Da febbraio 2026, Smart App Control su Windows 11 è diventato finalmente attivabile e disattivabile senza dover reinstallare il sistema operativo. Per tre anni — da quando Microsoft l’ha introdotto nel 2022 con Windows 11 22H2 — questa funzione di sicurezza è stata uno di quei casi in cui l’idea era ottima ma l’esecuzione pessima: utile per proteggere il PC, impossibile da gestire quando bloccava software legittimo.
Questa guida vi spiega cos’è Smart App Control, come funziona tecnicamente, quando ha senso attivarlo e quando invece diventa un ostacolo che fa più danni che altro. Perché — spoiler — non è per tutti.
Cos’è Smart App Control (e perché non è Defender)
Smart App Control è un sistema di protezione preventivo che Microsoft ha aggiunto a Windows 11 con l’aggiornamento 22H2. A differenza degli antivirus tradizionali che scansionano i file dopo averli scaricati e bloccano le minacce quando provano a fare danni, Smart App Control agisce prima: blocca l’esecuzione di applicazioni sconosciute o sospette prima ancora che possano aprirsi.
Funziona come un gatekeeper. Ogni volta che provate a lanciare un programma — un installer scaricato, uno script, una DLL, qualsiasi file eseguibile — Smart App Control lo intercetta e decide se può passare o no.
La differenza con Microsoft Defender è netta. Defender è un antivirus classico: monitora continuamente file e processi attivi, cerca pattern di malware noto, analizza comportamenti sospetti in tempo reale. Lavora in background consumando risorse. Smart App Control invece interviene solo nel momento in cui provate a lanciare qualcosa, valuta quel file specifico contro i suoi criteri, e dà un verdetto binario: passa o non passa.
E SmartScreen? SmartScreen è il sistema che vi avvisa quando scaricate un file da Internet o visitate un sito potenzialmente pericoloso. Si concentra sulla fase di download e navigazione web. Smart App Control lavora localmente, sulla fase di esecuzione. Quando Smart App Control è attivo, disabilita SmartScreen perché lo sostituisce con un approccio più aggressivo.
In teoria, dovreste avere tre livelli di protezione:
- SmartScreen (o Smart App Control) blocca il download/esecuzione di file pericolosi
- Defender scansiona file e processi alla ricerca di malware
- Windows Defender Application Control (WDAC) gestisce policy enterprise di controllo applicazioni
Smart App Control cerca di unificare 1 e 3 in un’unica funzione user-friendly.
Come funziona tecnicamente
Quando provate a eseguire un’applicazione su Windows 11 con Smart App Control attivo, succede questo:
Primo step: controllo reputazione cloud
Il sistema invia l’hash del file ai server di Microsoft, che interrogano l’Intelligent Security Graph — un database gigantesco alimentato da miliardi di segnali di sicurezza raccolti da tutti gli utenti Windows. Se l’app è conosciuta e ritenuta sicura, passa. Se è identificata come malware o PUA (Potentially Unwanted Application), viene bloccata.
Secondo step: verifica firma digitale
Se il servizio cloud non ha abbastanza dati per dare un verdetto certo, Smart App Control controlla se il file è firmato digitalmente con un certificato valido rilasciato da un’Autorità di Certificazione (CA) inclusa nel programma Trusted Root di Microsoft. Se sì, passa. Se no, o se la firma è invalida, il file viene considerato non attendibile e bloccato.
Terzo step: blocco senza appello
Non esistono eccezioni. Smart App Control non vi permette di creare una whitelist, non potete aggiungere cartelle escluse, non c’è un tasto “esegui comunque”. Se un file viene bloccato, l’unica opzione è disattivare completamente Smart App Control.
Questo approccio “zero-trust” è deliberato. Microsoft vuole evitare che gli utenti — spesso inconsapevoli dei rischi — bypassino la protezione cliccando su “esegui comunque” come fanno abitualmente con gli avvisi di SmartScreen.
Le tre modalità di Smart App Control
Smart App Control può trovarsi in tre stati:
Modalità Valutazione
Dopo un’installazione pulita di Windows 11 (o un reset del PC), Smart App Control parte in modalità valutazione. Per alcuni giorni — tipicamente una settimana — il sistema osserva silenziosamente cosa fate:
- Quali applicazioni installate
- Quante sono firmate digitalmente
- Se usate software non mainstream o sconosciuto
- Se tendete a scaricare programmi da fonti non ufficiali
In questa fase, Smart App Control non blocca nulla. Raccoglie solo dati. L’obiettivo è capire se attivare la protezione completa senza rovinarvi l’esperienza d’uso. Se il sistema determina che usate principalmente software affidabile e firmato, Smart App Control si attiva automaticamente. Se invece rileva che usate spesso software sconosciuto, tool di sviluppo, utility non certificate, si disattiva automaticamente per evitare di bloccarvi il lavoro.
Modalità Attivo
Smart App Control è in modalità imposizione: blocca attivamente qualsiasi file non attendibile. Ricevete notifiche quando un’app viene fermata. Non potete forzare l’esecuzione — l’unica via d’uscita è disattivare completamente la funzione.
Modalità Disattivato
Smart App Control non è in esecuzione. Torna attivo SmartScreen come fallback. Fino a gennaio 2026, una volta disattivato Smart App Control, non potevate più riattivarlo senza reinstallare Windows. Con l’aggiornamento KB5074105, finalmente potete attivarlo e disattivarlo liberamente tramite le impostazioni.
La grande novità: riattivabile senza reinstallare Windows
Fino a pochi mesi fa, Smart App Control seguiva una logica assurda. Una volta disattivato — magari perché bloccava un installer legittimo di cui avevate bisogno — non potevate più riaccenderlo. L’unica strada era reinstallare Windows da zero. Microsoft giustificava questa scelta dicendo che voleva garantire un sistema “pulito” prima di attivare Smart App Control, senza applicazioni potenzialmente dannose già installate.
Il problema è che questo approccio rendeva la funzione inutilizzabile. Caso tipico: utenti di console gaming portatili come ASUS ROG Ally scoprivano che Smart App Control bloccava Armoury Crate, il software ufficiale ASUS per gestire ventole, TDP e profili prestazionali. Per far funzionare la console dovevano disattivare Smart App Control, perdendo per sempre la protezione. Reinstallare Windows su una console gaming solo per riattivare una funzione di sicurezza? Impensabile.
Con l’aggiornamento KB5074105 di gennaio 2026 (obbligatorio dal 10 febbraio), Microsoft ha cambiato completamente il funzionamento. Ora Smart App Control può essere attivato e disattivato a piacimento tramite Sicurezza di Windows > Controllo app e del browser > Impostazioni di Controllo intelligente delle app.
Cosa cambia tecnicamente? Microsoft ha modificato il sistema di gestione policy di integrità del codice. Quando attivate Smart App Control dalle impostazioni, Windows carica dinamicamente le regole di sicurezza e valuta tutte le applicazioni presenti sul sistema in tempo reale usando firme digitali, reputazione cloud (Intelligent Security Graph) e certificati attendibili. Le app già installate vengono controllate all’esecuzione — quelle sicure continuano a funzionare, quelle sospette vengono bloccate.
Questo risolve il principale problema di Smart App Control: potete disattivarlo temporaneamente per installare software specifico (magari un tool di sviluppo non firmato), e riattivarlo subito dopo. Defender, SmartScreen e tutte le altre protezioni restano attive anche quando Smart App Control è disattivato.
Quando ha senso attivare Smart App Control
Smart App Control è pensato per un profilo utente specifico: chi usa il PC principalmente per navigare, lavorare su documenti Office, guardare contenuti multimediali, e installare solo software mainstream da fonti ufficiali.
Scenari ideali:
PC di famiglia o utenti non esperti. Se il computer è usato da persone che non distinguono un installer legittimo da uno fake, Smart App Control blocca gran parte delle minacce comuni — toolbar indesiderate, adware mascherato da utility, installer fake di programmi popolari.
PC aziendali o pubblici. In ambienti dove è importante limitare quali software possono essere eseguiti, Smart App Control aggiunge uno strato di protezione senza richiedere configurazione complessa. L’IT può abilitarlo e sapere che gli utenti non possono eseguire software random scaricato da Internet.
Utenti che installano software solo da Microsoft Store, siti ufficiali, o usano prevalentemente web app. Se il 90% del vostro tempo lo passate su browser, email, e qualche app certificata, Smart App Control difficilmente vi creerà problemi.
Sistemi appena installati. Se state configurando un PC nuovo o avete appena reinstallato Windows, attivare Smart App Control subito garantisce che partiate da zero con una base pulita.
Quando Smart App Control diventa un problema
Smart App Control blocca software legittimo con una frequenza preoccupante. Non è paranoia — Microsoft stessa ammette che la funzione può “non essere adatta a tutti gli utenti”. Tradotto: se fate qualcosa di più complesso che navigare e usare Office, Smart App Control vi bloccherà il lavoro.
Scenari problematici:
Sviluppatori software. Se compilate codice, create script, testate programmi, Smart App Control vi bloccherà tutto quello che non è firmato digitalmente. Ogni build di test, ogni utility autoprodotta, ogni tool da GitHub non certificato — tutto bloccato. Dovete disattivare Smart App Control o impazzire.
Utenti di software di nicchia, tool professionali, utility open source. Molti programmi specializzati — editor audio, software CAD, utility di sistema, tool di rete — non hanno firme digitali certificate o hanno reputazione bassa perché usati da poche persone. Smart App Control li blocca tutti.
Gamer e streamer. Tool come Streamer.bot, OBS Studio plugins, mod manager, trainer per giochi single-player, software per overclock — molti non sono firmati. Smart App Control li considera pericolosi e li blocca. Caso reale segnalato su Reddit: Streamer.bot bloccato improvvisamente dopo settimane di utilizzo senza problemi.
Utenti di hardware OEM con software proprietario. Armoury Crate (ASUS), Dragon Center (MSI), Command Center (Gigabyte), iCUE (Corsair) — software ufficiali dei produttori per gestire hardware — sono stati tutti bloccati da Smart App Control in momenti diversi perché modificano parametri hardware di basso livello e le loro firme non soddisfacevano i criteri di Microsoft.
Chi usa software portable, versioni beta, early access. Applicazioni distribuite come .exe standalone senza installer, build in anteprima di software in sviluppo, tool beta — tutto bloccato.
Il problema fondamentale è che Smart App Control non distingue tra “software non firmato perché è malware” e “software non firmato perché è un progetto open source mantenuto da una persona”. Per Smart App Control, entrambi sono ugualmente pericolosi.
Falsi positivi e impatto reale
I casi documentati di falsi positivi sono numerosi. Oltre a Armoury Crate e Streamer.bot, utenti hanno segnalato blocchi di:
- Utility di sistema legittime: Process Explorer, WinDirStat, Sysinternals Suite (ironicamente, tool Microsoft non firmati correttamente)
- Software di backup: Alcuni tool di backup locali o sincronizzazione cloud di terze parti
- Vecchi installer: Programmi datati con firme digitali scadute o obsolete
Microsoft sostiene che Smart App Control “riduce il carico sul sistema” rispetto agli antivirus tradizionali. È vero che non fa scansioni continue in background, ma questo vantaggio prestazionale diventa irrilevante se dovete disattivarlo ogni due giorni per installare qualcosa.
Come attivare o disattivare Smart App Control
Su Windows 11 con KB5074105 installato (dal 10 febbraio 2026 è obbligatorio), la procedura è semplice:
- Aprite Impostazioni (Win + I)
- Andate in Privacy e sicurezza > Sicurezza di Windows
- Cliccate su Controllo app e del browser
- Selezionate Impostazioni di Controllo intelligente delle app
- Attivate o disattivate l’interruttore
In alternativa, cercate “Smart App Control” o “SAC” nella casella di ricerca di Windows e aprite direttamente le impostazioni.
Se Smart App Control è in modalità valutazione, vedrete lo stato “Valutazione” e potete forzare l’attivazione manualmente. Se è disattivato, potete riaccenderlo. Se è attivo, potete disattivarlo temporaneamente.
Importante: anche con KB5074105, ci sono casi in cui Smart App Control potrebbe non essere disponibile:
- Dispositivo gestito da un’organizzazione (policy aziendali)
- Modalità sviluppatore attivata
- Dati diagnostici facoltativi disattivati (Smart App Control richiede telemetria cloud)
- Windows 11 in modalità S (dovete disattivare la modalità S e resettare il PC)
Le vulnerabilità di Smart App Control
Smart App Control non è infallibile. Ricercatori di Elastic Security Labs hanno documentato diverse debolezze di design che permettono di bypassarlo:
LNK Stomping. Creando file .LNK (collegamenti) con percorsi non standard o strutture interne inusuali, è possibile far eseguire file senza che Smart App Control li controlli. Bug presente dal 2018, sfruttato attivamente da attaccanti per distribuire ransomware.
Certificati EV rubati. Software firmato con certificati Extended Validation validi passa sempre, anche se il contenuto è malevolo. Attaccanti usano certificati rubati o compromessi per firmare malware che Smart App Control considera legittimo.
Reputation seeding. Distribuendo applicazioni apparentemente benigne ma con funzionalità malevole nascoste, attaccanti riescono a costruire reputazione positiva. Dopo ~2 ore di distribuzione, Smart App Control inizia a considerare il file affidabile.
Reputation tampering. Modifiche specifiche al codice di un’applicazione già “approvata” non cambiano la reputazione assegnata da Smart App Control, permettendo di iniettare payload malevoli in binari con buona reputazione.
Questi problemi sottolineano che Smart App Control — come qualsiasi sistema basato su reputazione e firme — non può essere l’unica linea di difesa. Defender deve restare attivo, e serve un antivirus di terze parti o soluzioni EDR in ambienti aziendali.
Smart App Control vs antivirus di terze parti
Microsoft sostiene che Smart App Control può ridurre la necessità di antivirus di terze parti. Non è vero.
Smart App Control lavora sul controllo dell’esecuzione: blocca cosa può partire. Defender lavora sul rilevamento comportamentale e scansione: identifica minacce in azione. Un antivirus completo come Bitdefender, Kaspersky, ESET fa entrambe le cose, più protezione web, firewall, anti-ransomware, protezione webcam, gestione password.
Smart App Control è un layer aggiuntivo, non una soluzione completa. Se lo attivate, Defender resta attivo. Se usate un antivirus di terze parti, Smart App Control può coesistere (anche se alcuni antivirus enterprise potrebbero avere conflitti con le policy di integrità del codice).
Il verdetto: chi dovrebbe usarlo
Attivate Smart App Control se:
- Usate il PC per attività basic (navigazione, email, documenti)
- Non installate software di nicchia, tool di sviluppo, o utility non certificate
- Volete protezione extra senza configurare nulla
- Il PC è usato da familiari o utenti non esperti
Disattivate (o non attivate) Smart App Control se:
- Sviluppate software, scrivete script, testate codice
- Usate regolarmente software open source, portable, beta, early access
- Lavorate con tool professionali di nicchia
- Avete hardware con software OEM proprietario (ASUS, MSI, Corsair, etc.)
- Siete power user che installano utility di sistema, mod, plugin
La regola empirica: se nell’ultimo mese avete installato almeno un programma scaricato da GitHub, SourceForge, o un sito non mainstream, Smart App Control vi darà problemi. Se invece tutto quello che installate viene dallo Store, da siti ufficiali, o usate solo web app, potete provare ad attivarlo.
La buona notizia è che ora — grazie a KB5074105 — potete sperimentare senza paura. Attivatelo, vedete come va, e se blocca qualcosa di cui avete bisogno, disattivatelo temporaneamente e riattivatelo dopo. Non dovete più scegliere tra protezione zero o protezione permanente.
Fonti:
