La complessità delle architetture IT non smette di crescere e F5 ha scelto nel tempo di occupare una posizione strategica ben definita, per indirizzarla: quella di abilitatore trasversale tra la necessità di evolvere il business digitale e l’obbligo di proteggere ogni singola transazione applicativa che lo sostiene. L’azienda ha costruito quindi in tre decenni (fondata nel ’96, F5 compie quest’anno trent’anni) una proposizione che oggi si articola intorno a un’idea precisa di Application Delivery and Security Platform (Adsp). Offrire multicloud security coniugata con l’application delivery è di fatto la sintesi operativa di una missione che ha accompagnato F5 dal primo load balancer degli anni Novanta, attraverso il cloud, fino alle architetture AI-native di oggi. Ogni applicazione, su qualsiasi infrastruttura deve essere protetta con una governance uniforme: e questo è il campo d’azione in cui l’azienda si muove. Un campo che attraversa infastrutture – data center tradizionali e evoluti – e architetture – cloud pubblici multipli, ambienti edge e, sempre più, le nuove fabric dell’AI.
La criticità di quest’ambito è ben documentata dai numeri dello State of Application Services – il report annuale di F5 basato su interviste alle più grandi organizzazioni mondiali – che offrono una risposta inequivocabile: il 94% delle aziende intervistate opera già in modalità multicloud, distribuendo i propri applicativi su quattro o più cloud contemporaneamente. Il 79% di esse sposta attivamente le applicazioni da un cloud all’altro. Il 53% dichiara di avere seri problemi nella gestione coerente delle policy di sicurezza in ambienti così frammentati. In questo scenario di mobilità e dispersione, garantire coerenza di delivery e sicurezza non è più una questione meramente tecnica: è una sfida sistemica che tocca la competitività stessa delle imprese.
Sono i temi del confronto con il nuovo country manager di F5 Italia, Paolo Capomasi, che illustra la strategia dell’azienda per il mercato italiano e Paolo Arcagni, Director Solution Engineering, che propone l’analisi tecnologica della proposizione alla luce delle ultime novità F5 in ambito sicurezza e gestione applicativa.
“Nel mio percorso ho visto molte aziende capaci di fornire soluzioni molto puntuali, ottimi prodotti per l’IT dei clienti italiani, ma poche capaci di entrare a supporto della trasformazione digitale, di una strategia, di un cambiamento, di supportare la competitività dell’azienda lato business – esordisce Capomasi -. F5 vuole invece supportare in maniera strategica i clienti nel percorso di trasformazione digitale, perché la loro competitività rimanga sostenibile”.
Il mercato italiano è al centro dell’analisi. Si tratta di aziende che per rimanere competitive devono allocare gli investimenti con estrema selettività, puntando solo su ciò che genera valore aggiunto reale e duraturo. È in questo spazio che F5 rivendica un ruolo di abilitatore strategico, capace di inserirsi in un punto di snodo molto preciso. “F5 vuole inserirsi in un punto molto critico tra la necessità di evolvere in maniera veloce il proprio business e al contempo l’obbligo di preservare tutte le transazioni mentre ci si trasforma –, riprende Capomasi -. E uno dei temi più sensibili per i Cio italiani è il lock-in tecnologico. “Rimanere ingabbiati in una scelta infrastrutturale, impossibilitati a migrare applicazioni senza riscrivere da capo le policy di sicurezza, è un rischio reale e percepito”. La risposta di F5 passa attraverso l’Adsp e il concetto di distributed cloud: un ambiente unificato in cui il cliente può operare, muovere i propri applicativi e mantenere una governance di sicurezza coerente, indipendentemente dal cloud sottostante. “Un ambiente unico in cui poter operare e muovere applicativi senza essere obbligati a dipendere dal sottostante con la piattaforma che eroga sicurezza in modalità automatica, più logica che fisica”: una proposta adatta sia alle grandi aziende private alle medie imprese, come alla pubblica amministrazione.
F5, dal mainframe all’AI
Prende la parola Paolo Arcagni, director Solution Engineering per il Sud Emea e presales manager per l’Italia, in F5 da 19 anni. Un’”antenna” storica quindi per comprendere l’evoluzione tecnologica dell’azienda e del mercato. “I trent’anni di F5 coprono di fatto il percorso dal mainframe all’AI. E le infrastrutture sono sempre state il primo pensiero delle aziende che vogliono offrire applicazioni ai propri utenti”. Torna il tema della complessità. Dal mainframe – un oggetto fisico, controllato, con una superficie di attacco minima, “amministrato da gente col camice bianco” come ricorda Arcagni – si è passati a un’infrastruttura distribuita su cloud multipli, “incollata” con miliardi di chiamate Api, con una superficie di attacco enormemente più estesa. “Dal punto di vista della security, abbiamo un bel mal di testa”, ammette Arcagni. F5 ha attraversato ogni fase di questa evoluzione insieme ai propri clienti, adattando la propria proposizione senza tradire il proprio Dna: “Application delivery e application security. Quello che è cambiato è che lo facciamo oggi su ogni applicazione, ovunque essa sia, di qualunque tipo essa sia, incluse quelle basate sull’AI”, precisa Arcagni, e “per farlo, anche noi abbiamo dovuto fare un viaggio insieme ai nostri clienti”.
Il viaggio ha visto tappe ben definite. Nei primi dieci anni, dal 1996 al 2005, la realizzazione del Big-Ip, che Arcagni descrive come l’oggetto che ha definito uno standard nell’application delivery. È in quegli anni, lavorando a stretto contatto con Gartner, che F5 contribuisce a fondare la categoria dell’Application Delivery Controller – superando la definizione riduttiva di load balancer per abbracciare un insieme molto più ricco di funzionalità di ottimizzazione e sicurezza. A partire dal 2019 inizia la stagione delle acquisizioni strategiche. Nginx – il web server e reverse proxy open source che equipaggia la maggior parte dei grandi siti web mondiali – entra in F5 per presidiare la transizione verso i microservizi e Kubernetes: “Aveva tutte le caratteristiche che ci servivano per stare con i clienti in questi ambienti: il suo form factor è molto piccolo, è containerizzabile nativamente e ci dava la possibilità di seguire i clienti nella containerizzazione delle applicazioni in ambienti a microservizi“, spiega Arcagni. Seguono acquisizioni focalizzate sulla security, tra cui Shape, che porta in dote tutta la famiglia di bot protection oggi integrata nei Distributed Cloud Services. E infine, nel 2025, l’acquisizione di CalypsoAI, che apre una nuova frontiera nella sicurezza nativa per ambienti AI.
Il potenziale della piattaforma Adsp
Il punto di arrivo di questo percorso trentennale di ricerca, sviluppo e acquisizioni è, appunto, la proposta dell’ Application Delivery and Security Platform. Si regge su tre pilastri architetturali distinti ma integrati. Big-Ip, appunto il cuore storico dell’offerta, disponibile sia su hardware dedicato ad alte prestazioni – ancora molto richiesto da banche, service provider e ambienti AI che necessitano di velocità estreme – sia virtualizzato su tutti i principali cloud pubblici; Nginx, punto di riferimento per gli ambienti Kubernetes e i microservizi containerizzati, capace di girare in qualsiasi cloud con il medesimo comportamento. E i Distributed Cloud Services, il layer as-a-service reso possibile dall’acquisizione di Volterra nel 2021, che costruisce una rete overlay mondiale con policy di sicurezza e delivery centralizzate e software-defined. “Sia Nginx sia Big-Ip girano su tutti i cloud”, sottolinea Arcagni: “Se a un certo punto si deve spostare un’applicazione da Azure ad Aws non serve riprogrammare tutte le policy di Application Delivery e Application Security: il front-end funziona esattamente allo stesso modo in qualsiasi cloud. E si evita il lock-in per quanto riguarda tutte le funzionalità critiche”.
Il tema della governance unificata è il vero differenziatore strategico. “Un ambiente così complicato e fatto a silos diventa insostenibile. Per il cliente è fondamentale vederlo come un unico ambiente e avere una sola governance di sicurezza, governarlo attraverso un punto unico”. Quello che l’Adsp aggiunge sopra i tre pilastri infrastrutturali è l’intero strato operativo: centralizzazione delle policy di sicurezza, Api management avanzato – con discovery, rate limiting, shadow Api detection e real-time policy update – multicloud networking e gestione delle applicazioni AI.
Arcagni utilizza il termine Ball of Fire per descrivere la complessità architetturale che i clienti devono oggi affrontare. La risposta a quella complessità è la piattaforma stessa: un unico punto di gestione, policy coerenti su tutti gli ambienti, automazione che sostituisce l’errore umano. “Un punto centrale di gestione, la possibilità di avere centralmente delle policy di sicurezza che poi è possibile erogare nei singoli punti senza differenziarle, perché la mia applicazione che gira tra i vari cloud deve ritrovarsi sempre protetta allo stesso modo: questa è la logica dell’Adsp”, precisa Arcagni. Dal punto di vista delle categorie di mercato, l’Adsp si posiziona in uno spazio fino a oggi non occupato. “Mancava tutta la parte di Application Delivery e Application Security come piattaforma omogenea – spiega Arcagni -. Identity access management, endpoint protection, Sase, cloud-native application protection: tutti tasselli che danno al cliente la possibilità di sfruttare una piattaforma per risolvere problematiche estese in ambienti multicloud. E F5, con l’Adsp, innesta il tassello mancante”.
2026 l’anno dell’inferenza: token economy e sicurezza probabilistica
Per comprendere lo scenario attuale è però necessario fare un ulteriore passo avanti. Il 2026 è definito da Arcagni “l’anno dell’inferenza”. Dopo quattro anni in cui i grandi player – OpenAI, Google, Anthropic e altri – hanno addestrato i modelli linguistici, l’attenzione si sposta ora sulla messa a terra nelle organizzazioni: enterprise e pubblica amministrazione che adottano questi modelli, li arricchiscono con dati proprietari e costruiscono applicazioni AI rivolte ai propri utenti finali. “Fare inferenza vuol dire portare in casa dei modelli, costruire una nuova architettura infrastrutturale interna per erogare un’applicazione di AI verso l’utente finale – spiega Arcagni -. L’inferenza porterà l’architettura AI a tutti i nostri clienti ed F5 è pronta ad assisterli in questa fase”, riprende Arcagni.
Sul fronte del delivery, le AI factory – come infrastrutture basate su Gpu – richiedono velocità elevate nel trasporto dei dati verso i modelli: il collo di bottiglia non è la potenza di calcolo, ma la rete che le alimenta. La partnership con Nvidia per F5 è quindi più che strategica: F5 è ufficialmente nell’architettura di riferimento Nvidia per la data delivery verso le AI Factory, con una soluzione che containerizza il cuore di Big-Ip sulle Dpu di Nvidia. Emerge quindi anche il tema della token economy: il token è l’unità di misura con cui si quantifica il peso dei prompt e il suo costo diventa una variabile economica determinante. “Stiamo cominciando a fare lo shift del linguaggio dal bit e dal byte al watt e al token – osserva Arcagni -. “Se si riesce ad ottimizzare il costo per produrre quel token, automaticamente si ha un guadagno maggiore nell’infrastruttura AI”.
E sul fronte della sicurezza, l’AI introduce una discontinuità fondamentale. I sistemi tradizionali – Waf, Api protection, firewall applicativi – sono progettati per un mondo deterministico: un attacco noto viene bloccato con certezza e per sempre. Gli Llm invece operano in modo probabilistico. “La sicurezza di un ambiente di questo genere non può essere deterministica: il web application firewall non basta quindi, serve un tipo di sicurezza radicalmente differente”. La risposta di F5 è arrivata con l’acquisizione di CalypsoAI, completata nel 2025, che porta in dote due soluzioni complementari. F5 AI Red Team come servizio as-a-service che sfrutta agenti AI per testare continuamente i modelli con tecniche di prompt escalation. Red Team aggiunge oltre 10mila nuovi scenari di attacco ogni mese e alimenta la Casi (Comprehensive AI Security Index), la classifica pubblicata da F5 Labs sulla resilienza dei principali motori pubblici di AI. F5 AI Guardrails è invece nello scenario il layer proattivo: un software che gira su Gpu, classifica i prompt in entrata e consente di applicare policy di protezione in linguaggio naturale. “Non devo creare strane regex: scrivo quale tipo di attacco voglio mettere in protezione e tutto si converte nel linguaggio interno del sistema”, spiega Arcagni. I due motori lavorano in tandem: Red Team individua le vulnerabilità, Guardrails le mette in protezione. “L’ambiente che vediamo dai clienti è che hanno tanti Llm e chi fa sicurezza vuole una governance unica su tutti i modelli – aggiunge Capomasi -. Guardrails risponde esattamente a questa esigenza”. Arcagni tocca anche il tema post-quantum, spesso sottovalutato: nel 2030 – il cosiddetto Q-day – i computer quantistici potrebbero rompere la crittografia corrente. “Se un’azienda deve gestire dati per più di cinque anni, è già in ritardo”, avverte Arcagni. Big-Ip e Nginx sono però già equipaggiati con crittografia quantum-resistant; nel 2026 anche i Distributed Cloud Services e i PoP completeranno l’adeguamento. Infine, sul fronte delle operations, Arcagni anticipa l’annuncio di F5 Insight, che sarà presentato all’F5 AppWorld di Las Vegas: una soluzione di observability centralizzata con interrogazioni in linguaggio naturale su tutti i dati della piattaforma. “Invece di spulciare log, chiedo al sistema quali eventi di sicurezza sono capitati il 2 febbraio e la piattaforma mi risponde con tutti i dettagli di quell’incidente”, spiega Arcagni. Una proposizione tutt’altro che di nicchia: il 96% delle aziende intervistate nel Soas 2025 ha già messo in produzione o in cantiere progetti AI.
Il valore dell’ecosistema e del nuovo Pop a Milano
La strategia italiana di F5 non si declina solo attraverso la proposizione tecnologica, ma anche attraverso un ecosistema di partner che Capomasi descrive come vivace e in continua trasformazione. Circa 300 system integrator a contratto, con un’eterogeneità che rispecchia la complessità del mercato: dalle grandi società di consulenza strategica ai global system integrator, dai partner specializzati in security agli operatori focalizzati sull’AI. “L’ecosistema è molto molto vario – sottolinea Capomasi -. Ci sono aziende che fanno consulenza strategica, tecnologia, global system integrator, system integrator specializzati, aziende specializzate in AI. C’è un’esigenza continua di scouting perché emergono continuamente partner che parlano linguaggi nuovi. Le grandi trasformazioni – il public cloud, la containerizzazione e ora l’AI – hanno cambiato il modo in cui si costruisce e si eroga tecnologia, e il canale si sta adattando di conseguenza.
Il modello di ingaggio evolve con il mercato. L’Adsp può essere erogata anche in modalità gestita per esempio come potrebbero fare gli Msp – aprendo opportunità significative per partner che vogliono costruire servizi gestiti sulla piattaforma F5. Il modello di licensing si basa su subscription calibrata sul traffico e sulle funzionalità abilitate, non sull’elaborazione delle Gpu. Non sono ancora questi i tempi per l’evoluzione attesa che caratterizzerà la token economy. Le sfide quotidiane per il canale italiano – come del resto per i clienti finali – si concentrano invece in particolare su quattro fronti: gestione della complessità multicloud, Api security, shadow AI e governance dei modelli linguistici interni. Così come si assiste ad un ulteriore incremento della complessità in relazione all’emergere di nuovi protocolli legati all’AI agentiva, come Agent2Agent, e il supporto già disponibile su Big-Ip per il protocollo Mcp– Model Context Protocol – utilizzato dagli agenti AI per dialogare tra loro.
In questo contesto si inserisce l’annuncio di maggiore rilevanza per il mercato italiano: l’apertura del primo Point of Presence di F5 a Milano, già operativo dal gennaio 2026. Il PoP milanese si integra nella rete globale di Regional Edge di F5, che nel Sud Europa include già presenze a Lisbona, Madrid e due sedi in Francia. Con Milano, la copertura del Sud Europa si completa, garantendo latenze ridotte e – aspetto sempre più cruciale – residenza del dato sul territorio nazionale. “L’apertura di un nuovo PoP a Milano rappresenta un passo significativo per F5 in Italia: una conferma del nostro impegno nel supportare le aziende locali nel percorso verso architetture distribuite, sicure e altamente performanti – dichiara Capomasi e prosegue -. “La nostra presenza rafforzata consente di offrire alle imprese italiane una connettività più veloce, una protezione più solida e una gestione semplificata dei carichi di lavoro multicloud ed edge, in un contesto in cui innovazione e sicurezza non sono più semplici obiettivi, ma i veri motori della competitività”. Sul piano tecnico, il PoP milanese offre una capacità di rete superiore a 15 Tbps su un backbone privato ridondante, con connessioni di peering verso i principali cloud pubblici, carrier e operatori telecom. Le funzionalità erogate includono routing cloud-native, terminazione SD-Wan, load balancing, protezione DDoS L3-L7, sicurezza applicativa con AI e machine learning per la protezione da attacchi provenienti sia da Internet pubblico sia dall’interno delle organizzazioni, e orchestrazione Kubernetes. La struttura è ospitata in data center Tier 1 – tra cui strutture Equinix – con standard di sicurezza fisica di livello carrier: sensori video, sistemi biometrici e verifica umana.
Il tema della data sovereignty è al centro del valore del PoP per il mercato italiano: in Europa, a differenza degli Stati Uniti, la regolamentazione sulla residenza e il trattamento dei dati è particolarmente stringente, soprattutto nei settori finance e sanità. Non solo, la soluzione Distributed Cloud di F5 consente di estendere la rete al data center privato del cliente tramite un software virtuale chiamato Customer Edge. “E’ possibile installare il Customer Edge nel data center aziendale principale e costruire un’estensione della rete F5 all’interno degli ambienti aziendali, decidendo di erogare le policy di sicurezza localmente perché i dati stanno lì e non devono uscire, senza perdere la possibilità di una gestione centralizzata multicloud”, puntualizza Arcagni. La presenza fisica sul territorio nazionale non è quindi solo un elemento di marketing: è una risposta concreta alle esigenze normative e operative di un mercato come quello italiano, dove la regolamentazione europea si applica con tutta la sua forza e dove la fiducia nell’infrastruttura tecnologica si costruisce anche attraverso la prossimità. Con il PoP di Milano, l’acquisizione di CalypsoAI per la sicurezza AI nativa e il lancio di F5 Insights per l’observability centralizzata, si toccano quindi tre punti importanti per la completezza del “viaggio Asdp”.
© RIPRODUZIONE RISERVATA
