Consulente Informatico e Consulente AI per PMI italiane

Backend Engineer, Software Architect, Cybersecurity Specialist. Sede Torino, operatività remota nazionale.

Chi sono
Lavoro nell'IT dal 2005, laureato in Ingegneria Informatica al Politecnico di Torino nel 2008, consulente indipendente con P.IVA italiana dal 2014. Mi presento come Senior Backend Architect con specializzazione in cybersecurity e integrazione di LLM in sistemi di produzione - tre competenze che vent'anni fa sarebbero state tre carriere separate, e che oggi convergono sullo stesso tavolo di decisione di qualunque PMI che voglia fare le cose per bene.
Il mio lavoro quotidiano tocca backend PHP (Laravel, Symfony), infrastrutture Linux su Cloud come Hetzner, OVH, Contabo, Digital Ocean, Amazon AWS, e audit di sicurezza con approccio offensive (OWASP Top 10, OWASP LLM Top 10, NIS2), e pipeline AI private self-hosted per aziende con vincoli di data sovereignty.
L'approccio è ingegneristico in senso stretto: ogni scelta tecnica deve reggere in produzione, essere auditabile, restare manutenibile da chi arriverà dopo di me. Progetto infrastrutture dove il cliente controlla dati, costi e governance - non semplici ecosistemi dove l'AI è una "black box a noleggio" da ricomprare ogni anno.
Come lavoro

Il mio metodo in 5 passi

  1. 1
    Audit tecnico e funzionale.

    Lettura del codice, dell'infrastruttura, delle scelte fatte. Capisco cosa c'è prima di proporre cosa cambiare. Output: report scritto con stato attuale, rischi, debiti tecnici, opportunità.

  2. 2
    Proposta scritta con scope e rischi.

    Scope, deliverable, tempi, prezzo, esclusioni, rischi identificati. Se il progetto non porta valore reale al business, lo dico in proposta e restiamo liberi da impegni.

  3. 3
    Implementazione incrementale.

    Lavoro in milestone visibili, con commit e PR review. Niente big-bang releases, niente "consegno tra 3 mesi". Vedi il progresso e correggi rotta in tempo reale.

  4. 4
    Monitoraggio e hardening post-deploy.

    Dopo la consegna: monitoring metriche reali, audit di sicurezza post-rilascio, fix dei bug riconducibili al codice scritto entro 30 giorni di garanzia prioritaria.

  5. 5
    Knowledge transfer al team interno.

    Documentazione tecnica scritta per chi arriverà dopo di me, sessioni di handover con il team, runbook operativi. Niente vendor lock-in, niente codice "intoccabile".

Casi reali, anonimi per NDA

Tre interventi recenti, con metriche prima/dopo

Nomi clienti omessi per accordi di riservatezza. Dimensioni e settori reali, numeri reali.

Refactoring Laravel legacy

PMI manifatturiera Piemonte (DA 2.000.000 EUR). Refactoring incrementale Laravel 5 → 11 in 4 mesi senza fermo produzione, su gestionale interno usato da 30 utenti operativi.

  • Response time 350ms → 80ms al 95° percentile
  • Deploy time 25 min → 90 sec
  • Zero incidenti post-migrazione
Audit di sicurezza pre-NIS2

SaaS B2B emiliano (40 clienti enterprise). Audit di sicurezza applicativa e infrastrutturale in vista dell'adeguamento NIS2, con remediation plan e formazione team interno.

  • 12 vulnerabilità chiuse in 3 sprint
  • Hardening Linux su 4 VPS di produzione
  • Formazione 8 dev su OWASP Top 10
Integrazione LLM privata

Studio professionale Lombardia. Integrazione LLM su knowledge base documentale interna (2400 documenti, ~140 MB) con vincolo data sovereignty. Stack: Ollama + Mistral + pgvector + MCP server custom.

  • Tempo medio risposta 14 min → 90 sec
  • Cost tracking deterministico
  • Zero dati usciti dall'infrastruttura del cliente
Ultimi articoli

Dal blog — NIS2, Laravel, Symfony, sicurezza applicativa

28/05/2026

Anthropic prompt caching workspace-level: ridurre il 95% dei costi API su un RAG aziendale

Anthropic prompt caching workspace-level: ridurre il 95% dei costi API su un RAG aziendale Dal 5 febbraio 2026 Anthropic offre prompt caching a livello di workspace, con cache hit al 10% del prezzo input standard. Ho migrato il mio chatbot RAG aziendale (system prompt da 3.800 token, 340 documenti retrieval context) e misurato un risparmio del 95% sulla parte prompt ricorrente. Ti racconto passo passo la migrazione, gli errori che ho fatto con la cache invalidation, e come stackare caching + batch per arrivare al minimo teorico. Continua a leggere
27/05/2026

METR Time Horizon e benchmark maxing: come leggere i grafici di progresso degli LLM senza farsi ingannare

METR Time Horizon e benchmark maxing: come leggere i grafici di progresso degli LLM senza farsi ingannare Il grafico METR che mostra Opus 4.6 capace di risolvere compiti di 12 ore di lavoro umano nel 50% dei casi è virale come prova di AGI imminente. Letto per intero, il paper limita il test a software, ML e cybersec, con CI da 5 a 65 ore. Il fenomeno si chiama benchmark maxing: i benchmark misurabili sono tutti su task verificabili, mentre legali, commerciali e medici restano fermi. Analizzo METR, RLVR e AA Omniscience per distinguere progresso da hype. Continua a leggere
26/05/2026

LangGraph pickle RCE CVE-2026-27794: supply chain alarm sulle pipeline LLM e come l'ho trovato

LangGraph pickle RCE CVE-2026-27794: supply chain alarm sulle pipeline LLM e come l'ho trovato Sto auditando una pipeline LangGraph nella mia sandbox di red team quando noto un'entry sospetta in Redis: un oggetto binario serializzato con pattern pickle. L'indagine porta a CVE-2026-27794 - JsonPlusSerializer(pickle_fallback=True) cade su pickle deserialization quando msgpack fallisce, e scrivere su cache Redis = RCE. Ti mostro la catena completa dalla scoperta al PoC all'hardening, con sigma rule Wazuh per rilevare la classe di attacco. Continua a leggere
I post più votati

Un riepilogo dei post più popolari e più letti

Il debito di comprensione: cosa l'AI accumula nella tua codebase mentre sembra accelerare

Il debito di comprensione: cosa l'AI accumula nella tua codebase mentre sembra accelerare L'AI scrive codice che passa i test, sembra pulito, esce in produzione. Ma quando alle 2 del mattino il sistema cade, nessuno sa più cosa stiamo guardando. Il debito tecnico lo vedi: lo accetti come scelta. Il debito di comprensione no, cresce silenzioso, e la sua compounding rate è la cosa più sottovalutata del coding 2026. Continua a leggere

La cascata sistemica del coding AI: vulnerabilità, paradosso di produttività, collasso della carriera junior

La cascata sistemica del coding AI: vulnerabilità, paradosso di produttività, collasso della carriera junior Quando misuri l'AI coding solo sull'output dei junior, sembra un boom di produttività. Quando misuri il sistema intero, la realtà cambia: il 45% del codice AI ha falle di sicurezza, i senior perdono il 19% di produttività riassorbendo il debito, i junior smettono di costruire i modelli mentali che li renderebbero senior domani. Il sistema si squilibria sotto la velocità apparente. Continua a leggere

Oltre lo specs-to-code: design concept, ubiquitous language e TDD per non annegare nell'output AI

Oltre lo specs-to-code: design concept, ubiquitous language e TDD per non annegare nell'output AI Scrivi una spec, lasci che l'AI la trasformi in codice, e quando qualcosa non va riapri solo la spec. È seducente. Non funziona: ogni iterazione produce codice peggiore. Il problema non è la spec, è che mancano le ossa del design su cui appoggiarla. Design concept, ubiquitous language, TDD: tre discipline pre-AI che oggi contano di più, non di meno. Continua a leggere

Il riposizionamento dell'ingegnere senior nell'era del prompt operator

Il riposizionamento dell'ingegnere senior nell'era del prompt operator L'ingegnere che l'AI sostituisce non è quello che fa il lavoro che l'AI può fare. È quello che non ha mai costruito il giudizio per riconoscere quando l'AI sbaglia. Il riposizionamento da autore di codice a intent manager non è una concessione, è la skill tecnica che decide chi sopravvive a questa transizione di carriera. Continua a leggere

L'architettura del codebase AI-friendly: deep modules, AI come dependency, e perché il debito non si refactora da solo

L'architettura del codebase AI-friendly: deep modules, AI come dependency, e perché il debito non si refactora da solo Architetture pensate per umani aiutano l'AI di più di architetture pensate per l'AI. Moduli profondi con interfacce semplici. AI integrata come dependency lenta e non deterministica, dietro circuit breaker e fallback. E la verità che spinge il mercato in direzione opposta: il debito accumulato oggi non sarà refactorato da nessun modello futuro, perché refactoring richiede intent originale, non sintassi. Continua a leggere

NIS2: Obblighi, Scadenze e Strategie per la Sicurezza Aziendale

NIS2: Obblighi, Scadenze e Strategie per la Sicurezza Aziendale NIS2 è molto più di un acronimo o di un insieme di articoli di legge: è un imperativo strategico per le aziende europee nell'era digitale. Immagina NIS2 come uno scudo protettivo digitale, un "aggiornamento di sistema" obbligatorio nell'evoluto mondo delle tecnologie Cloud e della estrema informatizzazione della quasi totalità dei processi aziendali. Continua a leggere