La risposta breve
Il 15 settembre 2026 Exein, startup di cybersecurity fondata a Roma nel 2018, ha annunciato un round da 270 milioni di dollari (circa 234 milioni di euro) guidato da Headline, con una valutazione di 1,7 miliardi. E il nuovo unicorno italiano del settore, con un valore cresciuto di circa 30 volte in due anni. Exein non difende server o applicazioni web: mette in sicurezza il software che gira dentro robot, droni, veicoli autonomi e apparecchiature mediche.
Il messaggio per il mercato italiano e chiaro: la sicurezza dei dispositivi connessi — il firmware e i modelli di AI eseguiti a bordo — e diventata un mercato strategico da miliardi. Per chi produce macchinari o componenti, e il momento di trattare la sicurezza come parte dell'ingegneria del firmware e dei sistemi embedded, non come un accessorio da aggiungere alla fine.
Che cosa e successo
Exein e stata fondata a Roma nel 2018 da Gianni Cuozzo con l'obiettivo di risolvere le vulnerabilita del firmware industriale, cioe del software di basso livello che governa le macchine. Il 15 settembre 2026 l'azienda ha annunciato un round da 270 milioni di dollari guidato dal fondo Headline, che porta la valutazione complessiva a 1,7 miliardi di dollari e la iscrive tra gli unicorni tecnologici europei.
Il round riunisce investitori di primo piano: oltre a Headline figurano Sofina, Goldman Sachs, il gruppo Banca europea per gli investimenti attraverso la European Tech Champions Initiative, il fondo tedesco Wachstumsfonds Deutschland gestito da KfW Capital e T.Capital, il braccio di investimento strategico di Deutsche Telekom, insieme ad alcuni investitori gia presenti nel capitale. La valutazione, secondo quanto riportato, e cresciuta di circa 30 volte rispetto ai livelli di due anni prima.
La crescita non e solo finanziaria. Exein dichiara di proteggere oltre due miliardi di dispositivi e, secondo le fonti, di fronteggiare migliaia di nuovi attacchi ogni settimana. Il fatturato ricorrente del primo semestre 2026 sarebbe circa quadruplicato rispetto allo stesso periodo dell'anno precedente. L'azienda ha uffici in Germania, Stati Uniti e Taiwan, prevede una nuova sede nella Bay Area di San Francisco e ha annunciato l'intenzione di lanciare agenti di sicurezza autonomi entro l'inizio del 2027.
Che cos'e la sicurezza dell'AI fisica
Il termine "AI fisica" (physical AI) indica l'intelligenza artificiale che non vive solo nel cloud o sullo schermo, ma agisce nel mondo reale attraverso le macchine: un braccio robotico che si adatta al pezzo da lavorare, un veicolo che decide una traiettoria, un macchinario diagnostico che interpreta un segnale. In tutti questi casi il modello e il software non stanno in un data center, ma girano a bordo del dispositivo, spesso su hardware con poca memoria e senza un antivirus tradizionale.
E qui che la sicurezza cambia natura. Un server compromesso si isola e si ripristina; un robot industriale o un dispositivo medico compromesso puo causare danni fisici, fermare una linea di produzione o mettere a rischio un paziente. La superficie d'attacco si sposta dal perimetro di rete al firmware stesso: chi riesce a manomettere il codice che governa la macchina ne prende il controllo, e spesso lo fa senza lasciare tracce visibili ai sistemi di sicurezza classici.
Proteggere questo strato richiede competenze specifiche: analisi del firmware, distinta dei componenti software, aggiornamenti firmati e verificabili, rilevamento delle anomalie direttamente sul dispositivo. E esattamente il terreno su cui Exein ha costruito il proprio valore, e il motivo per cui gli investitori scommettono che questo mercato crescera con la diffusione della robotica e dell'automazione.
Perche riguarda le imprese italiane
L'Italia e una potenza manifatturiera: robotica, macchine utensili, automazione industriale, dispositivi medicali, componentistica automotive. Sono esattamente i settori in cui la digitalizzazione ha riempito i prodotti di software e, sempre piu, di modelli di AI eseguiti a bordo. Ogni macchinario che si connette a una rete o esegue codice aggiornabile e, di fatto, un piccolo computer esposto — e quindi un potenziale punto di ingresso per un attacco.
Per un produttore questo si traduce in un rischio doppio. Da un lato c'e la sicurezza operativa: un incidente su un dispositivo in campo puo fermare la produzione del cliente, richiamare interi lotti o esporre dati sensibili. Dall'altro c'e la responsabilita: quando il prodotto e venduto in Europa, il produttore risponde della sua sicurezza informatica per legge, non solo per reputazione.
Il successo di Exein e un indicatore di mercato, non un caso isolato. Segnala che la domanda di sicurezza embedded sta crescendo piu in fretta dell'offerta di competenze, e che i clienti industriali cominciano a chiederla nei capitolati. Per le aziende che vendono dispositivi, arrivare preparate a questa richiesta e un vantaggio competitivo; arrivarci in ritardo puo significare perdere gare o subire un incidente costoso.
Il quadro normativo: CRA e NIS2
La spinta non e solo commerciale. Il Cyber Resilience Act (CRA) europeo introduce requisiti obbligatori di cybersecurity per i "prodotti con elementi digitali", cioe praticamente qualsiasi dispositivo che contiene software e si collega a una rete. Il produttore dovra garantire sicurezza fin dalla progettazione, gestire le vulnerabilita per l'intero ciclo di vita del prodotto e fornire aggiornamenti: obblighi che si applicano al firmware, non solo alle app.
A questo si aggiunge la direttiva NIS2, che alza gli standard di sicurezza per le imprese di molti settori critici e ne estende la responsabilita lungo la catena di fornitura. Un produttore di macchinari che vende a un'azienda soggetta a NIS2 si ritrova, indirettamente, a dover dimostrare la sicurezza dei propri dispositivi per restare un fornitore accettabile.
La conseguenza pratica e che la sicurezza del firmware passa da "buona pratica facoltativa" a requisito verificabile. Distinta dei componenti software (SBOM), processo di gestione delle vulnerabilita, canale di aggiornamento sicuro: sono elementi che presto andranno documentati per vendere in Europa. Meglio integrarli nel processo di sviluppo che rincorrerli sotto scadenza normativa.
Come progettare dispositivi sicuri
Il principio guida e semplice: la sicurezza va progettata dentro il dispositivo, non applicata dopo. Il primo passo e il canale di aggiornamento. Un dispositivo che non puo ricevere patch firmate in modo sicuro e destinato a diventare vulnerabile appena emerge una nuova falla; l'aggiornamento verificabile e la base su cui poggia tutto il resto.
Il secondo passo e la visibilita su cio che gira a bordo. Sapere esattamente quali librerie e componenti compongono il firmware — la distinta dei componenti software — permette di reagire in ore, non in mesi, quando viene scoperta una vulnerabilita in una dipendenza. Senza questa mappa, ogni nuovo allarme di sicurezza diventa una caccia al tesoro sull'intero parco installato. In molti casi vale la pena affiancare all'ingegneria interna una verifica indipendente, con test di penetrazione e audit di sicurezza mirati sul firmware e sulle interfacce del dispositivo.
Il terzo passo e il monitoraggio del comportamento. Un dispositivo compromesso spesso cambia il modo in cui comunica o consuma risorse prima di fare danni: rilevare queste anomalie a bordo, e non solo dalla rete, e cio che distingue la sicurezza embedded moderna da quella tradizionale. Sono scelte che costano poco se prese all'inizio del progetto e diventano molto costose se rimandate a hardware gia distribuito.
Domande frequenti
Cosa ha annunciato Exein?
Il 15 settembre 2026 Exein, startup di cybersecurity fondata a Roma nel 2018, ha annunciato un round da 270 milioni di dollari (circa 234 milioni di euro) guidato da Headline, che porta la valutazione a 1,7 miliardi di dollari. E il nuovo unicorno italiano della sicurezza informatica, con una valutazione cresciuta di circa 30 volte in due anni.
Che cosa protegge Exein?
Exein mette in sicurezza il software che gira direttamente dentro i dispositivi: robot industriali, droni, veicoli autonomi, apparecchiature mediche e infrastrutture energetiche e dei semiconduttori. E il campo della cosiddetta AI fisica, cioe l'intelligenza artificiale che agisce nel mondo reale attraverso le macchine. L'azienda dichiara di proteggere oltre due miliardi di dispositivi.
Perche l'operazione interessa le imprese italiane?
Molte aziende italiane producono macchinari, robotica, dispositivi medicali e componenti automotive che oggi eseguono software e modelli di AI a bordo. Ogni dispositivo connesso e una superficie d'attacco e, con il Cyber Resilience Act europeo, la sicurezza del firmware diventa un obbligo di legge lungo tutto il ciclo di vita del prodotto. La crescita di Exein conferma che questo mercato e strategico.
Cosa deve fare chi progetta dispositivi connessi?
La sicurezza va progettata dentro il dispositivo fin dall'inizio: firmware aggiornabile in modo sicuro, distinta dei componenti software (SBOM), gestione delle vulnerabilita e monitoraggio del comportamento a bordo. Aggiungere la sicurezza dopo la messa in produzione e costoso e spesso impossibile su hardware gia distribuito. Per questo conviene trattarla come requisito di partenza dell'ingegneria embedded.
Fonti
TechCrunch — New Italian unicorn Exein rides the physical AI wave
Il Sole 24 Ore — Italian firm Exein becomes a unicorn: valued at $1.7 billion
Euronews — Exein becomes unicorn: Italian Physical AI security start-up valued at $1.7bn
Sky TG24 — La startup di cybersecurity Exein da 1,7 miliardi di dollari