Nikesh Arora ha messo alla prova i rischi posti dall'intelligenza artificiale avanzata all'interno di Palo Alto Networks ad aprile, liberando sull'infrastruttura interna dell'azienda di cybersecurity una versione inedita del modello Mythos di Anthropic. Il suo team ha incaricato il modello di cercare vulnerabilità.

Claude Mythos 5, il modello di frontiera di Anthropic per la programmazione avanzata e il lavoro di cybersecurity, si è rivelato così efficace nel penetrare sistemi che il governo degli Stati Uniti ha cercato di limitarne il rilascio. A giugno, il governo ha imposto temporaneamente controlli sulle esportazioni — restrizioni che limitano dove e a chi le tecnologie sensibili possono essere trasferite — su Mythos e su un modello correlato, Fable, costringendo Anthropic a disattivare entrambi i modelli per tutti gli utenti. In seguito, i funzionari hanno permesso ad Anthropic di ripristinare l'accesso a Mythos per un numero limitato di utenti statunitensi verificati e successivamente hanno autorizzato l'accesso per utenti selezionati in altri 15 Paesi.

Il test controllato presso Palo Alto Networks ha prodotto risultati preoccupanti. Mythos ha individuato debolezze con una velocità e una scala che hanno convinto Arora, amministratore delegato dell'azienda, che la cybersecurity fosse cambiata in modo permanente. Ha anche concluso che Mythos e i modelli concorrenti di OpenAI, rivale di Anthropic, avevano creato «il miglior momento di marketing nella storia dell'industria della cybersecurity».

I modelli hanno reso concreta uno scenario in cui gli attaccanti potrebbero identificare quasi istantaneamente vulnerabilità capaci di paralizzare le infrastrutture da cui dipendono banche, aziende, ospedali, aeroporti e governi. Recenti incidenti che hanno visto agenti IA «andare fuori controllo», insieme alla crescente preoccupazione per una catastrofe dell'umanità guidata dall'IA, hanno spinto diversi importanti fornitori di IA, tra cui Anthropic, a chiedere un rallentamento coordinato dello sviluppo dell'IA, per consentire alle misure di sicurezza di stare al passon
Per la cybersecurity, l'IA rappresenta al contempo un potenziale motore di crescita senza precedenti e una sfida esistenziale. Questa tensione ha collocato Arora, 58 anni, al centro di una resa dei conti più ampia nel settore tecnologico e lo ha reso un consulente ricercato dai leader dell'IA e da altri amministratori delegati.

Prima di Mythos, dice Arora, un'azienda contattata per discutere di cybersecurity avrebbe potuto rispondere: «Certo, si metta accanto al signore delle assicurazioni». Ora, dice, «per la prima volta, i CEO vogliono vedere Mythos, vogliono parlarne».

Mythos e sistemi simili hanno anche creato nuovi e potenti concorrenti per Palo Alto Networks. Le principali aziende di IA cercano di vendere direttamente i loro modelli come soluzioni di cybersecurity. Lee Klarich, chief product and technology officer di Palo Alto Networks, non lo considera una minaccia importante. «Non credo che le aziende si fidino dei grandi laboratori di IA per fornire la loro cybersecurity», dice Klarich. «Quindi, in quel contesto, penso che la voce di Nikesh si elevi sopra tutte le altre».

Un dirigente che negli ultimi anni si è spesso rivolto ad Arora per consigli è Sam Altman, CEO di OpenAI. Altman ha riconosciuto che le capacità dei modelli che la sua azienda sta costruendo hanno alterato l'equazione del rischio per le aziende di tutto il mondo.

«Per evitare gravi problemi di cybersecurity deve avvenire una quantità folle di lavoro», racconta Altman a Fortune. «Penso che sarà difficile correggere ogni bug di Internet. Qui serve un nuovo modello di cybersecurity».

È proprio il modello che Arora sta cercando di costruire in Palo Alto Networks, cofondata nel 2005 dall'imprenditore israeliano di cybersecurity Nir Zuk. Originariamente fornitore di firewall, l'azienda vende da sempre prodotti progettati per prevenire e rimediare ai cyberattacchi. Sotto Arora si è espansa concentrandosi intensamente sulla sicurezza nell'era dell'IA.

Palo Alto Networks gestisce oggi un'ampia piattaforma che copre sicurezza di rete, cloud, identità, endpoint e osservabilità. Tra i suoi clienti figurano circa il 95% delle aziende della Fortune 500. Tyson Foods e Colgate-Palmolive usano i suoi servizi, così come la National Hockey League e la Major League Baseball. L'azienda protegge anche la Sphere di Las Vegas, descritta da Palo Alto come uno degli spazi digitali più presi di mira al mondo.

Le stime del mercato indirizzabile totale della cybersecurity variano, ma collocano il suo valore nelle centinaia di miliardi di dollari. Jonathan Ho, partner e analista di research su titoli tecnologici di William Blair, ritiene che l'IA sia un vento a favore incondizionato che «cumulativamente probabilmente raddoppia le dimensioni del mercato». Palo Alto Networks dichiara di controllare attualmente il 6% del mercato, e Arora è convinto che l'azienda possa espandere la propria posizione.

Per chiunque risolva i problemi di cybersecurity dell'era dell'IA, l'opportunità potrebbe essere generazionale. Arora è però altrettanto diretto sui rischi, sostenendo che le vecchie certezze possono evaporare e che la crisi è diventata la condizione di base. «Non puoi risolvere laisi», osserva. «Le conseguenze sono già in atto. Quindi devi stare in modalità gestione delle conseguenze».

Arora è noto tanto per il suo stoicismo quanto per la sua provocatorietà. Immigrato negli Stati Uniti, in precedenza chief marketing officer, chief business officer e investitore, resta uno outsider nonostante i suoi vasti contatti nella Silicon Valley. È noto anche per dire a dipendenti, CEO e altre personalità la verità senza filtri.

«Ci sono poche persone che hanno la sua profondità e ampiezza, e ti dice ciò che non vuoi sentire», afferma Dara Khosrowshahi, CEO di Uber, dove Arora siede nel consiglio di amministrazione. «A volte, da CEO, è un lavoro solitario. Ci sono molte persone che ti fabbricano paragrafi addosso, e Nikesh non è una persona fabbricata in alcun modo».

Altman dice di consultare Arora dal 2023 circa. «Penso che sia difficile ottenere consigli diretti e azionabili», nota Altman. «La maggior parte delle persone non è sicura, non è fiduciosa, è impegnata o non intende dedicare abbastanza tempo. Forse non vogliono offenderti».

«Lo chiamo il sussurratore di CEO», dice Divesh Makan, partner di Iconiq Capital e comproprietario con Arora della squadra di cricket London Spirit. «Ad alcune persone non piace quanto lui sia diretto. “Ma chi ti credi di dirmi che questo non funzionerà!”. Te lo dirà gentilmente, ma ti farà sedere e ti dirà: “Guarda, penso che tu sbagli, ed ecco perché”. Penso che questo sia il segreto».

Quando Arora è diventato CEO di Palo Alto Networks nel 2018, la cybersecurity era in un punto di svolta. Il cloud era diventato il principale campo di battaglia, i volumi di cyberattacchi erano in aumento, e nessun leader complessivo del settore era ancora emerso. L'industria restava frammentata, con aziende sovrapposte l'una all'altra — una struttura che Klarich definisce scherzosamente «la conga line». Le aziende usavano un fornitore per la protezione di laptop e telefoni, un altro per l'infrastruttura cloud, e altri per esigenze di sicurezza diverse.

«Nessuna azienda di cybersecurity nel 2018 era mai passata dall'essere leader in una categoria importante all'essere leader in più categorie», aggiunge Klarich, in Palo Alto Networks da oltre 20 anni. «Symantec non è mai uscita davvero dalla sicurezza endpoint. McAfee, idem, anche se hanno provato ad acquisire la loro strada verso altri spazi. Cisco, non le definirei leader in altre categorie. Scendi la lista, non è davvero successo».

Arora ha concluso che Palo Alto doveva prendere il controllo, mentre i chief information security officer cercavano partner affidabili. La sua risposta è stata una strategia di «piattaformizzazione» che combinava ricerca e sviluppo interna con acquisizioni. Durante il suo mandato, Palo Alto Networks ha completato più di 25 operazioni, tra cui l'acquisizione da 25 miliardi di dollari di quest'anno della startup di identity security CyberArk, i cui strumenti regolano quali persone e macchine possono accedere ai sistemi aziendali. Alcune acquisizioni non hanno funzionato, ma l'obiettivo era creare una piattaforma di cybersecurity a tutto tondo capace di compet in tutto il settore.

«Se guardi la maggior parte delle industrie o delle categorie, il numero 1 e il numero 2 si prendono una quota sproporzionata del bacino di profitto, e il 3 e il 4 no», dice Arora. «Conosci un terzo motore di ricerca? Conosci un terzo social network?». Citando la battuta di Talladega Nights: «Se non sei primo, sei ultimo».

Finora la strategia ha funzionato. Matt Hedberg, managing director della software research di RBC Capital Markets, afferma che l'approccio full-stack di Palo Alto la differenzia dai concorrenti. I chief information security officer non vogliono acquistare decine o centinaia di soluzioni puntuali separate, dice; invece stanno «facendo una scommessa di piattaforma su Palo», confidando che l'azienda abbia le partnership, le integrazioni, le fusioni e acquisizioni strategiche e lo sviluppo organico di prodotti necessari per individuare la prossima minaccia sconosciuta.

Quando Arora ne ha preso le redini, Palo Alto valeva 18,51 miliardi di dollari, con 2,27 miliardi di ricavi annui e circa 5.300 dipendenti. Durante la preparazione di questo servizio, la sua capitalizzazione di mercato è oscillata tra 270 miliardi e oltre 300 miliardi di dollari in un mercato volatile. L'azienda ha registrato ricavi di 11,48 miliardi di dollari per l'anno fiscale 2026. Palo Alto Networks è entrata nella Fortune 500 nel 2025 ed è l'unica azienda pura di cybersecurity della lista.

«Non c'è ovviamente precedente per aziende [di cybersecurity] che arrivano alle dimensioni di Palo Alto», afferma Ho di William Blair. «I leader della generazione precedente come Symantec, McAfee e Cisco non hanno mantenuto l'innovazione. E alla fine, sono diventate così grandi che non riuscivano più a tenere i piatti in equilibrio. Palo Alto lo ha fatto meglio».

Il percorso di Arora verso Palo Alto Networks è iniziato in India. Nato a Ghaziabad, è figlio di un avvocato dell'aeronautica militare indiana. La sua famiglia si spostava spesso, e ha frequentato almeno cinque scuole prima di ottenere una laurea in uno dei prestigiosi programmi pubblici degli Indian Institutes of Technology presso la Banaras Hindu University.

Nel 1990, a 22 anni, arrivò a Boston per iniziare un MBA alla Northeastern University, l'unico programma che offriva di coprire la sua retta. La sua prima notte negli Stati Uniti la passò in una penombra al bancone sul fondo di un ristorante indiano a Cambridge, Massachusetts, con due valigie sotto la sedia e 200 dollari in tasca. Un alunno l'aveva preso all'aeroporto e lo aveva lasciato al ristorante Oh Calcutta, di proprietà del figlio di un'amica di sua madre.

Dopo una notte a dormire in casa dell'amico di famiglia, Arora aprì il Boston Globe e vide un annuncio: «quattro indiani, quinta stanza gratis». Prese quella quinta stanza e per oltre un anno non mangiò più al ristorante. Durante la scuola di specializzazione svolse una serie di lavori: da Burger King, a istruttore di corsi serali, a assistente di ricerca per un professore di finanza, a prendinote per studenti disabili pagato profumatamente, fino a guardia di sicurezza nel campus.

Oggi miliardario, ricorda ancora con lucida chiarezza di controllare i documenti d'identità. «Nulla conta», dice Arora. «Posso vivere la vita più opulenta, e posso vivere la vita più essenziale».

Finiti gli studi, ottenne un lavoro come consigliere del CEO di T-Mobile, per poi entrare in Google nel 2004, un mese dopo l'IPO, come vicepresidente con responsabilità sull'Europa. Salì rapidamente di grado, diventando chief business officer di Google nel 2009.

Dopo Google, Arora ebbe un breve e difficile periodo come eventuale successore di Masayoshi Son in SoftBank, conclusosi nel 2016. Altri sostenitori di SoftBank non nominati lo accusarono di conflitti di interesse, accuse rivelatesi infondate dopo un'indagine interna; Arora se ne andò comunque, dopo che Son scelse di restare al timone.

Quando fu preso in considerazione per il ruolo di CEO di Palo Alto Networks, Arora era noto come dirigente ben collegato e capace di anticipare gli sviluppi, seppur non uno specialista di cybersecurity. Eric Schmidt, il famoso ex CEO di Google che lavorò con Arora per 10 anni, lo descrive come «tenace» e insolitamente perspicace.

Schmidt ricorda che, quando Arora era di base a Londra, gli inviò un messaggio nel marzo 2008: «Sta succedendo qualcosa e ti mando qualcuno a parlarne». Due dei collaboratori analitici di Arora volarono da Schmidt e riferirono di un cambio nella monetizzazione dei ricavi nel Regno Unito che non riuscivano a spiegare. Schmidt dice che compresero la crisi finanziaria globale un mese prima di tutti gli altri. «È la mia migliore storia su Nikesh, perché il valore di quella sentinella precoce è stato incalcolabile», afferma Schmidt.

In Google, Arora si era costruito la reputazione di pretendere la preparazione. «Se le persone entrano in questa stanza non preparate, usciranno sapendo di esserlo», dice. «Dico a chi entra in questa stanza: “Se hai un sacco di cose in sospeso, passale a me e me ne occupo — ma non presentarti qui con aria stordita”».

Arora afferma che quel livello di rigore è necessario quando le conseguenze degli errori possono essere gravi. «Vorresti salire su quel razzo costruito da qualcuno ubriaco che ha deciso di non serrare una vite?», chiede retoricamente. «Perdoneresti mai la persona che non ha fatto tutti i controlli su un aereo prima del decollo con 200 vite in gioco? Te lo aspetti da queste persone. Ti aspetti che non sbagliano. Allora perché sarebbe duro che mi aspetti che la mia squadra non sbagli? In ogni business in cui lavoriamo, ci sono cose che possono mettere in pericolo o costare la vita se le persone non prestano attenzione».

Attribuisce questo atteggiamento in parte alla disciplina militare di suo padre. «Mio padre mi diceva: “Alzati al mattino e fai del tuo meglio. E se non sei alzato facendo del tuo meglio, torna a dormire”», dice Arora. «Se devi presentarti, presentati nel miglior modo possibile».

Quando ChatGPT è uscito, Arora era su un aereo per l'India per tenere un discorso inaugurazione accademica di fronte a 30.000 persone alla sua alma mater, la Banaras Hindu University. Durante uno scalo a Dubai, aprì ChatGPT e capì: l'IA era passata da curiosità di ricerca a tecnologia capace di cambiare il mondo.

«Ho riscritto il mio discorso sul volo tra Dubai e Varanasi per parlare di ChatGPT», ricorda. «Ho detto: “L'IA è come l'invenzione dell'iPhone. Questa è la versione zero di questa tecnologia; il momento in cui hai la tua prima app sul telefono. Se proietti quel filmato in avanti, in circa 10 anni il mondo intero si ribalterà, e questo è il primo giorno di quell'evento”». Arora fa notare di aver usato l'espressione «momento iPhone» mesi prima che il CEO di Nvidia, Jensen Huang, la rendesse popolare.

La serietà e la velocità con cui l'IA ha innescato una resa dei conti per la cybersecurity, tuttavia, erano forse impossibili da prevedere. Ai pericoli ampiamente riportati di Mythos è seguito, a luglio, un incidente con agenti di OpenAI sfuggiti da una sandbox interna e che hanno attaccato la startup open source Hugging Face. Gli agenti si sono coordinati tra loro, dimostrando cosa accade quando più agenti IA inseguono uno stesso obiettivo.

«L'IA non capisce la morale, capisce la tattica», dice Arora. «Agenti senza vincoli, addestrati sull'intelligenza di tutti i contenuti in circolazione senza essersi fissati una stella polare, faranno qualunque cosa serva. Se dicessi “Il tuo compito è conquistare la bandiera”, ricordate che è stato addestrato su ogni cosa buona e cattiva di Internet… Non conoscerà la morale. Ha solo l'informazione che dice: “A volte, se non puoi entrare dalla porta, rompi la finestra”».

Nel test di aprile, Mythos non è stato impeccabile. Arora stima che circa il 30% delle vulnerabilità segnalate non fossero reali. «Se fossi uno scettico, diresti che Mythos non ci azzecca», dice Arora. «Ma il problema è che azzecca sette volte su dieci — per l'attaccante è ottimo. Per il difensore, no».

Arora afferma che la finestra media per individuare e riparare una violazione informatica è di tre giorni, mentre un cyberattacco alimentato dall'IA può dispiegarsi in 12 minuti. L'IA può sonda i sistemi a basso costo, instancabilmente, ora dopo ora alla velocità delle macchine, finché non trova un varco. «È come portare un ariete davanti alla tua porta d'ingresso, comprato da Home Depot», dice Arora.

Gli incidenti di Mythos e di OpenAI-Hugging Face delineano un futuro in cui sistemi IA che funzionano in questo modo possono sia scoprire vulnerabilità sia decidere di sfruttarle — con velocità e su larga scala. Il cyberattacco generazionale non si è ancora, ma incidenti passati mostrano i danni possibili, persino prima del boom dell'IA: in Ucraina, l'attacco NotPetya del 2017 ha, tra l'altro, mandato in buio i computer di monitoraggio delle radiazioni a Chernobyl e ha causato perdite per 10 miliardi di dollari.

L'approccio di Arora a questo momento ad altissima posta, questo corda tesa, è legato alla sua filosofia generale. Nella sala conferenze accanto al suo ufficio c'è una lavagna piena di «arorismi», da regole come «Vendi quello che è sul camion» a promemoria della sciocca arroganza in cui possiamo cadere se non stiamo attenti: «La nostra innovazione è geniale. La loro è pura fortuna».

John Donovan, ex CEO di AT&T e attuale membro del consiglio di Palo Alto Networks, dice che Arora è completamente concentrato sulla sfida davanti a lui. «Se potessi aprire il suo cervello e guardare dentro, sembrerebbe sempre il laboratorio degli elfi di Babbo Natale tre giorni prima di Natale», dice. «Vuole arrivare per primo alla cosa più importante».

Michael Grimes, chairman of investment banking di Morgan Stanley, ha lavorato con Arora su più operazioni e dice che la sua spinta alla chiarezza è unica: «La gente usa l'espressione “vedere dietro gli angoli”… Nel suo caso, è come se potesse progettare una città senza angoli».

La prossima minaccia alla sicurezza generata dall'IA potrebbe venire da qualunque luogo, dice Arora — perfino dal tuo aspirapolvere.

«Qualcuno mi ha mandato questo robot aspirapolvere», riflette. «E ho pensato: “Questa è una superficie di attacco difficile da intercettare”. Immagina che questa cosa ha una telecamera, e che la telecamera lo aiuta a girare per casa tua? Immagina che ha un microfono, così può ascoltarti? Basterebbe questo: “Ehi, prendiamo il controllo del microfono e della telecamera del tuo aspirapolvere simile a un Roomba. E approfittiamone per avere le foto di tutta la casa”. Sembra un cyberattacco».

Mentre la superficie per i possibili cyberattacchi si estende e la quantità di traffico IA su Internet esplode, Arora è diventato una voce chiave nel dibattito su IA e cybersecurity, in pubblico e dietro le quinte della Silicon Valley. Dove tutto ciò approderà non è mai stato così importante, per Arora e per Palo Alto Networks, ma anche per tutti noi che affrontiamo un futuro incerto, alimentato dall'IA. Da qui in avanti, le questioni aperte includono come i governi continueranno a calibrare l'accesso a modelli come Mythos, se i laboratori di IA riusciranno a vendere i loro sistemi direttamente come prodotti di sicurezza, e se Palo Alto Networks riuscirà a convertire la sua scommessa di piattaforma in più del 6% di quota di mercato che detiene oggi.

Chiesto cosa vorrebbe sapere sul futuro, Arora declina a speculare. «Renderebbe la vita così noiosa», dice. «Vanificherebbe lo scopo del futuro. Il senso del futuro è che è meraviglioso, ottimista e sconosciuto. Se conoscessimo già il futuro, non si chiamerebbe futuro».

Questo articolo appare sul di ottobre/novembre 2026 di Fortune con il titolo «Nikesh Arora: l'uomo che costruisce una difesa contro il lato oscuro dell'IA». Il servizio è stato pubblicato originariamente su Fortune.com.

Fonte: https://fortune.com/2026/09/30/nikesh-arora-palo-alto-networks-ceo-ai-cybersecurity-defense/