L’altro beneficiario del commercio dell’IA

“Perché i venti favorevoli della cybersecurity appaiono strutturali e perché la purezza dell’esposizione conta.”

In ARK riteniamo che l’intelligenza artificiale (IA) sia la piattaforma tecnologica che definisce questo decennio, e la maggior parte del capitale che la insegue va alle società che la costruiscono, dai produttori di chip e dalle piattaforme cloud fino agli stessi sviluppatori di modelli. Esiste un secondo gruppo di beneficiari che riceve molta meno attenzione: le società che rendono sicuro l’impiego dell’IA. Ogni modello, agente e applicazione che un’azienda attiva crea nuove identità da gestire, nuovi dati da proteggere e nuovo codice da mettere in sicurezza, e gli stessi strumenti rendono gli aggressori più rapidi e più capaci. La domanda di cybersecurity cresce quindi con la stessa adozione dell’IA, il che a nostro avviso ne fa uno dei modi più diretti e meno apprezzati per partecipare allo sviluppo dell’infrastruttura di IA. Questo articolo espone la tesi in tre passaggi: l’IA ha moltiplicato ciò che va difeso, la spesa ha seguito e le società lo stanno già vedendo nei loro numeri.

L’IA Ha Moltiplicato Ciò Che Va Difeso

Basta attivare un agente di IA all’interno di un’azienda per creare una nuova identità con accesso a dati e sistemi.¹ La società di ricerca Gartner prevede che entro la fine del 2026 il 40% delle applicazioni aziendali integrerà agenti di IA, un dato notevole se si considera che a inizio anno la quota era inferiore al 5%.² Ciascuno di questi agenti ha bisogno di una propria protezione, ed è nata una nuova categoria di prodotti di sicurezza per fornirla, che difende modelli e agenti di IA dalle manipolazioni e controlla quali dati entrano ed escono da essi. Gartner prevede che la spesa per questa categoria, che chiama “securing AI”, cresca da ~2,8 miliardi di dollari nel 2026 a 7,7 miliardi di dollari nel 2028, un tasso di crescita annuo composto del ~65%.³

Chart 1 AI is Creating the Demand⁴

Il fronte delle minacce si muove altrettanto rapidamente. Nell’aprile 2026 Anthropic ha riferito che uno dei suoi modelli di frontiera aveva individuato autonomamente migliaia di vulnerabilità ad alta gravità. Alcune si trovavano nei sistemi operativi e nei browser che la maggior parte di noi usa ogni giorno.⁵ Quando le macchine riescono a trovare le falle a questa velocità, la sfida per chi gestisce il software passa dall’individuare i problemi al correggerli abbastanza in fretta. La spesa per la sicurezza cresce di pari passo con l’adozione dell’IA, e a nostro avviso l’adozione è ancora a uno stadio iniziale. Questo è il cuore della tesi.

La Spesa Ha Seguito, Per Scelta E Per Legge

Gartner prevede una spesa mondiale per la sicurezza di 244 miliardi di dollari nel 2026 e di 322 miliardi di dollari entro il 2029, un tasso di crescita annuo composto del ~10%.⁶ L’ultimo studio Cost of a Data Breach di IBM stima il costo medio di una violazione nella cifra record di 4,99 milioni di dollari. Inoltre, una violazione dolosa su quattro è ormai abilitata dall’IA e il tempo necessario per contenere una violazione si è allungato a 247 giorni.⁷ Quel dato era in calo da cinque anni prima che l’IA cambiasse le regole del gioco.

La regolamentazione ha trasformato questa spesa da scelta in obbligo. Le norme sulla segnalazione entro 24 ore del Cyber Resilience Act dell’UE sono in vigore dall’11 settembre 2026.⁸ DORA e NIS2 sono già in vigore. Il Cyber Security and Resilience Bill del Regno Unito prevede sanzioni fino a 17 milioni di sterline o al 4% del fatturato e rende i consigli di amministrazione personalmente responsabili.⁹ La spesa imposta dalla legge non viene rinviata all’anno successivo quando i budget si restringono.

Chart 2 Regulation Has Made Security a Mandatory Expense ¹⁰

E Le Società Lo Vedono Nei Loro Numeri

Le previsioni sono una cosa, ma la prova più chiara viene da ciò che le società stesse riportano. La tabella seguente copre dieci delle più note società quotate pure play di cybersecurity e, secondo l’ultimo consenso degli analisti compilato da S&P Capital IQ (la piattaforma di dati finanziari di S&P Global), i loro ricavi crescono del ~17% nell’esercizio in corso e del 15% nel prossimo. Per ciascuna di esse è atteso un free cash flow positivo quest’anno, con un margine medio del 24%, e sette su dieci hanno alzato la guidance per l’intero esercizio nel corso del 2026, sei di esse due volte.¹¹

Table 1 ¹²

Palo Alto Networks ha fornito la spiegazione più chiara di ciò che sta guidando questa dinamica. Nella conference call sui risultati di settembre la società ha dichiarato che il suo prodotto per la sicurezza dell’IA aveva raggiunto 100 milioni di dollari di ricavi ricorrenti annui entro quattro trimestri dal lancio. Il management lo ha definito il prodotto a più rapida scalabilità nella storia della società. Il traffico degli agenti di IA sulla sua piattaforma di rete era cresciuto di nove volte in nove mesi e gli ordini avevano accelerato per il secondo trimestre consecutivo. L’amministratore delegato ha riassunto tutto in una frase: “L’IA è un vento favorevole di lungo periodo per la cybersecurity.”¹³

Gli Specialisti Stanno Comprando Il Futuro

Il 2025 è stato un anno record per l’M&A nella cybersecurity. Il valore dichiarato delle operazioni ha raggiunto 92,5 miliardi di dollari, +82% rispetto al 2024, e il primo semestre del 2026 è stato il semestre più intenso di sempre. Le grandi operazioni hanno fatto notizia: Google ha pagato 32 miliardi di dollari per Wiz, Palo Alto Networks 25 miliardi di dollari per CyberArk e ServiceNow 7,75 miliardi di dollari per Armis, in ciascun caso una piattaforma di grandi dimensioni che ha pagato a caro prezzo qualcosa che non riusciva a costruire abbastanza in fretta.¹⁴

Le operazioni più piccole dicono di più su dove sta andando il settore. Tra circa 30 società quotate pure play di cybersecurity, S&P Capital IQ registra più di 50 acquisizioni dall’inizio del 2025. Almeno 13 di queste società target proteggono modelli e agenti di IA e insieme rappresentano oltre 2 miliardi di dollari di valore dichiarato. Protect AI è stata acquisita per 700 milioni di dollari, Lakera per 300 milioni di dollari, Pangea per 260 milioni di dollari e Prompt Security per 171 milioni di dollari.¹⁵ Gli specialisti stanno costruendo da soli la linea di prodotti “securing AI”, un’operazione alla volta. Il mercato è frammentato e questo significa che gli acquisti hanno ancora strada da fare.

Perché La Purezza Dell’esposizione Conta

Se la tesi esposta sopra regge, la domanda successiva è come esporsi a questo tema. A nostro avviso la risposta è: nel modo più puro possibile, per tre ragioni.

Si vuole il motore, non il surrogato. Una società che ricava la maggior parte dei suoi ricavi dalla sicurezza vive o muore in base ai livelli di minaccia, alla regolamentazione e all’adozione dell’IA, come mostrano i risultati societari discussi in precedenza. Un colosso tecnologico diversificato che vende anche un po’ di sicurezza è guidato da tutto il resto che fa. Un paniere di cybersecurity costruito attorno a nomi del genere può trasformarsi in un’allocazione tecnologica sotto mentite spoglie.

Probabilmente le mega cap sono già in portafoglio. La maggior parte dei portafogli detiene i grandi nomi della tecnologia attraverso esposizioni al mercato nel suo complesso e al segmento growth. Un’allocazione alla sicurezza costruita sugli stessi nomi aggiunge ben poco di nuovo. Una costruita su società specializzate ha una bassa sovrapposizione con i principali indici e quindi diversifica invece di duplicare. Possedere la serratura non è come possedere la casa.

Il valore strategico sta nella focalizzazione. L’ondata di consolidamento paga per le competenze, e le competenze risiedono negli specialisti. Sono loro i target naturali. Anche le piattaforme che acquistano sono specialisti. Un’allocazione pure play si trova su entrambi i lati di questa dinamica.

Un approccio pure play comporta una volatilità più elevata rispetto al mercato nel suo complesso e i consueti rischi di un’allocazione a un singolo settore, il che è anche il punto. Le società specializzate in cybersecurity rispondono a un insieme diverso di forze, per cui possono comportarsi in modo diverso dal mercato più ampio sia in fase di rialzo sia in fase di ribasso. L’investitore che cerca questa differenza dovrebbe detenerla senza diluizioni.