Le app sportive sono diventate pesanti. L'analisi dietro di esse si è complicata

La tecnologia sportiva viene venduta come una storia di dati. Le proposte arrivate nelle redazioni questo mese parlano di intelligenza artificiale nei mercati sportivi, dashboard di crescita dei fan e analisi delle prestazioni. Questa è la fase di marketing. La fase di ingegneria è diversa e più facile da ispezionare, perché gran parte di essa viene distribuita come open source, report di bug bounty o note di prodotto.

Considera l'esempio consumer più visibile. Slate ha pubblicato un articolo a giugno sostenendo che l'app Sport di Apple sia la migliore app pubblicata dall'azienda negli ultimi anni proprio perché fa quasi nulla. L'app, semplicemente chiamata "Sport", non contiene titoli di notizie, guide di streaming e quasi nessuna pubblicità. Il recensore di Slate nota che mostra nomi e loghi delle squadre, record, orari delle partite e punteggi, più una pagina delle classifiche. Le quote di scommessa appaiono sul tabellone, ma un interruttore nelle impostazioni le rimuove permanentemente.

Questo è l'intero prodotto. La parte interessante per chi lavora con i dati sportivi è perché si sente veloce: l'app è stretta per design, quindi il data pipeline dietro di essa non deve mai riconciliare feed, contenuti editoriali e inventario video nella stessa vista.

Il tabellone è la parte facile

L'autore di Slate descrive la personalizzazione come perfetta: scegli le leghe e le squadre, appaiono su una homepage e in una barra laterale, e i loro punteggi possono apparire come Live Activities sullo schermo di blocco. La copertura si estende ben oltre la Coppa del Mondo a MLS, NWSL e circa 30 altre leghe di calcio, più tennis maschile e femminile e il LPGA Tour. Cliccare su una partita apre una box score di base, una classifica o una rosa.

L'app è stata annunciata nell'inverno del 2.024. Slate cita un dirigente Apple che ha esposto il presupposto all'epoca: "Abbiamo creato Apple Sports per dare ai fan sportivi ciò che vogliono, un'app che offre accesso incredibilmente veloce a punteggi e statistiche." Nessun framing agentico, nessuna promessa di avvicinare i fan all'azione.

C'è una lezione utile sepolta in quella riservatezza. La maggior parte delle proprietà sportive ora porta anni di funzionalità accumulate. Il recensore di Slate segnala l'app ufficiale di Major League Baseball, un tempo favorita, per aver circondato punteggi e video con abbellimenti, e l'app di ESPN per aver spinto la sua offerta di TV live e un feed in stile TikTok chiamato "Verts" sopra la sezione dei punteggi. L'attrito non è un problema di dati. È un problema di prodotto vestito da problema di dati.

Ed è qui che l'impianto idraulico diventa interessante, e dove il registro pubblico di questo mese è insolitamente ricco.

Il 8 settembre, una società di consulenza software chiamata Adaca ha pubblicato Adaca Analytics, un livello di dashboard self-hosted per Google Analytics 4 e BigQuery, che gira su Cloudflare Workers. Secondo il README di GitHub del progetto, i rollup giornalieri dall'API Data di GA4 o da un export di BigQuery atterrano in un database D1 di proprietà dell'operatore, mentre i dati in tempo reale restano live su Google. Il repository fornisce sei dashboard e un builder in quattro fasi per quelli personalizzati.

I dettagli contano più della proposta. Ogni numero nella dashboard si apre in una pagina di dettaglio con il proprio trend e suddivisioni, precalcolati in modo da caricarsi in un singolo round trip. C'è un filtro per l'intera dashboard, segmenti salvati e link di condivisione in sola lettura che possono fissare un filtro. I confronti vengono eseguiti contro il periodo precedente, l'anno scorso o qualsiasi finestra. La configurazione richiede la creazione di un account di servizio Google con accesso Viewer su una proprietà GA4, il download della sua chiave JSON, poi il deploy su Cloudflare, che biforca il repository e provisiona D1 e KV. Il README è esplicito che non c'è accesso, e dice agli operatori di mettere Cloudflare Access o l'Autenticazione di Base integrata davanti al deploy. Il progetto è con licenza MIT.

Leggi questo nel contesto sportivo e la forma del problema diventa chiara. Un club, lega o broadcaster che vuole la propria vista analitica ora lo assembla da parti di commodity: un runtime worker, un piccolo database, un account di servizio con accesso in sola lettura e un job cron. La parte costosa non è il motore di query. È il modello di accesso e la disciplina operativa.

Quando il controllo del token è mancante

Tom's Hardware ha riferito il 28 settembre che un adolescente che usa lo handle Faav ha trovato un endpoint non autenticato dentro la piattaforma analitica interna Titan di Microsoft. Il write-up dice che un bot che ha costruito, chiamato Antares, ha trovato un URL di endpoint che restituiva un errore che richiedeva una VPN. Antares ha quindi enumerato i sottodomini e ne ha trovati uno su un host Azure Cloud, insieme a un file Swagger/OpenAPI che elenca quattro rotte. Tre richiedevano l'autenticazione di Azure Active Directory. Uno non lo faceva, e si chiamava /v2/Query. Accettava SQL grezzo.

Secondo il report, Faav ha usato la Wayback Machine per trovare una versione 2.023 di una pagina di login che portava un file di configurazione Apache Superset che descriveva lo schema del database, incluse 56 definizioni di tabelle. L'endpoint ha rifiutato le sue query per mancanza di un JWT, quindi ha eseguito Antares contro di esso per 10 giorni senza successo. Poi ha notato che le risposte del server implicavano che la firma digitale del token non stava venendo controllata, ha presentato un token che dichiarava accesso amministratore, ed è stato lasciato entrare. Un singolo SHOW DATABASES ha restituito 25.000 record di dati dei dipendenti, più record organizzativi, dashboard e grafici.

Scavando più a fondo, ha trovato una fonte di dati per le analisi di Bing. Sommando le righe tra le tabelle, Tom's Hardware riferisce, ha contato l'accesso a 17.000.000.000.000 record in totale. Ha segnalato il problema al programma bug bounty di Microsoft e ha ricevuto 5.000. Nel suo post sul blog ha scritto: "L'intelligenza artificiale e l'intuizione umana si sono composte qui. Antares ha fatto dieci giorni di lavoro che non ho dovuto fare [...] La sua persistenza, più un'intuizione umana, è ciò che ha reso possibile questo ritrovamento."

Due cose meritano di essere separate qui. La prima è la vulnerabilità stessa: un endpoint che accettava SQL grezzo e non verificava una firma del token. La seconda è il metodo di scoperta. L'enumerazione dei sottodomini a forza bruta è stata automatizzata. L'intuizione che il controllo della firma mancasse, e che un'affermazione di amministratore falsificata avrebbe quindi funzionato, non lo era.

Starburst ha pubblicato un'analisi l'11 settembre che inquadra la stessa tensione dal lato dell'architettura. Il post passa in rassegna due modi per alimentare un agente AI aziendale: estrarre i dati e passarli, o dare all'agente accesso diretto al database e lasciarlo scrivere le proprie query. La prima opzione, che l'autore etichetta "opzione 0", diventa costosa rapidamente perché gli agenti che addebitano per elemento di dato elaborato non possono ricevere terabyte. L'autore la chiama impraticabile al di fuori di circostanze insolite.

La seconda opzione lascia al motore del database di fare ciò per cui è ottimizzato mentre l'agente invia richieste successive o parallele. Nota anche un rischio reale: gli agenti possono essere molto più esigenti degli utenti umani e possono sopraffare un database con query speculative mentre affina il loro focus. L'esempio del supermercato del post è una buona illustrazione di perché la domanda è difficile. Chiedere se una promozione sulle uova fosse profittevole richiede dati transazionali da un sistema, dati di fedeltà e demografici da un altro, e una catena di domande di follow-up sulla composizione del carrello e sulle visite ripetute.

Questa è la stessa forma del problema delle analisi sportive. Biglietteria, streaming, merchandising, telemetria dell'app e dati del venue stanno in sistemi diversi, e le query che contano li attraversano tutti. Il pezzo di Starburst sostiene che i sistemi di database moderni siano sempre più in grado di gestire carichi di lavoro agentici, ma che gli agenti non eguaglieranno l'ottimizzazione di motori di database a lungo tarati su terabyte di dati strutturati per qualche tempo.

Gli strumenti silenziosi sono quelli da guardare

Lontano dal tier aziendale, due progetti più piccoli mostrano dove sta andando la tooling. Plainoldanalytics, postato su Hacker News il 13 settembre, è un middleware analitico self-hosted per applicazioni Go. Il suo README lo descrive come simile in spirito a Umami, Plausible o PostHog, ma incorporato nell'app stessa. Il pacchetto core è agnostico rispetto allo storage, quindi importarlo non tira mai in un backend; gli operatori scelgono un pacchetto di storage, come DuckDB o uno store in memoria, o implementano l'interfaccia stessi. Il traffico viene flushato su disco circa una volta al secondo, e il middleware registra i parametri del percorso a meno che una rotta non sia avvolta per registrare il percorso letterale invece. Esistono adattatori per gin e chi.

DataZen, postato il 29 agosto, va nell'altra direzione: un client desktop local-first per lavoro cross-database. Il suo sito elenca PostgreSQL, MySQL, SQLite e Redis come integrati, con driver opzionali per MongoDB, ClickHouse, DuckDB e SQL Server. Offre SQL in linguaggio naturale, diagnosi degli errori con un clic, visualizzazione EXPLAIN, workflow YAML e un server MCP integrato che espone query, ispezione dello schema e workflow come strumenti per agenti come Claude Desktop, Cursor e Cline. Il sito afferma che le credenziali sono crittografate con AES-256-GCM e memorizzate nel keychain del SO, che solo lo schema e il contesto della query vengono inviati al provider AI, e che l'intero sorgente è disponibile sotto GPLv3. Nota anche che non è richiesto un account e non viene operato alcun servizio di database cloud.

Mettili insieme i quattro e emerge un modello che le previsioni di mercato tendono a appiattire. Il layer rivolto al consumatore si sta consolidando attorno alla semplicità radicale, come mostra l'app Sport di Apple. Il layer sottostante si sta frammentando in piccoli componenti self-hosted, auditabili, che gli operatori possono ispezionare e controllare. E il record di sicurezza, come mostra il caso Microsoft, dipende meno dal fatto che un'organizzazione abbia comprato una piattaforma analitica che dal fatto che abbia controllato la firma su un token.

Nessuna di queste cose appare in un grafico di dimensionamento del mercato. Appare nel momento in cui un deploy va male.