Sony ha pagato 50.000 dollari a Jordy, un ricercatore di sicurezza che ha segnalato una vulnerabilità critica nella PlayStation 5. La falla, individuata anche grazie a strumenti di intelligenza artificiale, permetteva di eseguire Linux su diverse versioni della console ed è stata corretta con il firmware 14.20, pubblicato il 21 ottobre 2026.
La segnalazione è stata inviata privatamente attraverso HackerOne, la piattaforma usata da Sony per il proprio programma di bug bounty. Il caso ha riacceso il confronto nella comunità degli hacker e degli appassionati di homebrew, soprattutto sul ruolo crescente dell’IA nella ricerca di vulnerabilità.
La vulnerabilità critica riguardava l’hypervisor della PS5
Il problema si trovava nell’hypervisor della PlayStation 5, il componente software che gestisce l’accesso alle risorse più sensibili della console. Il suo compito è anche mantenere separati il sistema operativo e l’hardware, creando un livello di controllo essenziale per la sicurezza della piattaforma.
Secondo le informazioni rese note dal ricercatore, l’exploit consentiva di eseguire Linux su più versioni di PS5. Non si trattava quindi di un malware, di un ransomware o di un virus diffuso attraverso la rete: la questione riguardava una falla del sistema che poteva essere sfruttata per ottenere funzionalità normalmente non disponibili sulla console.
La possibilità di avviare un sistema operativo alternativo è da tempo uno degli obiettivi principali della scena homebrew. Questa comunità riunisce sviluppatori e appassionati interessati a modificare le console, eseguire software indipendente e sperimentare soluzioni diverse da quelle previste dal produttore.
Nel programma di Sony, la ricompensa ricevuta da Jordy corrisponde al livello massimo previsto per una vulnerabilità classificata come critica. L’azienda aveva aperto il programma PlayStation al pubblico nel 2020, invitando ricercatori e appassionati a individuare problemi di sicurezza e a comunicarli prima di una loro eventuale divulgazione o di un possibile sfruttamento.
Perché Sony ha riconosciuto una ricompensa da 50.000 dollari
La segnalazione è stata gestita tramite HackerOne, un intermediario usato dalle aziende per ricevere rapporti tecnici sulle falle. Il meccanismo dei bug bounty prevede che il ricercatore comunichi privatamente il problema, fornendo le informazioni necessarie alla verifica e alla correzione, mentre l’impresa assegna una ricompensa in base alla gravità e all’impatto della vulnerabilità.
Nel caso della PS5, l’importo di 50.000 dollari riflette il livello più alto previsto dal programma PlayStation. La cifra non è legata alla diffusione di un attacco, né all’esistenza di campagne criminali basate su malware o ransomware, ma alla rilevanza tecnica della falla individuata nell’architettura della console.
La correzione è arrivata con il firmware 14.20, pubblicato da Sony il 21 ottobre. L’aggiornamento ha chiuso la vulnerabilità che permetteva l’esecuzione di Linux, rendendo necessario l’adeguamento del software di sistema per gli utenti interessati.
La decisione di Jordy divide la comunità degli hacker
La scoperta non era rimasta confinata a una sola persona. Il ricercatore Andy “TheFlow” Nguyen aveva già individuato il problema e, secondo quanto riferito, aveva chiesto a Jordy di rinviare la segnalazione fino all’uscita di GTA 6. L’obiettivo sarebbe stato lasciare agli appassionati il tempo di aggiornare la console per acquistare il gioco e continuare successivamente a usare Linux.
Jordy ha però cambiato posizione dopo aver saputo che anche un’altra persona era riuscita a trovare la stessa falla utilizzando strumenti di intelligenza artificiale. Il ricercatore temeva che la vulnerabilità potesse essere segnalata da qualcun altro prima di lui, con la conseguente perdita della ricompensa prevista da Sony.
La scelta ha provocato reazioni contrastanti nella scena homebrew. Nguyen ha annunciato l’abbandono dello sviluppo di Linux per PS5, criticando anche il ruolo sempre più rilevante dei modelli generativi nelle attività di ricerca sulle vulnerabilità.
Jordy ha difeso la propria decisione sostenendo che una falla ormai individuabile da più persone avrebbe avuto poche possibilità di restare segreta ancora a lungo. Il contrasto non riguarda soltanto la ricompensa economica, ma anche i tempi con cui rendere pubblica o comunicare al produttore una scoperta che può influenzare l’intera comunità degli utenti.
L’intelligenza artificiale accelera la ricerca delle falle
Il caso PS5 mostra come gli strumenti di IA stiano modificando il lavoro dei ricercatori di cybersecurity. I modelli generativi possono analizzare codice, riconoscere schemi e suggerire percorsi di verifica, riducendo il tempo necessario per esplorare componenti complessi come un hypervisor.
Questo non significa che l’intelligenza artificiale sostituisca l’analisi umana. La validazione della vulnerabilità, la costruzione dell’exploit e la comunicazione tecnica al produttore restano attività che richiedono competenze specialistiche. Tuttavia, l’accesso a strumenti capaci di assistere la ricerca può aumentare il numero di persone in grado di arrivare allo stesso risultato.
Per questo motivo, una vulnerabilità conosciuta da una cerchia ristretta può diventare più difficile da mantenere riservata. Nel caso della PS5, la scoperta parallela ottenuta con l’aiuto dell’IA ha spinto Jordy a procedere con la segnalazione a Sony attraverso HackerOne.
Aggiungi MRW alle tue fonti preferite su Google!
