Shopify Canvas mette una chat AI al centro della creazione del negozio

Lo strumento, annunciato dall'azienda giovedì, porta il commerciante dentro una conversazione con Sidekick, l'assistente che Shopify usa già per scrivere codice, creare app e personalizzare temi. Mentre l'agente apporta modifiche, Canvas mostra il codice reale del negozio, secondo TechCrunch. Così il commerciante può provare interattività e animazioni e vedere le pagine a diverse dimensioni dello schermo, invece di giudicare un mock-up statico.

Per il lancio Shopify ha semplificato l'architettura dei temi, in modo che Sidekick possa leggere e riscrivere struttura, logica e design di un negozio. Sidekick cattura anche schermate del proprio lavoro per vedere quello che vede il commerciante mentre il sito si aggiorna. Il commerciante può ancora cliccare sui singoli elementi per modificarli direttamente, ma il percorso predefinito del prodotto è la finestra di chat.

Canvas è tutt'altro che finito. Il supporto ai temi di terze parti, i blocchi e le estensioni delle app, i mercati, le traduzioni, i rollout e gli aggiornamenti dei temi mancano tutti nella prima versione, e lo strumento funziona solo su desktop. Shopify ha detto a TechCrunch che queste lacune verranno colmate nel tempo.

Il lancio arriva in una categoria affollata. Wix, Squarespace, Webflow e Framer offrono tutti costruttori di siti con AI, e le piattaforme di vibe-coding come Lovable e Replit puntano alla stessa promessa: un sito funzionante senza sviluppatore. Canvas si aggiunge alla lista con una distinzione: l'anteprima è il codice di produzione, non una sua rappresentazione.

Anche gli attaccanti diventano più veloci

Nella stessa settimana, i ricercatori di sicurezza hanno pubblicato un caso che mostra cosa succede quando gli agenti agiscono senza una persona alla tastiera. Il Dutch Institute for Vulnerability Disclosure ha dichiarato che la propria rete è stata violata attraverso una catena di due zero-day in Zammad, una piattaforma helpdesk open source. Le falle, tracciate come CVE-2026-102489 e CVE-2026-102490, hanno permesso di dirottare sessioni, eseguire codice da remoto e passare da un utente Zammad a root, ha riferito BleepingComputer il 30 settembre.

DIVD ha descritto l'intrusione come guidata da un agente AI che sceglieva da solo i passi successivi. Poiché l'agente ha lasciato spiegazioni delle proprie decisioni, l'organizzazione no-profit ha potuto ricostruire la sequenza. La segmentazione della rete ha limitato i danni, l'indagine è in corso e DIVD ha detto che avrebbe pubblicato altro il 1 ottobre. Il suo consiglio agli utenti Zammad è diretto: aggiornare alla versione 7 o mettere l'istanza offline.

Zammad dichiara sul proprio sito che più di 2.000 clienti e 55.000 utenti usano il software, tra cui De'Longhi, Amnesty International e NextCloud.

I fornitori si muovono per rispondere a questa classe di minacce. GTT Communications ha lanciato GTT Defense Halo il 29 settembre, una piattaforma di difesa di rete nativa AI che, secondo l'azienda, gira come istanza dedicata per ogni cliente e genera piani di rimedio prima che gli attaccanti trovino le stesse falle. L'annuncio di GTT cita una lettera aperta pubblicata a fine agosto e firmata da più di 100 aziende della tecnologia, della cybersecurity e dei servizi finanziari. La lettera avverte che gli attacchi abilitati dall'AI si diffonderanno e che i difensori hanno una finestra stretta per prepararsi.

Gli acquirenti, intanto, non sono del tutto convinti dei propri fornitori. Una ricerca pubblicata da Arelion il 28 settembre ha rilevato che il 58% dei dirigenti aziendali ha rinviato, ridotto o aggiunto misure di protezione a iniziative strategiche negli ultimi due anni per preoccupazioni legate a un fornitore di rete. I progetti basati su AI e dati sono stati i più colpiti, citati dal 49% di chi ha segnalato interruzioni, seguiti dai programmi di sicurezza e conformità al 44%. Quasi tutti gli intervistati, il 93%, hanno detto di fidarsi in gran parte o completamente del proprio fornitore attuale, ma solo il 15% ha dichiarato piena fiducia nella capacità di quel fornitore di rilevare e risolvere rapidamente un incidente di rete grave.

Il resoconto di Microsoft su NeedyMantis, pubblicato il 28 settembre, descrive un malware che mantiene un accesso di lungo periodo a reti già violate. È comparso in un piccolo numero di intrusioni mirate contro organizzazioni di telecomunicazioni, università, no-profit mediche, organizzazioni intergovernative e appaltatori governativi, e il suo uso risale almeno a ottobre 2025. Microsoft lo ha trovato seguendo gli indicatori dell'indagine di Kaspersky su un attacco alla catena di fornitura contro DAEMON Tools, in cui installer firmati contenevano codice malevolo dall'8 aprile 2026 fino alla sostituzione da parte dello sviluppatore il 5 maggio. L'attività è tracciata come Storm-3069, che Microsoft valuta originaria della Cina, anche se non ha collegato il gruppo a un attore statale cinese.

Due corsi di formazione di cinque settimane di InfoQ, uno sull'ingegneria della sicurezza e della privacy AI con inizio il 26 ottobre e uno sull'ingegneria assistita dall'AI con inizio il 19 ottobre, indicano la stessa lacuna di competenze. I docenti parlano di costruire contesto per gli agenti di coding e di limitarne i permessi prima di aggiungere controlli. Sul fronte della ricerca, tre articoli arXiv inviati il 28 settembre trattano embedding invarianti al campionamento per insiemi di segnali organizzati, reti neurali per l'ottimizzazione spettrale e reti di pooling trasversale per azioni di gruppo affini.