders is to start building now: the scaffolds, the pipelines, the maintainer relationships, the integration into development workflows. The models are ready».
Il pattern operativo proposto è «cheap models broadly»: distribuire molti modelli economici su un perimetro ampio invece di centralizzare uno costoso su poche aree. La metafora che chiude il post: «A thousand adequate detectives searching everywhere will find more bugs than one brilliant detective who has to guess where to look».
Il vero collo di bottiglia, secondo Aisle, non è il modello: è la «security expertise and engineering required to turn model capabilities into trusted outcomes at scale». Lo scaffolding, l’orchestrazione, la conoscenza del dominio, il rapporto con i manutentori dei progetti scrutinati. La parte che il modello non fa.
Cosa porta a casa, in concreto
Tre conseguenze operative che il rapporto rende esplicite:
- Il vantaggio offensivo non è concentrato nei modelli frontier non rilasciati. Per ampie classi di bug, è già alla portata di chiunque possa pagare 0,11 dollari per milione di token un modello aperto.
- La scelta del modello non è ortogonale al task. Aisle dimostra che ranking diversi emergono su task diversi: la pipeline di vulnerability assessment dovrebbe orchestrare più modelli e prendere il consenso, non scommettere su uno.
- Il punto critico è il post-processing. La differenza tra un sistema che funziona e uno che annoia il SOC non è nel modello: è nel modo in cui l’output del modello viene incrociato con scope, ownership, history del codice, e tradotto in azione patchabile.
La trama complessiva del dibattito post-Mythos, dopo Aisle, si capisce meglio. La rinuncia di Anthropic a rilasciare il proprio modello frontier è significativa, ma non è lo schermo di sicurezza dietro cui il sistema può aspettare. La curva di costo della scoperta è già bassa abbastanza, su modelli che non possono essere «trattenuti» da una decisione aziendale, perché sono open weights.
Fonti
Aisle, «AI Cybersecurity After Mythos: The Jagged Frontier», 7 aprile 2026: aisle.com/blog/ai-cybersecurity-after-mythos-the-jagged-frontier. Anthropic, «Claude Mythos Preview», 7 aprile 2026 (edited 9 aprile): red.anthropic.com/2026/mythos-preview. CVE-2026-4747 (FreeBSD NFS server). OpenBSD errata 025, 25 marzo 2026.