Non \u00e8 la storia di macchine diventate improvvisamente ostili. \u00c8 qualcosa di meno fantascientifico, ma gi\u00e0 molto concreto: sistemi ai quali era stato assegnato il compito di trovare falle hanno continuato a perseguire l\u2019obiettivo oltre il perimetro<\/b> nel quale gli esseri umani pensavano di averli confinati<\/b>. E, in alcuni casi, nessuno si \u00e8 accorto immediatamente di quello che stavano facendo.<\/p>\n
La convocazione di Big Tech alla Casa Bianca<\/p>\n
La Casa Bianca \u00e8 intervenuta<\/b>. Questa settimana l\u2019amministrazione Trump ha convocato Meta, Anthropic, OpenAI e Google<\/b> per discutere un nuovo sistema volontario di test sulle capacit\u00e0 informatiche dei modelli pi\u00f9 avanzati. Le regole non sono state pubblicate, ma una prima scelta politica \u00e8 gi\u00e0 emersa: le verifiche riguarderanno inizialmente i modelli proprietari pi\u00f9 potenti, mentre resteranno esclusi gli open-weight, come Llama di Meta e Nemotron di Nvidia, i cui parametri possono essere scaricati e modificati dagli utilizzatori.<\/p>\n
A spingere il governo americano ad accelerare \u00e8 stato soprattutto il caso OpenAI<\/b>. Durante una valutazione delle capacit\u00e0 informatiche, una combinazione di GPT-5.6 Sol e di un modello sperimentale ancora pi\u00f9 avanzato \u00e8 riuscita a oltrepassare l\u2019ambiente di prova e a compromettere l\u2019infrastruttura di Hugging Face<\/b>.\u00a0<\/p>\n
Per misurarne fino in fondo le capacit\u00e0 offensive, alcune protezioni erano state deliberatamente ridotte. Il risultato ha mostrato quanto sottile possa diventare il confine tra verificare la potenza di un modello e metterla involontariamente in azione nel mondo reale.<\/p>\n
Il caso di OpenAI<\/p>\n
Secondo le ricostruzioni, l\u2019agente ha tentato di uscire dall\u2019ambiente isolato intorno al 9 luglio. L\u2019intrusione nei sistemi di Hugging Face \u00e8 cominciata l\u201911 e proseguita fino al 13. La piattaforma aveva gi\u00e0 contenuto l\u2019attacco e informato l\u2019Fbi<\/b> quando OpenAI \u00e8 riuscita a collegare l\u2019attivit\u00e0 anomala ai propri test. La societ\u00e0 ha contestato alcuni elementi di questa ricostruzione senza precisare quali, ma il 21 luglio ha riconosciuto pubblicamente l\u2019incidente, definendolo senza precedenti <\/b>e promettendo di rafforzare il contenimento, il monitoraggio e i controlli sugli accessi.<\/p>\n
Il caso di Antrhopic<\/p>\n
La vicenda di Anthropic <\/b>\u00e8 stata meno sofisticata, ma forse ancora pi\u00f9 istruttiva. Un errore di configurazione aveva lasciato aperto l\u2019accesso a Internet durante esercitazioni di tipo \u00abcapture the flag\u00bb, prove nelle quali i modelli devono individuare e sfruttare vulnerabilit\u00e0 per recuperare informazioni nascoste. I bersagli avrebbero dovuto essere simulati. Tre modelli Claude hanno invece ottenuto accessi non autorizzati ai sistemi di tre organizzazioni reali<\/b>.<\/p>\n
Anthropic ha individuato gli episodi riesaminando 141.006 sessioni nelle quali i suoi sistemi avrebbero potuto raggiungere Internet. Le incursioni, la prima delle quali risale ad aprile, hanno coinvolto Claude Opus 4.7, Claude Mythos 5 e un modello sperimentale<\/b>. Due delle organizzazioni colpite non si erano accorte degli accessi prima di essere avvertite dalla societ\u00e0.<\/p>\n
In alcuni casi sono bastate tecniche elementari, come password deboli o punti di accesso privi di autenticazione. In uno degli episodi il modello ha interpretato un\u2019azienda vera come parte dell\u2019esercitazione. In un altro ha riconosciuto di trovarsi in un ambiente reale e ha interrotto l\u2019azione. In almeno un caso, per\u00f2, Claude Opus 4.7 ha continuato ad attaccare anche dopo avere rilevato che il sistema probabilmente non apparteneva alla simulazione. Anthropic ha parlato di un \u00aboperational failure\u00bb e ha sospeso temporaneamente questo genere di valutazioni<\/b>.<\/p>\n
La differenza tra agenti e chatbot<\/p>\n
\u00c8 proprio la relativa semplicit\u00e0 di alcuni accessi a rendere i tre casi rilevanti. Per produrre conseguenze reali non \u00e8 sempre necessario che un modello inventi una tecnica mai vista. Possono bastare un\u2019autorizzazione troppo ampia, una protezione disattivata, una password debole o un collegamento con Internet lasciato aperto<\/b> per errore. La capacit\u00e0 del modello conta, ma conta altrettanto l\u2019ambiente nel quale viene fatto operare.<\/p>\n
La differenza rispetto ai chatbot <\/b>ai quali ci siamo abituati \u00e8 sostanziale. Un chatbot produce una risposta. Un agente pu\u00f2 navigare su Internet, scrivere ed eseguire codici, utilizzare strumenti e credenziali, scegliere la mossa successiva e continuare a lavorare senza chiedere un\u2019autorizzazione per ogni passaggio. La sicurezza non dipende pi\u00f9 soltanto da quello che il modello \u00absa\u00bb, ma da quello che pu\u00f2 materialmente fare<\/b>: quali sistemi pu\u00f2 raggiungere, quali credenziali pu\u00f2 utilizzare, quali azioni richiedono l\u2019intervento di una persona e quanto rapidamente qualcuno pu\u00f2 accorgersi che sta seguendo la strada sbagliata.<\/p>\n
Definire questi agenti \u00abribelli\u00bb (rogue) <\/b>sarebbe suggestivo, ma sbagliato. OpenAI, Anthropic e Meta avevano assegnato loro compiti offensivi:<\/b> cercare vulnerabilit\u00e0, penetrare sistemi e recuperare informazioni. I modelli non hanno inventato l\u2019obiettivo. Lo hanno perseguito oltre il perimetro nel quale gli esseri umani erano convinti di averli rinchiusi.<\/b><\/p>\n
Il tema dei controlli<\/p>\n
Il problema diventa allora anche istituzionale: chi controlla chi costruisce e mette alla prova questi sistemi?<\/b> Le aziende sviluppano i modelli, organizzano buona parte delle valutazioni, decidono quali protezioni ridurre per misurarne le capacit\u00e0 e stabiliscono quando e quanto raccontare degli incidenti. La trasparenza ha un costo reputazionale, ma produce anche un effetto ambiguo: ammettere che un proprio agente ha superato barriere considerate sicure significa riconoscere un problema nei sistemi di contenimento e, contemporaneamente, mostrarne la potenza.<\/p>\n
Non ci sono elementi per sostenere, come ha fatto qualche osservatore, che gli incidenti siano stati provocati a fini promozionali. Il conflitto d\u2019interessi \u00e8 pi\u00f9 profondo e non ha bisogno di intenzioni occulte: chi corre per sviluppare i modelli pi\u00f9 capaci \u00e8 anche, almeno in prima battuta, chi deve dimostrare che siano sufficientemente sicuri<\/b>.<\/p>\n
La Casa Bianca cerca ora di inserire un controllore pubblico nel processo<\/b>, ma ha scelto una formula basata sulla collaborazione volontaria<\/b>. Resta da capire che cosa accadrebbe se un modello mostrasse capacit\u00e0 offensive giudicate pericolose<\/b>: se il produttore sarebbe chiamato a modificarlo, a rinviarne il lancio o semplicemente a prendere atto dei risultati. Non \u00e8 stato chiarito neppure quanto dei risultati sar\u00e0 reso pubblico.<\/p>\n
L\u2019esclusione degli open-weight aggiunge un\u2019altra zona d\u2019ombra<\/b>. Modelli come Llama e Nemotron possono essere scaricati e adattati da soggetti sui quali il produttore originario esercita un controllo limitato.<\/p>\n
\u00a0L\u2019amministrazione ritiene che non abbiano ancora raggiunto la soglia di capacit\u00e0 che giustificherebbe le nuove verifiche e vuole evitare di frenare un ecosistema considerato importante per l\u2019innovazione e la concorrenza. La scelta potr\u00e0 essere rivista, ma per ora lascia fuori proprio i sistemi pi\u00f9 difficili da sorvegliare una volta messi in circolazione.<\/p>\n
La scelta dell\u2019Unione europea<\/p>\n
L\u2019Europa ha imboccato una strada diversa<\/b>. Dal 2 agosto 2026 la Commissione pu\u00f2 far rispettare gli obblighi dell\u2019AI Act relativi ai modelli general purpose<\/b>. Per quelli classificati a rischio sistemico, l\u2019articolo 55<\/b>\u00a0
impone valutazioni, prove condotte simulando attacchi e utilizzi ostili, identificazione e mitigazione dei rischi, segnalazione degli incidenti gravi e protezione informatica del modello e delle sue infrastrutture.\u00a0L\u2019AI Office pu\u00f2 chiedere documenti, effettuare valutazioni, imporre misure correttive <\/b>e applicare sanzioni.<\/p>\n
La distanza tra Washington e Bruxelles<\/b> \u00e8 dunque netta: collaborazione volontaria con le aziende negli Stati Uniti, obblighi giuridici e poteri di enforcement nell\u2019Unione europea. Ma il problema di fondo \u00e8 lo stesso. I modelli migliorano pi\u00f9 rapidamente delle procedure costruite per valutarli<\/b> e ogni test abbastanza realistico da misurarne le capacit\u00e0 pu\u00f2 diventare esso stesso una fonte di rischio.<\/p>\n
Altri incidenti probabilmente emergeranno con la diffusione degli agenti autonomi.<\/b> Non perch\u00e9 le macchine abbiano sviluppato intenzioni proprie, ma perch\u00e9 un sistema capace di concatenare azioni, scoprire vulnerabilit\u00e0 ed eseguire codice diventa difficile da fermare quando gli vengono concessi troppi strumenti o quando il recinto \u00e8 costruito male. Il confine decisivo<\/b> non passa tra un\u2019intelligenza artificiale \u00abbuona\u00bb e una \u00abcattiva\u00bb, ma tra<\/b> ci\u00f2 che un modello sa fare e quello che gli esseri umani gli permettono di raggiungere.<\/b><\/p>\n
![](\"https:\/\/www.europesays.com\/it\/wp-content\/uploads\/2025\/08\/1756449670_863_app.png\"\/)
<\/p>\n![](\"https:\/\/www.europesays.com\/it\/wp-content\/uploads\/2025\/07\/eco.png\"\/)
<\/a><\/p>\n