🤖 Dentro il cavallo di Troia - Legge Zero #127

C’è un solo film di cui tutti parlano quest’estate, è l’Odissea di Christopher Nolan. Che siate critici o entusiasti (come chi vi scrive), il primo lungometraggio della storia girato interamente con cineprese Imax sta monopolizzando le discussioni - anche online - e sta conquistando i botteghini di tutto il mondo.

Sui media e sui social ci sono tantissime interviste al cast e al regista. In una di queste, lo youtuber francese Hugo Travers ha fatto a Nolan una domanda precisa, partendo proprio da uno degli oggetti simbolo del poema di Omero: il cavallo di Troia. Il cavallo, nei secoli, è diventato il simbolo di un dono che accogli in casa, che ti entusiasma, ma che poi si rivela qualcos'altro. Non è - ha chiesto Travers - esattamente quello che potrebbe accadere con l'intelligenza artificiale?

Di fronte a questa domanda, Nolan prima ha riso, poi ha risposto così:

Penso che l’IA sia un cavallo di Troia in cui tutti sanno che dentro ci sono i greci. È un cavallo trasparente, fatto di vetro.

Non ho mai visto una tecnologia avanzare così rapidamente ed essere così completamente rifiutata dal pubblico. Il sospetto di tutti è estremo, soprattutto tra i giovani.

La metafora, a pensarci bene, è efficacissima. Nel mito greco, lo stratagemma funziona perché i troiani non sanno che si tratta di un inganno e così portano il cavallo dentro le mura convinti che sia un'offerta agli dèi. Con l'IA - sostiene Nolan - è il contrario: non c'è sorpresa, non c'è ignoranza. Anzi, i coetanei dei suoi figli hanno perfino coniato un termine per liquidare i video generati dall'algoritmo, "AI slop" (spazzatura artificiale), e per lui questo è "uno scetticismo molto sano", perché la tecnologia porta grandi doni "ma va guardata con diffidenza. E anche i motivi di chi ce la offre vanno guardati con diffidenza. È così che otterremo il meglio da una nuova tecnologia, invece che con la fede cieca che andrà tutto bene".

Pronunciate da un cineasta spesso dipinto come un luddista - niente smartphone, uso ostinato della pellicola e quasi nessun impiego della computergrafica per un film fantasy - queste parole potrebbero sembrare il cliché di una certa avversione radical chic verso il futuro. Ma Nolan, che si è definito “tecnoscettico e non tecnofobo“, non parla solo dell’IA, parla di come - in generale - accogliamo la tecnologia. Il cavallo di vetro è la metafora perfetta dell’approccio della nostra società: sappiamo che qualcosa potrebbe andare male, ma non facciamo nulla o quasi per evitarlo. Anzi, spesso ci comportiamo come se fosse inevitabile.

Dopo aver sentito l’intervista, viene da chiedersi: chi sono i “greci” a cui allude Nolan nella sua profezia? Sono i CEO delle bigtech che dichiarano di voler migliorare il mondo, ma intanto accumulano patrimoni miliardari? Sono i milioni di contenuti spazzatura che inondano il web e i social? Sono i deepfake in grado di rovinare la vita delle persone e inquinare il dibattito pubblico? Sono gli agenti IA che manderanno in pensione milioni di lavoratori umani? Oppure sono gli AI companion che assecondano i propositi suicidi degli adolescenti? O, invece, sono le intelligenze artificiali che sfuggono al controllo dei loro creatori, procurando incidenti e pericoli per l’umanità?

Il regista di Odissea non lo ha specificato, passando velocemente a rispondere alla domanda successiva, ma nei giorni immediatamente seguenti alla pubblicazione dell’intervista è stata diffusa una notizia che mi ha fatto tornare in mente la metafora di Nolan. E che sembra proprio uscita dalla sceneggiatura di un film.

Hugging Face è un’azienda che prende il nome dall’emoji della faccia che abbraccia 🤗 e gestisce la più grande biblioteca pubblica dell'intelligenza artificiale. Si tratta di una community globale che ruota intorno a un sito in cui aziende, ricercatori e sviluppatori di tutto il mondo depositano e scaricano gratuitamente modelli di IA e i dati per addestrarli. Molto di quello che oggi funziona con l'IA - app, chatbot, servizi - passa, in qualche modo, da lì.

Il 16 luglio, i gestori di Hugging Face pubblicano un avviso di sicurezza che comincia così: “abbiamo rilevato e contenuto un’intrusione nella nostra infrastruttura informatica”. Fin dall’inizio non sembra il “solito incidente”, visto che l’intrusione è diversa da qualunque cosa il team di sicurezza abbia mai gestito, perché è guidata “dall’inizio alla fine da un sistema di IA agentico autonomo”. Tra l’altro, i tecnici di Hugging Face sono riusciti a individuarla e analizzarla, a loro volta, solo con l’IA.

Cos’era successo? Il weekend precedente, qualcosa era entrato nei sistemi di Hugging Face sfruttando una vulnerabilità. Non si trattava di un attacco isolato, ma di un’azione assai complessa e articolata in uno sciame di oltre 17.000 azioni. L’attacco era portato avanti da un’entità capace di procedere per tentativi, apprendere dal risultato delle operazioni riuscite e spostarsi autonomamente tra i sistemi.

Hugging Face fa quello che si fa in questi casi: chiude le falle, ricostruisce i server compromessi, revoca e cambia tutte le credenziali, rafforza i controlli. E - soprattutto - segnala l’incidente alle forze dell’ordine. Perché a quel punto, per quanto ne sanno, hanno davanti criminali informatici particolarmente sofisticati.

Per ricostruire la dinamica dell’attacco, gli esperti di Hugging Face fanno la cosa più ovvia: chiedono aiuto all’IA. Provano a usare i modelli più potenti sul mercato, quelli delle grandi aziende (OpenAI, Anthropic). E qui hanno una brutta sorpresa, non funzionano. Infatti, per analizzare un attacco bisogna mostrare all’IA gli strumenti dell’attacco (i comandi usati dall’intruso, i codici malevoli, le tracce lasciate nei sistemi). Ma, di fronte a quel materiale, i modelli commerciali si rifiutano di rispondere: le loro protezioni di sicurezza scattano e li bloccano perché non sanno distinguere chi sta indagando su un attacco da chi lo sta preparando.

Al team di Hugging Face non resta che ripiegare su GLM 5.2, un modello “aperto” di origine cinese che possono installare e far girare sui propri server (con un vantaggio in più: così i dati dell’attacco non finiscono nelle mani di nessun altro). La conclusione che ne trae Hugging Face è tanto semplice quanto amara: gli attaccanti sono riusciti a usare sofisticatissime IA senza limiti, mentre gli attaccati erano stati frenati proprio dalle protezioni dei modelli.

Cinque giorni dopo, il 21 luglio, arriva il colpo di scena. Viene diffuso online un nuovo comunicato, stavolta firmato congiuntamente da Hugging Face e OpenAI. E il contenuto della nota contiene un’ammissione dell’azienda guidata da Sam Altman che suona più o meno: “quell’intrusione senza precedenti era opera nostra”. O meglio, “dei nostri modelli”.

Insomma, quello ad Hugging Face non è stato un attacco nel senso tradizionale del termine. Con uno o più criminali informatici (umani) che si servono di strumenti sofisticati e magari intelligenza artificiale.

Quanto accaduto sembra uscito proprio dalla trama di un film. Durante un test interno (andato molto oltre le previsioni), OpenAI stava mettendo alla prova le capacità “offensive” di alcuni nuovi modelli (GPT-5.6 Sol e un modello ancora più potente, non ancora rilasciato al pubblico), sottoponendoli a una sorta di esame di hacking, per capire quanto fossero bravi a scovare e sfruttare le falle informatiche. Si tratta di un esame che - come ha spiegato l’azienda - si svolge in un ambiente chiuso e isolato (chiamato sandbox), proprio per misurare fino a che punto i modelli possono spingersi.

Il problema è che i modelli, racconta OpenAI, erano ossessionati dall’obiettivo: volevano superare l’esame, a ogni costo. Pur di riuscirci, hanno trovato un modo per uscire dall’ambiente isolato in cui erano confinati e raggiungere Internet. A quel punto, hanno intuito che le risposte dell’esame potevano trovarsi proprio sui server di Hugging Face e sono andati a prenderle, violando quei server. Insomma non volevano fare danni, ma volevano trovare una scorciatoia per copiare al compito. Solo che la scorciatoia passava per l’hackeraggio dell’infrastruttura informatica di un’altra azienda.

Non cercavano denaro. Non volevano danneggiare l’azienda. Non avevano sviluppato un’ideologia ostile all’umanità. Volevano solo superare il test. E così hanno perseguito con straordinaria efficacia l’obiettivo che era stato assegnato loro, trattando tutto il resto - regole, confini, sistemi di terzi - come un ostacolo da aggirare.

Il problema non è che i modelli abbiano smesso di obbedire. Il problema è che hanno obbedito troppo bene.

La banalità del male (algoritmico).

La notizia dell'attacco informatico orchestrato dalle IA ha fatto velocemente il giro del mondo e dei social. C'è chi l’ha presa come un campanello d'allarme storico: Logan Graham - che in Anthropic guida il team incaricato di "stressare" i modelli più avanzati - ha invitato i suoi a “ricordare questo momento come il primo vero incidente di sicurezza dell'IA”. C'è chi, all'opposto, ha sospettato si trattasse di una trovata pubblicitaria - “un'ottima mossa di marketing” per mostrare quanto siano potenti i modelli di OpenAI - chi crede che questo attacco sia benzina sul fuoco del dibattito sulla regolazione dell’IA o chi si è limitato a evocare, tra il serio e il faceto, la trama di Terminator. E poi ci sono i tanti commentatori che hanno parlato semplicemente di “fantascienza diventata realtà”, cogliendo magari l'ironia geopolitica della vicenda: un modello americano attacca un'azienda americana mentre un modello cinese la aiuta a difendersi.

Qualcuno tra i lettori più attenti di questa newsletter noterà che non è la prima volta che un modello di IA sfugge al controllo dei suoi creatori. Ed è vero, ma non c’è dubbio che l’attacco ad Hugging Face rappresenti un vero e proprio salto di qualità. Anche dal punto di vista giuridico.

Hugging Face, credendo di essere vittima di un crimine, aveva sporto denuncia. Ma chi è responsabile di questo attacco? Per rimanere in tema omerico, verrebbe da rispondere “Nessuno”, ma - questa volta - nel senso letterale del termine.

L'accesso abusivo a un sistema informatico è un reato (in Italia è punito dall’art. 615-ter del codice penale, altrove esistono norme analoghe) ma è costruito attorno a una condotta umana e volontaria. Nell’attacco dei modelli di OpenAI, invece, l'atto materiale è stato compiuto da algoritmi privi di intenzione, di dolo, di consapevolezza. Il modello non “voleva” violare Hugging Face, nemmeno i suoi sviluppatori volevano che lo facesse.

Si tratta della stessa questione di cui abbiamo già parlato a proposito degli agenti IA: l'algoritmo può compiere atti giuridicamente rilevanti, ma non è un soggetto che si possa indagare, incriminare, condannare. Almeno per ora.

Secondo Dario Amodei - il CEO di Anthropic - comprendiamo ancora soltanto una piccola frazione di ciò che accade all’interno dei modelli più avanzati (secondo una stima il 3% di quanto accade al loro interno). Eppure, gli stiamo affidando compiti sempre più delicati, delegando attività sempre più importanti e senza che vi siano standard internazionali in materia di sviluppo sicuro delle superintelligenze.

E non si tratta di un fenomeno diffuso solo in Silicon Valley. Proprio in questi giorni, in Italia, il CSM ha aperto - con mille cautele - all’uso dell’intelligenza artificiale da parte dei magistrati nei procedimenti giudiziari. Secondo le nuove indicazioni del Consiglio Superiore della Magistratura, l’IA (in questo caso Microsoft Copilot) potrà essere utilizzata nella fase “analitica e ricostruttiva” del lavoro (ad esempio, per l’analisi degli atti e delle posizioni processuali delle parti). Naturalmente, è specificato che la decisione deve restare saldamente in mano al magistrato umano.

Anche qui, però, la sensazione è che si proceda come se non sapessimo quello che sappiamo. Come se le IA non allucinassero (ne abbiamo parlato spesso), come se chi le usa non tendesse a fidarsi troppo, come se il “controllo umano” che dovrebbe farci da rete di sicurezza non rischiasse, troppo spesso, di ridursi a un uso acritico del testo prodotto dalla macchina. La linea di confine tra “l’IA mi aiuta a ricostruire i fatti” e “l’IA decide al posto mio” è molto più sottile e porosa di quanto possa sembrare.

Insomma, sappiamo che i greci sono all’interno del cavallo ma - per usare la metafora di Nolan - lo stiamo facendo entrare lo stesso (anche se con un po’ di diffidenza) all’interno della nostra società. Anzi, lo stiamo mettendo al centro della nostra società, prima che ci siano regole in grado di consentirci di neutralizzare le minacce più gravi e beneficiare solo delle grandissime opportunità delle tecnologie IA.

Cosa può andare storto?

Per molti, l’attacco ad Hugging Face sarebbe soltanto una mossa pubblicitaria volta a dimostrare la potenza delle IA americane…

Per ora è tutto, torniamo la prossima settimana.

Se la newsletter ti è piaciuta, sostienici: metti like, commenta o fai girare!

Share