Pagina 1 di 3
Maurizio Fonte - Consulente Informatico - Ingegnere del Software e Cyber Security Specialist Freelance
Il problema con i SIEM tradizionali per le PMI è il costo e la complessità. Ho costruito una pipeline alternativa con Claude API che legge i log di Nginx, PHP-FPM e MySQL ogni 15 minuti, identifica pattern anomali e invia alert su Slack solo quando c'è qualcosa di reale. Falsi positivi quasi azzerati. Continua a leggere
Dopo 18 mesi di utilizzo quotidiano di LLM per lavoro tecnico, ho catalogato i pattern di prompting che producono output consistenti per task specifici: refactoring di classi PHP, generazione di test, analisi di log e scrittura di query complesse. Vi condivido il mio prompt library con esempi concreti. Continua a leggere
Ho integrato Claude API nelle PR di tre team di sviluppo PHP. Il bot non sostituisce la review umana - intercetta gli errori ovvi (SQL senza parametri, input non sanitizzati, query N+1) lasciando ai senior il tempo per il ragionamento architetturale. Il numero di bug in produzione è sceso del 40% in tre mesi. Continua a leggere
Un cliente con 120.000 righe di codice PHP senza un byte di documentazione. Ho costruito una pipeline con Claude API che estrae contesto da ogni file, genera documentazione in italiano calibrata per il team non-tecnico, e la pubblica su Confluence automaticamente a ogni deploy. Costo operativo: 2€/mese. Continua a leggere
Il Model Context Protocol cambia il rapporto tra AI e strumenti aziendali: non più prompt, ma chiamate a strumenti tipizzati. Ho costruito tre MCP server per altrettanti clienti - uno per il database ERP, uno per il CMS, uno per il sistema di ticketing. Il tempo di task ripetitivi è sceso del 70%. Continua a leggere
Uso Claude Code quotidianamente da sei mesi su basi di codice PHP legacy. Non come sostituto del ragionamento - come amplificatore. Vi racconto il mio flusso reale: quali task delego completamente, quali richiedono supervisione stretta, dove l'AI sbaglia sistematicamente e come ho costruito i guardrail nel mio workflow. Continua a leggere
Una finanziaria di medie dimensioni mi ha chiesto di revisionare la sicurezza di un'applicazione di prestiti ancora in sviluppo. In due ore di threat modeling con STRIDE abbiamo identificato 14 rischi significativi - cinque dei quali avrebbero richiesto settimane di refactoring se scoperti dopo il lancio. Continua a leggere
Su cinque API Laravel con OAuth 2.0 auditate nell'ultimo anno, quattro avevano almeno una vulnerabilità critica nell'implementazione. La più comune era l'assenza di validazione del parametro state, che apre a attacchi CSRF sull'autorizzazione. Vi mostro le vulnerabilità, i payload di test e le fix. Continua a leggere
Ho analizzato 200 snippet PHP generati da Copilot e ChatGPT nel contesto di progetti clienti: il 23% conteneva vulnerabilità, di cui il 8% classificabili come high severity. I pattern sono prevedibili: prepared statements dimenticati, input validation assente, errori gestiti con die(). Ecco come fare audit sistematico. Continua a leggere
Ho trovato un SSRF in un sistema di webhook di un SaaS Laravel durante un assessment. Il client HTTP di Laravel, senza validazione dell'URL di destinazione, permetteva di raggiungere i metadata AWS e l'intranet del cliente. Vi spiego il percorso di exploitation completo e le tre righe di codice che lo avrebbero impedito. Continua a leggere
