Oggi convergono tre segnali che riguardano direttamente come lavoriamo e cosa vendiamo. Il primo è sull’AI come arma difensiva per la supply chain. Il secondo è un breaking change nel nostro stack mobile. Il terzo è la conferma che l’intersezione ACN-GDPR è il terreno su cui il nostro posizionamento compliance diventa fatturato.

1. Claude Mythos e Project Glasswing: l’AI diventa infrastruttura difensiva

Due annunci nella stessa giornata che segnano un punto di svolta.

Anthropic ha sviluppato Claude Mythos ma ha deciso di non rilasciarlo al pubblico, rendendolo disponibile solo a un gruppo ristretto di ricercatori di sicurezza. È il primo modello classificato come “troppo pericoloso per il rilascio generale” dai tempi di GPT-2. La system card documenta capacità offensive che Anthropic ha ritenuto prudente non distribuire.

Simultaneamente, la Linux Foundation ha lanciato Project Glasswing, un’iniziativa che mette AI avanzata direttamente nelle mani dei maintainer open source per individuare vulnerabilità nel codice critico. Non è un tool commerciale: è infrastruttura pubblica per la sicurezza del software.

Per chi come noi costruisce su stack open source e sta investendo in supply chain security (SBOM, Sigstore, audit GitHub), il messaggio è chiaro: l’AI come strumento difensivo sistemico è la direzione. Non più un nice-to-have, ma un layer infrastrutturale. Questo rafforza la decisione presa nel bollettino di ieri di strutturare un’offerta di supply chain security come servizio.

2. Flutter: Material e Cupertino escono dal framework core

Code freeze annunciato: le librerie Material e Cupertino saranno estratte dal framework Flutter e spostate in pacchetti separati. È un cambiamento architetturale che impatta direttamente il nostro stack mobile.

In pratica: ogni app Flutter in produzione che importa da material.dart o cupertino.dart — cioè tutte — sarà interessata dalla migrazione. Non è un’emergenza, ma il costo di non prepararsi cresce ogni settimana.

Cosa fare

Entro questo mese: audit delle dipendenze su tutte le app Flutter in produzione e in sviluppo. Mappare quali importano direttamente dalle librerie Material e Cupertino integrate nel framework. Identificare i breaking change potenziali e stimare l’effort di migrazione prima che il decoupling sia completato.

3. Schneier: la cybersecurity nell’era del software istantaneo

Bruce Schneier analizza cosa succede alla sicurezza quando l’AI genera software custom su richiesta. La tesi è netta: i modelli di sicurezza attuali presuppongono software stabile, revisionato, mantenuto. Nessuna di queste condizioni regge in un mondo di software effimero.

Per chi sta spostando il team verso AI-native development — e noi lo stiamo facendo — è il contrappeso necessario. La velocità di delivery allarga la superficie d’attacco in modi che non abbiamo ancora imparato a misurare. Collegato al discorso Glasswing di cui sopra: servono strumenti difensivi che scalino alla stessa velocità con cui l’AI genera codice.

Questo è anche materiale per un possibile post sul blog aziendale. L’articolo di Schneier, Project Glasswing e il fenomeno “vibe coding” (che su Bluesky è già diventato meme) sono tre angoli della stessa frattura. Un pezzo che connetta la velocità dell’AI-native development con la responsabilità giuridica (Product Liability Directive, CRA) avrebbe un posizionamento unico nel dibattito italiano.

4. ACN alza l’asticella: l’intersezione con il GDPR che genera domanda

Le specifiche tecniche ACN aggiornate nel biennio 2025-2026 impongono nuovi requisiti di sicurezza di base che si sovrappongono agli obblighi GDPR per chi tratta dati particolari. Per i clienti PA e sanità di Oltrematica, questo significa adeguamento tecnico-organizzativo. Per noi, significa domanda diretta di consulenza e implementazione.

L’intersezione ACN-GDPR è esattamente il terreno dove il posizionamento compliance diventa differenziatore concreto. Serve una gap analysis sui sistemi attualmente gestiti per clienti nel perimetro NIS2/GDPR, verificando l’allineamento alle nuove misure ACN. È un potenziale upsell immediato e strutturale, non un one-shot.

A margine: il pacchetto Digital Omnibus europeo punta a semplificare l’onere compliance razionalizzando AI Act, CRA, NIS2 e GDPR. Se procede, il nostro vantaggio deve evolvere: da “conformità come servizio raro” a “conformità come servizio integrato e continuo, più facile da adottare”. Quando la barriera si abbassa, vince chi rende il percorso più fluido, non chi lo rende possibile.

5. Consultazione UE sull’energia AI — deadline 15 maggio

La Commissione europea ha aperto una consultazione mirata su come misurare energia ed emissioni di modelli e sistemi AI, in attuazione dell’AI Act. I criteri che usciranno da questa consultazione diventeranno requisiti di compliance per chi deploya componenti AI in ambito PA e sanità.

Se Oltrematica vuole posizionarsi come consulente compliance AI Act, avere una posizione documentata su questa consultazione è un asset commerciale concreto verso i clienti PA. Anche solo un’analisi interna dei termini dimostra competenza che i competitor non hanno.

6. Steve Schoger progetta interfacce con Claude Code

Il designer di riferimento dell’ecosistema Laravel/Tailwind mostra come usa Claude Code per trasformare prompt in linguaggio naturale in interfacce complete e curate. Non è un tutorial: è una validazione concreta che il workflow AI-native funziona anche per il design, non solo per il backend.

Direttamente applicabile al nostro stack TALL + Filament. Vale un workshop interno: testare la generazione di interfacce da specifiche in linguaggio naturale, misurare tempo risparmiato e dove servono interventi manuali.

7. GitHub: fix di sicurezza in batch sulle pull request

Piccolo cambiamento, grande impatto. Il code scanning di GitHub ora permette di applicare in blocco i suggerimenti di sicurezza nella tab Files Changed delle pull request. Meno attrito nel DevSecOps quotidiano significa che i fix di sicurezza vengono effettivamente applicati, non rimandati.

Richiede attenzione

Cosa Quando Perché
Audit dipendenze Flutter Material/Cupertino Questo mese Code freeze attivo, costo di non prepararsi cresce
Analisi consultazione UE energia AI Entro 15 maggio Asset commerciale per posizionamento AI Act
Gap analysis ACN su clienti PA/sanità Q2 Upsell strutturale, non one-shot

Letture per il team

In ordine di priorità per chi ha poco tempo:

L’analisi di Schneier sul software istantaneo e la sicurezza è la lettura più urgente — cambia il modo in cui pensiamo al rischio nel nostro workflow AI-native. Il pezzo su context engineering per agenti AI è direttamente applicabile a come strutturiamo le specifiche per Claude Code: la qualità del contesto determina la qualità dell’output. Il confronto Cursor vs Claude Code dopo sei mesi di uso quotidiano aiuta a validare le scelte di tooling.

Per chi ha più tempo: il podcast Latent.Space sulla “dark factory” di OpenAI — 1M LOC, 1B token/giorno, 0% codice umano — è il caso limite dell’automazione spinta all’estremo. Il nuovo modello operativo per lo sviluppo prodotto di Department of Product mostra come Spotify, Linear e Claude Code stanno ridisegnando i processi, con la tesi che il valore si sposta dalla scrittura del codice alla definizione del problema.

Mercato IT e PA

Segnali dal contesto italiano che confermano le direzioni strategiche:

  • Sovranità digitale come leva industriale: i requisiti di localizzazione dati e indipendenza da vendor extra-UE orienteranno sempre più il procurement PA/sanità. Rafforza la posizione dei fornitori italiani con stack controllato e competenze SBOM/supply chain security.

  • Post-PNRR, le Regioni diventano orchestratori: dopo la scadenza del 30 giugno, il prossimo ciclo di domanda PA sarà su integrazione di sistemi, interoperabilità e servizi digitali territoriali. Le Regioni del centro Italia avranno bisogno di partner che sappiano integrare sistemi rispettando NIS2, GDPR e requisiti di localizzazione. Oltrematica ha il profilo giusto, ma serve un’offerta strutturata.

  • Big tech verticalizzano lo stack AI: il rischio è la dipendenza crescente da pochi provider che controllano prezzi e accesso. Conferma la scelta di mantenere le dipendenze da provider AI sostituibili.

  • Il General Counsel diventa copilota d’impresa: i dipartimenti legali cercano strumenti digitali che li aiutino a governare la complessità normativa. C’è spazio per soluzioni verticali — i clienti studi legali hanno esattamente questo bisogno.

  • Laracon US 2026: Boston, 28-29 luglio. Speaker: Taylor Otwell, Aaron Francis, Nuno Maduro. Da valutare la partecipazione.