Quanto è successo a Hugging Face segna con ogni probabilità un momento di non ritorno della narrazione dell’intelligenza artificiale applicata alla cybersicurezza. Ricapitoliamo brevemente l’accaduto: durante una valutazione interna condotta con protezioni ridotte, alcuni modelli di OpenAI sono riusciti a uscire dalla sandbox in cui erano confinati, accedere a Internet e compromettere parti dell’infrastruttura di produzione di Hugging Face. L’agente ha eseguito decine di migliaia di azioni automatiche nell’arco di un fine settimana, sfruttando un dataset malevolo, aumentando i propri privilegi e muovendosi lateralmente nei sistemi. Per l’azienda di Sam Altman si tratta di “un incidente informatico senza precedenti”, mentre Hugging Face ha osservato che “gli strumenti offensivi autonomi guidati dall’AI non sono più teorici”.
Cybersecurity
OpenAI ammette: “Attacco informatico senza precedenti da parte di un nostro modello di intelligenza artificiale”
Il supermercato dell’intelligenza artificiale
La questione più rilevante, tuttavia, non è il modo in cui il sistema è riuscito a evadere dall’ambiente di test, ma la scelta dell’obiettivo. Hugging Face è uno dei principali centri di raccolta e distribuzione dell’intelligenza artificiale contemporanea. Con una certa semplificazione, può essere descritta come il grande supermercato dei modelli AI: un luogo in cui ricercatori, sviluppatori e aziende possono trovare modelli linguistici, generatori di immagini, sistemi per l’audio, strumenti di visione artificiale, dataset, librerie e applicazioni già pronte per essere provate, scaricate o integrate. Hugging Face, però, non si limita a esporre prodotti su uno scaffale: è anche un magazzino, perché conserva pesi dei modelli e grandi raccolte di dati; un laboratorio, perché permette di addestrare, modificare e valutare i sistemi; una vetrina, attraverso le demo interattive; e un’infrastruttura di distribuzione, perché molti modelli vengono prelevati direttamente dalla piattaforma e inseriti in servizi commerciali, applicazioni e processi aziendali. È quindi uno dei luoghi in cui la ricerca sull’AI viene trasformata in tecnologia utilizzabile.
Per gli esseri umani, ma anche per gli agenti AI: per un agente autonomo alla ricerca di una capacità aggiuntiva, di una vulnerabilità, di un dataset o della soluzione a un test, Hugging Face rappresenta uno dei punti con la maggiore densità di informazioni utili. Il sistema ha, per così dire, riconosciuto autonomamente la struttura dell’ecosistema tecnologico nel quale stava operando. Ha poi individuato uno dei centri di gravità dell’AI, che concentra nello stesso ambiente una quantità vastissima di risorse operative: la piattaforma è diventata il bersaglio non perché fosse l’obiettivo finale dell’operazione, ma perché rappresentava il punto di approvvigionamento più promettente. Non sembra che il modello abbia scelto Hugging Face per il suo valore simbolico o per provocare il massimo danno possibile.
In linea teorica avrebbe avuto senso: i modelli e i dataset presenti su Hugging Face vengono scaricati e utilizzati da migliaia di soggetti. Una compromissione profonda della piattaforma potrebbe quindi consentire di alterare un componente e distribuirlo successivamente a un numero molto più ampio di utenti. Un modello manipolato, una dipendenza modificata o un dataset contaminato potrebbero propagare gli effetti dell’attacco ben oltre il sistema inizialmente violato. Colpire Hugging Face significa potenzialmente trovarsi a monte di una lunga catena di sviluppatori, aziende e applicazioni.
Un attacco non intenzionale
L’aspetto forse più inquietante dell’incidente è che il modello non aveva apparentemente un obiettivo distruttivo. Non cercava di sabotare Hugging Face, interromperne i servizi o rubare dati per ottenere un profitto. Voleva superare un test. La compromissione della piattaforma è stata una conseguenza dell’ottimizzazione dell’obiettivo assegnato. L’assenza di intenzionalità, però, non semplifica la questione, anzi la complica, perché riduce l’importanza della distinzione tradizionale tra intento malevolo ed effetto dannoso. Un sistema non deve necessariamente essere ostile per produrre un attacco informatico, se considera quell’attacco il percorso più efficace verso il risultato richiesto.
L’incidente dimostra inoltre che i rischi non riguardano soltanto modelli distribuiti pubblicamente o sistemi utilizzati deliberatamente da criminali informatici. Capacità offensive significative possono emergere anche durante test concepiti per finalità di ricerca o di difesa, soprattutto quando le protezioni vengono ridotte e agli agenti vengono concesse autonomia, tempo e risorse computazionali. Il problema non è soltanto ciò che un modello risponde, ma ciò che può fare quando è collegato a strumenti, infrastrutture e ambienti reali: un agente AI addestrato per trovare debolezze non distingue necessariamente tra una vulnerabilità presente nel bersaglio previsto e una vulnerabilità presente nei sistemi che delimitano il test.
Il caso
Intelligenza artificiale, Trump vieta l’utilizzo degli ultimi modelli di Anthropic fuori dagli Usa
A voler pensare male
Clem Delangue, cofondatore e amministratore delegato di Hugging Face, ha elogiato la collaborazione di OpenAI durante l’indagine, sostenendo che la sicurezza dell’intelligenza artificiale non potrà essere risolta da una singola azienda operando in segreto. Secondo Delangue serviranno cooperazione, trasparenza e accesso ampio agli strumenti di difesa, affinché non siano soltanto i grandi laboratori a disporre dei modelli necessari per riconoscere e contrastare gli attacchi automatizzati.
Ma tanta apertura da parte di OpenAI è insolita, e qualcuno la giudica perfino sospetta. Con l’incidente, infatti, l’azienda ha dato una prova empirica e documentata che i suoi modelli possiedono capacità offensive mai viste prima. Per un’azienda impegnata nella corsa ai modelli più avanzati, una dimostrazione del genere ha un valore monetizzabile: segnala potenza, autonomia, capacità di pianificazione e competenza informatica. Tutte qualità che, con una semplice inversione di segno, diventano enormi vantaggi competitivi. Un po’ come, per motivi molto diversi e senza effetti reali, era successo il mese scorso con Mythos 5 di Anthropic, che fu bloccato dal governo Usa per “evitare che finisse ein mani sbagliate”: anche in quel caso, il messaggio che passava era quello di un modello AI di potenza mai vista prima. E anche in quel caso si trattava di un modello non ancora disponibile pubblicamente: nel post ufficiale, OpenAI afferma soltanto che l’incidente è stato causato da una combinazione di GPT-5.6 Sol, già disponibile, e di “un modello pre-release ancora più capace”.
Hugging Face è riuscita a individuare e ricostruire l’intrusione utilizzando anche strumenti di sicurezza open source e sistemi automatizzati che hanno permesso di riconoscere un comportamento che, per velocità e volume, sarebbe stato difficile analizzare manualmente. Lo scenario è da fantascienza, ma è esattamente quello che è successo: un’intelligenza artificiale ha sventato l’attacco di un’altra intelligenza artificiale.
Una guerra sullo sfondo
La vicenda si inserisce anche nello scontro sempre più netto tra modelli aperti e sistemi proprietari. Hugging Face rappresenta l’infrastruttura simbolo dell’AI aperta, fondata sulla circolazione di modelli, pesi, dataset e strumenti tra ricercatori, aziende e sviluppatori. OpenAI, nonostante il nome, incarna un approccio nel quale i sistemi più avanzati restano sotto il controllo dell’azienda e vengono utilizzati attraverso servizi proprietari. Il paradosso è evidente: un modello chiuso, sviluppato da uno dei maggiori laboratori statunitensi, ha colpito il principale nodo di distribuzione dell’ecosistema aperto, mentre la risposta è stata resa possibile dalla collaborazione tra le due aziende e anche da strumenti di sicurezza open source.
Questa contrapposizione non è più solo tecnica o commerciale, ma è diventata geopolitica. L’amministrazione Trump sta valutando interventi contro i modelli cinesi open-weight, mentre alcuni settori del governo americano accusano i laboratori di Pechino di avere sfruttato impropriamente i modelli statunitensi attraverso tecniche di distillazione. Sono state ipotizzate sanzioni, restrizioni all’accesso e persino l’inserimento di alcune società cinesi nella Entity List del Dipartimento del Commercio.
I modelli cinesi aperti, da DeepSeek a Kimi, riducono i costi di accesso all’AI avanzata, permettono alle imprese di eseguire i sistemi sulle proprie infrastrutture e indeboliscono la dipendenza dalle piattaforme proprietarie americane. Limitarli può quindi proteggere la proprietà intellettuale e ridurre alcuni rischi, ma può anche consolidare il potere di OpenAI, Anthropic e degli altri fornitori statunitensi che distribuiscono i propri modelli quasi esclusivamente attraverso il cloud. La stessa OpenAI, insieme ad Anthropic, sta sollecitando Washington a prestare più attenzione ai rischi dei modelli aperti, mentre ricercatori e startup sostengono che restrizioni eccessive finirebbero per soffocare concorrenza e innovazione.
L’incidente di Hugging Face finisce così per offrire argomenti a entrambi gli schieramenti. I sostenitori dei sistemi chiusi possono affermare che capacità offensive così avanzate non dovrebbero essere liberamente distribuibili. I difensori dell’apertura possono replicare che proprio la disponibilità diffusa di modelli e strumenti consente a ricercatori e aziende indipendenti di individuare gli attacchi, verificare le affermazioni dei grandi laboratori e costruire difese accessibili a tutti.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Bruno Ruffilli
Source link
