Il segnale professionale più interessante di questa settimana non è arrivato dal lancio di un prodotto. È arrivato da una divulgazione di sicurezza riguardante le schede madri. I ricercatori che hanno presentato nuove scoperte hanno dimostrato che i controller di gestione della scheda base — i minuscoli computer separati integrati nelle schede madri della maggior parte dei server aziendali, che eseguono un proprio sistema operativo e uno stack di rete, così che gli amministratori possano riavviare o reimpostare una macchina anche quando è spenta — possono essere compromessi da remoto tramite vulnerabilità che in alcuni casi sono rimaste lì per più di un decennio. Mi è rimasta impressa la formulazione di uno dei ricercatori: una «superficie d'attacco parallela pervasiva, poco monitorata e poco aggiornata». Quella frase è in realtà la descrizione di un'opportunità professionale nascosta in bella vista, e vale la pena analizzarla per chiunque stia valutando la prossima mossa in questo mercato.

Che cosa è stato effettivamente esposto

I BMC esistono precisamente perché operano al di fuori dei sistemi a cui tutti prestano attenzione. Sono il livello «lights out» — accessibile e potente anche quando il sistema operativo soprastante non risponde o la macchina è spenta. Ed è esattamente questo a renderli pericolosi quando vengono trascurati: una flotta di migliaia di server dei maggiori produttori, che eseguono firmware che nessuno ha esaminato attentamente da quando è stato distribuito. Nessuno ha scritto un'app elegante sopra un BMC. Nessuno ha presentato al demo day un'idea del tipo «aggiorniamo IPMI». È, quasi per definizione, il livello meno affascinante dello stack — ed è proprio per questo che è marcito.

Lo schema sotto lo schema

Affianca questa storia ad altre due dello stesso ciclo di notizie e emerge una forma. Il nuovo agente di coding da terminale di Meta, Muse Code, distribuisce i propri sotto-agenti per scrivere e validare codice in parallelo all'interno di grandi repository — l'esempio dello stesso Zuckerberg consisteva nella realizzazione simultanea di sei funzionalità. Google ha ricostruito la propria casella di ricerca per la prima volta in 25 anni, integrando AI Overviews e AI Mode in un unico punto di accesso conversazionale che accetta testo, immagini, PDF e video. Entrambe le mosse riversano più investimenti, più personale e più attenzione sui prodotti proprio nella parte più alta dello stack: l'interfaccia, la query, il codice con cui l'utente o l'agente interagisce direttamente.

Nel frattempo, quando Monday.com ha citato l'AI nella propria ristrutturazione e nella riduzione della forza lavoro di circa il 20% questo mese, il documento depositato presso la SEC ha indicato esplicitamente «prodotto, marketing e go-to-market» come le funzioni oggetto di trasformazione — il livello dell'organigramma a contatto con il cliente, orientato all'output e adiacente ai prompt. Non è tanto una coincidenza quanto una direzione di marcia: capitale e automazione si stanno concentrando entrambi nella parte alta dello stack, dove si trova l'utente, dove si trova la demo, dove l'LLM può generare direttamente l'artefatto. Il pavimento sottostante — l'infrastruttura fisica e semifisica che deve continuare a funzionare indipendentemente dall'agente o dal modello di moda in questo trimestre — sta ricevendo relativamente meno attenzione, non di più, anche mentre il volume di codice e traffico che vi gira sopra continua a crescere.

Perché il pavimento si comporta diversamente

Questo non significa sostenere che il lavoro su hardware e infrastrutture sia «a prova di AI» — nulla lo è, e diffiderei molto di chiunque vi venda un vantaggio competitivo permanente. Ma si comporta diversamente in tre modi che vale la pena enunciare chiaramente. Primo, è eterogeneo e specifico del produttore in un modo che si oppone ai dati di addestramento puliti e alla generalizzazione che rendono gli agenti di coding bravi, per esempio, a eseguire un refactoring in Python — un bug BMC nel firmware di un produttore non si generalizza facilmente a quello di un altro. Secondo, risolverlo richiede di solito capacità di giudizio legate al mondo fisico — coordinare finestre di manutenzione, verificare la provenienza del firmware, decidere se sia sicuro distribuire una patch all'intera flotta fuori banda — attività a cui un agente autonomo può contribuire, ma che per ora le organizzazioni sono riluttanti ad affidargli senza supervisione, proprio perché lo scenario di errore è «un server compromesso che resta compromesso anche dopo un reimaging». Terzo, e più semplicemente: sono meno numerose le persone che scelgono di specializzarsi in questo campo. La sicurezza del firmware e delle infrastrutture a basso livello soffre da anni di una carenza di talenti, ben prima dell'attuale ondata di ansia per le assunzioni nell'AI, perché è più lenta, meno adatta a una demo e meno alla moda rispetto al rilascio di una funzionalità.

Che cosa farne concretamente

Non sto dicendo a ogni lettore di diventare un ingegnere del firmware entro venerdì. Ma se lavori già in un ambito adiacente alle infrastrutture, alla sicurezza o alla platform engineering, questo è un invito ad andare più in profondità invece di inseguire il livello in cui si stanno accalcando tutti gli altri:

  • Impara il vocabolario, anche se non sei uno specialista: BMC, IPMI, Redfish, gestione fuori banda, attestazione del firmware nella catena di fornitura. Non devi essere un esperto per essere la persona del team che sa che questo livello esiste e fa domande al riguardo.
  • Se lavori nella sicurezza e ti stai orientando verso il «red teaming dell'AI» perché è il sottoambito più caldo, sappi che è anche quello più affollato in questo momento. L'infrastruttura senza patch e non monitorata sotto lo stack AI della tua azienda è una superficie di rischio realmente poco coperta e una voce distintiva nel curriculum.
  • Se ricopri un ruolo nel prodotto, nel marketing o nel go-to-market che ti fa sentire esposto — le funzioni effettivamente indicate nei documenti sui licenziamenti di questo mese — i ruoli nell'infrastruttura e nell'affidabilità delle piattaforme sono un legittimo passaggio laterale, non un passo indietro. Il divario di competenze è reale e si misura in anni di pazienza istituzionale, non in un bootcamp di sei settimane.
  • Non confondere «noioso» con «sicuro per sempre». Questa è una scommessa sulla scarsità relativa, legata a dove si stanno concentrando quest'anno attenzione e personale, non una garanzia permanente. Continua a osservare dove confluiranno gli investimenti.

La lezione che emerge nel 2026 da un bug della scheda madre vecchio di dieci anni non riguarda davvero i BMC. È che le parti dello stack che non entusiasmano nessuno sono esattamente quelle che accumulano silenziosamente rischio — e, per chiunque sia disposto ad andarci, anche valore.