OpenAI ha reso noti i numeri di Codex: 5 milioni di utenti settimanali, di cui il 20% non è sviluppatore. Quella fascia di utenza adotta l’agente di coding tre volte più in fretta degli ingegneri. Un dato che ridisegna il profilo di chi, concretamente, usa questi strumenti ogni giorno.
La spiegazione è meno sorprendente di quanto sembri. Chi lavora in ambito business — operations, finance, marketing, risorse umane — si è sempre trovato a dipendere dalla disponibilità di un team tecnico per automatizzare anche i processi più semplici. Una richiesta entra nella coda di IT, aspetta settimane, a volte mesi. Gli agenti di coding comprimono quella attesa fino a poche ore, e la persona che meglio conosce il processo diventa quella che lo risolve. Non è più necessario saper scrivere codice: basta sapere cosa si vuole ottenere. Piattaforme come Complete.dev — fondata tre anni fa con questa premessa — offrono già ambienti browser in cui gli agenti vengono preconfigurati e la governance è incorporata nel flusso di lavoro, senza bisogno di installazioni o configurazioni tecniche da parte dell’utente finale.
Il mercato riflette questa traiettoria. GitHub Copilot supera i 20 milioni di utenti a metà 2025, e il fatturato di GitHub è cresciuto del 40% anno su anno trainato proprio da Copilot, generando più entrate di quante ne producesse l’intera piattaforma quando Microsoft la acquisì per 7,5 miliardi di dollari nel 2018. Cursor, il rivale più aggressivo, ha raggiunto oltre 2 miliardi di dollari di ricavi annualizzati a febbraio 2026, raddoppiando in tre mesi. Il segmento del coding AI vale 7,37 miliardi di dollari nel 2025 e dovrebbe arrivare a quasi 30 miliardi entro il 2031. Numeri che parlano di una diffusione già in corso, non di un fenomeno in gestazione.
Su questo sfondo di espansione accelerata si staglia però un problema di sicurezza concreto. Più gli agenti AI operano in autonomia su sistemi aziendali reali — leggendo file, accedendo a database, eseguendo operazioni — più diventano bersagli appetibili. Gli attacchi di prompt injection sono oggi la vulnerabilità più sfruttata nei sistemi basati su modelli linguistici: istruzioni malevole vengono nascoste nei contenuti che l’agente elabora — un’email, una pagina web, un documento recuperato tramite RAG — e il modello le interpreta come comandi legittimi. OWASP ha classificato il prompt injection come la minaccia numero uno per le applicazioni LLM. Il problema strutturale è che istruzioni e dati arrivano al modello nella stessa forma — testo in linguaggio naturale — senza un confine architetturale che li separi.
La società di sicurezza britannica Tracebit ha sviluppato una contromisura che ribalta questa logica, definita context bombing. L’idea è inserire istruzioni-esca all’interno di risorse fittizie — bucket AWS, chiavi IAM, segreti di sistema — progettate appositamente per sembrare reali. Quando un agente AI malevolo accede a queste risorse e incontra le stringhe nascoste, attiva involontariamente i propri meccanismi di rifiuto, bloccandosi. Nei test su cinque modelli — tra cui Claude Opus 4.8 di Anthropic — un singolo context bomb ha ridotto i casi di escalation ai privilegi amministrativi dal 57% al 5%, e il tasso di compromissione completa dal 36% all’1%. Anthropic aveva già segnalato a novembre 2025 che un gruppo legato a interessi statali cinesi aveva usato Claude Code per attaccare autonomamente circa 30 obiettivi globali, senza intervento umano diretto.
Il context bombing non chiude definitivamente la questione. Gli attaccanti possono cambiare modello, filtrare i contenuti prima di passarli all’agente o costruire sistemi personalizzati con guardrail più allentati. Ma introduce qualcosa che mancava: un meccanismo difensivo che non richiede di correggere il modello alla radice, perché agisce sullo strato applicativo dove i dati sensibili già risiedono. Se la tendenza verso utenti non tecnici che operano agenti in autonomia continua — e i dati suggeriscono che continuerà — la sicurezza di questi ambienti non può più essere una questione delegata solo ai team di ingegneria.
