Note di Matteo

L’unica arma efficace che le aziende private e le pubbliche amministrazioni possiedono non risiede nell’ingaggio di un singolo super-hacker a costi esorbitanti, ma nella costruzione di una solida e pervasiva cultura della sicurezza. La difesa di una catena di supermercati, di un’industria manifatturiera o di un ente locale non è una questione puramente economica o di budget inaccessibili; è, al contrario, una stringente questione di competenze diffuse.

Giancarlo Rosa in Perché ci hackerano il frigo?

it's as simple as i do this for fun, and i don't find giving an ai all the fun at poking at something instead of doing it myself fun. put it another way, i like using my brain

i like coding, i like staring at devtools, binary ninja, or whatever else for hours, i like exploring weird library source code and tracing it with nothing but github code search and a dream, it is fun to me. i don't do anything on this blog for money, i do it for fun, the money part is just a nice side effect

[...] i think that people have been way too lost in this wave of ai everything, that they are disregarding doing things themselves by a whole lot. it is still extremely fun to just, write code yourself, debug things yourself, stare at minified js bundles for hours at a end, cycle through random interesting looking subdomains, it's all fun! and i feel people have forgotten that a bit

xyzeva, security researcher, in so i guess everyone uses llms to think now.

AI may be a great calculator, but in business, intelligence is mostly judgment. Judgment depends on context, and the answer varies with which human or which model you ask. Perhaps most importantly, AI does not understand accountability, trust, culture, unwritten rules, ethical trade-offs or fairness, all of which shape reputational risk and ultimately drive revenue growth and profit margins.

(Apollo)

So basically, today PHP got two critical bugs that let anyone run code on your server without even logging in, which is bad, and then the details leaked before the patch was even out, which is worse, and it works on WordPress and MediaWiki and Magento and Joomla and Laravel, and Censys says like 1.5 million servers are running a version with no fix, so the NSA was like "take your system offline," and the FBI was like "take your system offline," and CISA and the UK and CERT-EU were all like "take your system offline," and then the Prime Minister of Japan, the actual Prime Minister, posted at 5:55 in the morning telling 48.8 million people to take their system offline, so everyone took their system offline, like the Dutch cybersecurity agency took its own website offline, and the Dutch parliament went offline, and the Port of Rotterdam went offline, and Finland and France and Denmark started pulling government sites, and Wikipedia went down, and http://Archive.org went down, and Asana and GOG and Something Awful went down, and the University of Vienna's webmail went down for some reason, and that's just PHP. Because GitLab also dropped a CVSS 10.0, which is the highest score they give out, for a bug that's been there since 2014, so that's every self-hosted GitLab for twelve years, and then LiteLLM 1.107.0 got hijacked and shipped a credential stealer and a remote access trojan in every single wheel and the Docker images, including latest, and you didn't even have to import it, just installing it was enough, and it's the second time this year, and then Railway paused every deployment on the entire platform because someone got into the environment variables, so now everyone has to rotate every secret they've ever stored there, and TiDB Cloud said someone was walking around inside with stolen credentials for basically a month and an extortion group says they took 10.6 terabytes, and Zeabur got breached for the second time in two months and is just shutting down, like the whole company, and Node.js patched remote code execution and a TLS bypass, and CISA says Plex is being actively exploited, and someone took over 300 Tor exit relays to steal SSH passwords, and SafePay ransomware has hit over 600 critical infrastructure orgs, and India's biggest bank filed a data loss incident, and Japan has been in an official state of emergency in cyberspace since October 9, which honestly explains the 5:55 AM post. Oh, and eMudhra, a certificate authority that's issued over 60 million certificates, whose entire job is proving websites are who they say they are, was supposed to be using private keys that are random numbers over a hundred digits long, and one of them was 4. Just 4. And the others were like 66 and 237. Anyway, it's Wednesday.

(@fiveoutofnine)

I think good products carry something of the people who make them. Their experience, what they care about, and how they think things should work. You might not know who those people are, but you can feel their perspective in the product.

Karri Saarinen, CEO di Linear, in Someone behind the software.

AI makes projects with weak engineering culture fail much faster.

Florian Herrengt in AI is removing the middle class of software engineering.

Very often, we found that the role of the engineers was to tell Claude “no.”

Anthropic in Redesigning source control at Anthropic.

I took a break this summer from paying attention to AI. I thought that when I came back, I'd feel left behind. But when I came back, I realized that nothing has really changed.

There's new models, there's new techniques, there's new agents. But in the end, making great products, increasing revenue, and building the business—it's still hard.

It's clear the tools are getting better, you can do more, you can do it faster. But I think the more important question is: are we actually making better things with these tools? Are our teams getting better with these tools?

I don't think that answer is clearly yes.

There's a lot of emphasis now on toolmaking and using tools and building systems. But I think in the end, as product people, our job is to make something great.

Lenny Rachitsky, CEO di Linear.

working at a higher level of abstraction has always required understanding the lower level ones, I don't think coding agents changes this

Thariq Shihipar, engineer @ Anthropic.

many people really loved the craft of writing software and realized that the quality of software products was a partial derivative of the quality of the codebase. people would go out of their way to only work for founders who understood this and made this core to their companies. [...]

In this new age of ai agents, I couldn't be more excited that I can build products faster and at a higher quality than I ever could before. [...] everyone has been given superpowers! [...]

on the flip side, it feels dissociative to know that the craft of writing software itself is dead, after spending close to two decades doing it. [...]

I've had my last debate over linting, my last conversation about how many weeks we should spend cleaning up tech debt, my last PR where I wrote every character by hand, and my last bug fix that took hours of reading through thousands of lines manually to find the one line with no tests that broke things.

and so I empathize with the mathematicians who have lost the craft of mathematics that defined their working hours, their passion, and for many, their identities.

yes, most of the work they did, as viewed by outsiders, was a means to an end: to get the solution! but they, like software engineers, have lost part of the craft that felt core to the work.

Ben Williams, founder di Hansel.so.

The future depends on wisdom that Silicon Valley lacks. Wisdom about how to handle dangerous technology and, more fundamentally, wisdom about what it means to care for people. This moment needs a degree of humility that isn’t natural for people who have succeeded through their extreme confidence.

David Robinson, ex safety @ OpenAI in I Quit OpenAI Because Its Culture Is Broken.

Questa cosa di occuparmi di Ucraina mi rende meno tollerante con le cose che ascolto in Italia. Prima di partire ho sentito un commentatore in tv dire che «dovremmo dare le armi all’Ucraina soltanto se accettasse di trattare». L’implicazione era che quei matti degli ucraini non vogliono negoziare la pace. Non c’era un contraddittorio in studio, quindi questa cosa è stata fatta passare come se fosse verosimile. È soltanto un esempio fra tanti.

Facciamolo qui su Outpost il contraddittorio. L’Ucraina soltanto quest’anno ha proposto alla Russia cinque cessate il fuoco: a marzo, aprile, maggio, giugno e settembre. Quattro sono stati respinti, l’unico che è stato accolto dai russi è stato quando c’erano gli inviati di Trump a Kyiv e valeva solo per Kyiv (del resto sarebbe stato imbarazzante se i russi avessero dronato per errore il genero di Donald Trump). Inoltre nel 2026 gli ucraini hanno proposto, di nuovo per cinque volte, un incontro in campo neutro tra il presidente Zelensky e Putin. Anche queste proposte sono state ignorate.

Mentre sto scrivendo queste righe un drone russo ha colpito una scuola a Kyiv, età degli studenti dai 7 ai 18 anni. Non si è fatto male nessuno perché tutti erano scesi con gli insegnanti nel rifugio. Guardo il video: il drone ha centrato la facciata della scuola. Dal punto di vista militare un bombardamento così non ha alcun senso. Persino i russi sanno che se ammazzano decine di bambini ucraini mentre sono nelle loro classi in un mattino chiaro di settembre non ottengono nulla se non reazioni inferocite. Ma anche se avessero colpito quella scuola per sbaglio, è ovvio che accettano senza farsi troppi problemi il rischio di far saltare in aria edifici pieni di civili.

Ieri, mercoledì 30 settembre, hanno lanciato contro le città ucraine 473 droni, ciascuno con la sua bella testata esplosiva da novanta chilogrammi.

Ho chiuso il paragrafo e sento un grosso botto, un missile della contraerea ucraina ha fatto esplodere in cielo un drone russo che stava attaccando la centrale termica Tets-5. Vabbè, ci siamo capiti, l’andazzo è questo.

Daniele Raineri in Outpost, dall'Ucraina.

Mi state dicendo che dipende da me? Mi state dicendo che se muoio è colpa mia? È perché non ho combattuto abbastanza, mi sono arresa? Ma a cosa, di grazia, mi sarei arresa? Alle mie cellule, al mio corpo, a me stessa? Come faccio a combattere contro me stessa? Che razza di guerra sarebbe quella di una persona contro una malattia potenzialmente mortale? Io, a mani nude, contro un cancro? Contro una malattia autoimmune, un virus letale? Io contro il morso di un serpente? Servirà un antidoto, contro il morso di un serpente, o no?

Pensate che il vaiolo sia stato debellato dalla forza del pensiero dei malati di vaiolo? Che si siano messi in cerchio e concentrati moltissimo? Che abbiano cantato una nenia apotropaica? Pensate che i bambini che morivano di polmonite o di un’infezione quando non esistevano gli antibiotici, quelli che a migliaia muoiono ancora oggi dove gli antibiotici non ci sono — nei Paesi poveri, nei Paesi in guerra, sotto embargo — muoiano perché non combattono abbastanza?

Cioè: chi muore è stato scarso in battaglia? I migliori vivono, i peggiori muoiono? Ma veramente? Non avete dunque mai visto nessuno affrontare una malattia? Perché questo si fa con le malattie: si affrontano. Ci si affida a chi sa cosa bisogna fare e lo si fa.

Dove si è perso, il bandolo di questo ragionamento elementare, mi domando. Quando è che abbiamo smesso di credere che a combattere le malattie sono i medici, la medicina, i farmaci, benissimo anche quelli alternativi se funzionano purché funzionino. Favolose le erbe o l’ipnosi, se bastano, ma quando non bastano servono penicillina e cortisone. Serve un intervento chirurgico e qualcuno che lo sappia fare. Serve un trapianto, se un organo non funziona più. Non combatti contro il tuo rene. Non stai in trincea contro il tuo pancreas.

L’unica battaglia da fare è una battaglia collettiva, non individuale: è la battaglia per pretendere che siano investite le massime risorse in ricerca scientifica. Che i ricercatori siano pagati dignitosamente, assunti e non graziati per decenni con borse di studio da poche centinaia di euro, che siano messi in condizione di lavorare in questo Paese e non di espatriare.

La battaglia da fare, non da soli ma tutti insieme, è quella per la sanità pubblica: che ci siano i soldi, quanti ne servono e non sempre meno, ogni anno di meno. Che ci siano abbastanza infermieri e operatori sanitari e locali e macchinari per rispondere al bisogno di tutti. Che non sia per i ricchi, la salute. Questa è la battaglia. È una battaglia politica che dovrebbe chiamare alla rivolta di popolo, ma invece.

Concita de Gregorio in Altro che guerrieri, quella per la salute è una battaglia collettiva, su la Repubblica.

Quando la realtà diventa minacciosa come in questo momento, l'esercizio più importante secondo me è porci nei confronti della realtà con un approccio che non sia rassegnato. Perché molto spesso, soprattutto tra le persone più giovani, ci consideriamo sfortunati perché siamo nati in un'epoca disgraziata, forse la peggiore epoca che ci sia. Facciamo dei discorsi parlando dei problemi che abbiamo nei quali infiliamo seriamente le parole "estinzione umana", fine del mondo — che si parli dell'emergenza climatica o dell'intelligenza artificiale — e abbiamo la percezione di vivere in un momento in cui alcune persone dicono "è irresponsabile fare i figli". Perché "come fai a mettere al mondo un bambino o una bambina in un mondo come questo", o "creare un nuovo essere che inquina ed emette missioni inquinanti"?

Se quello è l'approccio che abbiamo nei confronti della realtà, intanto siamo molto disinformati. Nemmeno negli scenari più catastrofici fatti dagli scienziati dell'IPCC, l'ente dell'ONU sul clima, si parla mai di estinzione umana, e nemmeno esiste la prospettiva che la vita media delle persone si accorci. L'emergenza climatica è gravissima e va affrontata, ma non ci estingueremo, non c'è l'apocalisse davanti a noi, non c'è la fine del mondo. Questo ci deve responsabilizzare, perché se io penso che il mondo sta finendo, quello è il pensiero più deresponsabilizzante che ci sia. Col cavolo che a quel punto chiudo il rubinetto quando mi lavo i denti o uso la cannuccia di carta, no? Non sono pronto a fare nessun sacrificio, se tanto andiamo verso l'apocalisse. Se tanto sono tutti marci e disonesti e tutti venduti, si vota per Trump — chi vuoi votare, se non c'è uno che sia meglio degli altri.

Se la linea che abbiamo è "il mondo non è mai andato peggio di così", quella è la ricetta per il disastro. Pensate chi è nato all'inizio del Novecento. Si è fatto, nell'arco dei primi 50 anni della sua vita, due guerre mondiali, cioè due guerre che in confronto a quelle nostre odierne, anche le peggiori, non sono niente, è quasi offensivo metterle a paragone. Due, non una, è finita una e poi ne è iniziata un'altra. In mezzo hanno avuto l'influenza spagnola, che in confronto la pandemia di COVID-19 era appunto un raffreddore. La crisi del '29, la più grave crisi economica della storia. Poi hanno compiuto 50 anni e sono morti perché quella era l'aspettativa di vita. No! In qualche caso sì, ma... noi facciamo a gara con questi?

Se siete delle donne, quando volevate nascere, qual era il mondo ideale, migliore di questo in cui nascere? Prima che il divorzio fosse legale in Italia? Prima che l'aborto fosse legale in Italia, cioè l'altro ieri? Se siete neri, volete giocare con la macchina del tempo? Secondo me no, il gioco "dove andreste con la macchina del tempo" lo possiamo fare noi bianchi privilegiati; un nero sta molto alla larga della macchina del tempo, perché se finisce nell'anno sbagliato — e l'anno sbagliato anche in questo caso forse è l'altro ieri — forse poi non torna nel suo presente. Semplicemente, quelle generazioni lì hanno avuto le loro grane, i loro problemi, a volte colossali e, malamente, certo, con tutti i loro limiti, certo, hanno provato a risolverli e andare avanti, e ci hanno consegnato un mondo che tutto sommato era migliore.

Questa è la missione che tocca a noi, noi che siamo vivi oggi. Non solo me, che ho 40 anni, chi ne ha 20, chi ne ha 60. Fare la nostra parte per risolvere i problemi che abbiamo noi adesso. Si può fare, anche per questo il libro si intitola "Come se ne esce", perché se no ci raccontiamo soltanto con narcisismo "ah, quanto siamo con la mano sulla fronte". A costo che cominciamo a occuparci della concretezza di uscirne davvero. Rifare le istituzioni, far funzionare le città. Uno pensa... all'ONU, cosa c'entro io con l'ONU? Candidati nel consiglio di zona del tuo quartiere, parti da lì. La democrazia si fa funzionare a partire da quella cosa lì. E così, forse, anche se non sono sicuro che ne usciamo, sono sicuro che se ne può uscire, passando da cose così piccole e cose grandi insieme.

Francesco Costa a Lezioni d'Autonomia.

I have retired from being a professional programmer. I think it was somewhere around 4 to 5 months ago, maybe March. I spent a quarter of a damn century chiseling code by hand and loving every moment of it. This is not something to look back upon with regret; this is something to look back upon with joy and accept that it is over.

Writing code by hand is no longer an economically productive enterprise for the vast majority of programmers working at the vast majority of companies. On the other side of that is a new career as a professional maker of things, steering intelligence that was only available in science fiction up until a few moments ago.

David Heinemeier Hansson (DHH), creatore di Ruby on Rails, durante il keynote Rails Word.

Il problema maggiore delle carceri italiane non riguarda chi ci sta dentro, ma chi ne sta fuori e continua a proporle come strumento di riduzione dei pericoli per la comunità quando invece ne sono un fattore di conservazione, dei pericoli, e di aumento. Come dice ogni esperto di criminalità, e persino diversi direttori e direttrici di carceri, le carceri producono criminalità e contribuiscono solo in rare e quasi sempre fortuite occasioni a un "reinserimento" delle persone, con risultati di deterrenza limitati a quote assai parziali dei reati. L'attuale uso delle carceri crea pericolo, per "i cittadini", non sicurezza.

Luca Sofri nella newsletter Charlie del 13 settembre 2026.

One of my most successful life-hacks is to avoid people I don’t like or don’t trust. I decline to interact with them socially, and make a deliberate effort to avoid working with them too, even if they are doing much that is beneficial. I feel that hanging out with pleasant, capable people, the people with integrity, has made my life a far better one.

Martin Fowler in I don't like LLMS.

The better these tools become at resolving routine incidents, the less practice human responders will get. And when an ambiguous, high-severity incident comes in that automation cannot solve, responding engineers will be in trouble.

These AI-assisted incident response tools, more commonly called “AI SREs” – a term I don’t particularly like – are fantastic in many ways. They feel especially magical when they handle a routine incident at night and you don’t have to wake up for a capacity issue.

The problem is that routine incidents are also how responders “safely” develop an intuition for how their systems behave and fail. When AI runs into a hard, never-seen-before incident it cannot solve, engineers will have to take over with less practice than they would have had before.

Human-factors researcher Lisanne Bainbridge described this paradox in her famous 1983 paper, The Ironies of Automation. She explained that automation reduces operators’ opportunities to practice routine work while leaving them responsible for new and abnormal situations. She argues that, therefore, operators need to be more skilled and receive even more training than before automation.

In the years to come, I predict that the average MTTR for most incidents will go down – thanks to AI-assisted incident response – but that the resolution time will shoot up for complex incidents because incident responders lost touch with their system and are struggling to investigate.

Sylvain Kalache in AI handles incidents, engineers lose touch with their systems.

Finally realized why it’s so exhausting and stressful to work with AI agents 8h a day.

When delegating a task, you want to be assured it’s off your plate and you can forget about it, knowing it will be done completely and correctly. AI doesn’t give you that: you need to check it’s doing the right thing, it’s not forgetting anything, not taking short cuts etc.

So it adds to your mental load, rather than removing from it.

Gunnar Morling, software engineer.

Se fossero nate a San Francisco le chiameremmo ✨decacorn✨, cioè società leggendarie valutate più di dieci miliardi. Siccome sono nate a Pesaro e a Lodi, le chiamiamo gestionali.

Giulio Michelon in Esistono i decacorn in Italia?