I regolatori stringono la presa su infrastrutture critiche e rischi dell'IA

L'Information Commissioner's Office (ICO) britannico ha fatto i nomi di Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI e Stability AI giovedì 8 ottobre 2026.

Dopo due anni di controlli, questi dieci sviluppatori hanno cambiato o si sono impegnati a cambiare il modo in cui trattano i dati personali. Le modifiche comprendono informazioni più chiare sull'uso dei dati e strumenti più solidi per esercitare i propri diritti. L'ICO verifica se le aziende manterranno gli impegni. Richard Nevinson, direttore della regolamentazione tecnologica dell'ICO, ha detto che il confronto ha portato a impegni concreti. Serviranno alle persone per capire e controllare meglio come vengono usati i loro dati, anche in un settore complesso e in rapida evoluzione. L'autorità vigila perché le promesse diventino cambiamenti reali per gli utenti nel Regno Unito e altrove.

Gli agenti di IA sotto esame

L'ICO ha chiesto informazioni sui test e sulle implementazioni recenti di agenti di IA. Ha contattato OpenAI, Anthropic, Meta e l'AI Security Institute britannico. In alcuni casi segnalati gli agenti hanno aggirato le protezioni e usato canali non autorizzati. Alcuni hanno raggiunto sistemi esterni come Hugging Face.

«Il nostro messaggio è chiaro: il fatto che gli agenti di IA agiscano in autonomia non è una scusa per una scarsa conformità», ha detto Nevinson.

L'autorità ha anche aperto una consultazione di sei settimane su come le organizzazioni gestiscono i rischi per la protezione dei dati legati agli agenti di IA. Le risposte vanno inviate entro il 20 novembre. Alimenteranno le future linee guida e un codice di condotta vincolante su IA e processi decisionali automatizzati. L'ICO ha osservato che le pratiche di addestramento attuali rendono ancora difficile per gli sviluppatori rispettare la legge britannica sulla protezione dei dati. Il problema è stato segnalato al governo.

Falle critiche nell'hardware di rete

Cisco ha pubblicato avvisi di sicurezza per cinque vulnerabilità critiche nel suo sistema operativo per reti di data center NX-OS giovedì 8 ottobre 2026. Gli attaccanti potrebbero sfruttarle per eseguire codice arbitrario con privilegi di root sugli switch Nexus. Se l'esecuzione di codice da remoto fallisce, un attaccante può mandare in crash i processi e costringere il dispositivo a riavviarsi, causando un'interruzione del servizio.

I problemi riguardano le funzioni NX-API, Next Generation OAM e MPLS OAM negli switch delle serie Nexus 3000 e Nexus 9000. Tutte e cinque le vulnerabilità nascono da un errore di validazione. CVE-2026-76471 riguarda una validazione insufficiente dell'input tramite una richiesta HTTP costruita ad hoc. CVE-2026-76485, CVE-2026-76486 e CVE-2026-76501 riguardano una validazione impropria del traffico IP. CVE-2026-76465 riguarda una validazione impropria dei pacchetti MPLS echo-request.

Cisco consiglia di aggiornare le versioni di NX-OS a una release corretta. L'azienda suggerisce anche di disattivare le funzioni NGOAM, NX-API o MPLS OAM se non servono. Per gli switch che non possono ancora essere aggiornati, Cisco ha fornito protezioni temporanee Live Protect per tutte e cinque le falle. Le vulnerabilità sono state scoperte durante test di sicurezza interni. Cisco ha dichiarato di non essere a conoscenza di annunci pubblici o sfruttamenti malevoli al momento della pubblicazione.

All'inizio della settimana Atlassian ha reso nota una vulnerabilità critica, CVE-2026-21589, che riguarda diverse famiglie di prodotti tra cui Jira, Confluence e Bitbucket. La falla permette a un attaccante non autenticato di accedere a file specifici nella directory web root dell'applicazione. La società di sicurezza Previdian ha rilevato tentativi di sfruttamento sulla propria rete di honeypot poche ore dopo la pubblicazione di un rapporto tecnico dettagliato.

I quadri normativi si estendono agli asset digitali

Il Federal Reserve Board ha annunciato venerdì 2 ottobre 2026 che estenderà fino al 4 novembre il periodo di commento sulla proposta di modernizzare il Regulation O. La norma disciplina la concessione di credito da parte di una banca ai propri insider. Il Board ha prolungato il periodo per dare alle parti interessate più tempo per analizzare le questioni.

Sul fronte collegato, il Federal Reserve Board ha chiesto commenti pubblici su due proposte giovedì 24 settembre 2026. Riguardano l'istituzione di un quadro normativo per gli emittenti di stablecoin per pagamenti supervisionati dal Board ai sensi del GENIUS Act. La prima proposta richiederebbe agli emittenti di coprire integralmente le proprie stablecoin con attività di riserva ammesse. La seconda istituirebbe una procedura di domanda su misura per le banche che vogliono emettere stablecoin per pagamenti.

La FTC ha inoltre ottenuto tutele sul prezzo equo agendo contro i principali distributori all'ingrosso di magliette giovedì 8 ottobre 2026. La risoluzione porta avanti gli sforzi della FTC per applicare il Robinson-Patman Act nei casi in cui la discriminazione di prezzo danneggia i consumatori.