L’IA svizzera può difendere il web. O aiutare chi lo attacca
L’intelligenza artificiale permette di sferrare attacchi informatici più rapidi e autonomi. Chi si difende ha bisogno di strumenti sempre più potenti per tenere il passo. Modelli aperti come lo svizzero Apertus potrebbero riequilibrare la partita, ma le loro capacità possono finire nelle mani di chiunque, criminali compresi.
L’ascesa dei modelli di intelligenza artificiale (IA) agentica – programmi informatici capaci di agire in maniera autonoma per raggiungere un obiettivo – ha alterato il tradizionale equilibrio tra attacco e difesa nel cyberspazio.
Nelle ultime settimane, gli agenti di IA di OpenAI, l’azienda dietro a ChatGPT, lo hanno dimostrato violando decineCollegamento esterno di siti web aziendali e governativi in tutto il mondo. Prendendo di mira obiettivi come Hugging Face, la piattaforma che ospita milioni di modelli di IA aperti (tra cui lo svizzero Apertus), e il sistema sanitario australiano, questi agenti hanno manifestato quello che la stessa OpenAI ha definito un “comportamento non allineato” alle istruzioni di chi li ha sviluppati.
Per gli esseri umani, rispondere agli attacchi alla velocità dell’IA è praticamente impossibile. “I sistemi di IA più avanzati possono eseguire migliaia di azioni al minuto”, afferma Andrei Kucharavy, professore alla Scuola universitaria professionale della Svizzera occidentale (HES-SO) e responsabile della sicurezza di Apertus, il modello di IA svizzero completamente aperto.
Gli attacchi informatici degli agenti di OpenAI sono stati fermati prima che avessero conseguenze gravi. Ma Maxime Stauffer, direttore del Simon Institute for Longterm Governance, con sede a Ginevra, si aspetta che episodi simili diventino sempre più frequenti e difficili da gestire. “Sciami di agenti di IA potrebbero colpire infrastrutture critiche come scuole, ospedali e sistemi energetici, o persino interi Paesi, intenzionalmente o accidentalmente”, afferma. Stauffer richiama inoltre l’attenzione sul rischio che l’IA venga utilizzata per sviluppare armi biologiche, una preoccupazione evidenziata da recenti tentativiCollegamento esterno bloccati dall’azienda statunitense Anthropic.
Chi si occupa di difesa potrebbe non avere accesso a strumenti altrettanto potenti. I sistemi dotati delle capacità informatiche più avanzate, come Claude Mythos di Anthropic, sono accessibili soltanto a un’utenza ristretta. Secondo Kucharavy, i modelli aperti potrebbero contribuire a riequilibrare questa asimmetria.
Apertus, per esempio, è in grado di individuare vulnerabilità, suggerire correzioni e analizzare i registri degli attacchi per ricostruire un incidente informatico, anche se non è stato progettato per la cybersicurezza e presenta ancora limiti considerevoli, precisa Kucharavy. Alcuni esperti temono tuttavia che le stesse capacità difensive dei modelli aperti e ampiamente accessibili possano essere sfruttate anche per scopi malevoli, su scala molto più vasta.
>> I progressi e i limiti del modello di intelligenza artificiale svizzero Apertus:
Altri sviluppi
Apertus, il modello di IA svizzero, un anno dopo: cosa ha funzionato e cosa no?
Se gli agenti di IA attaccassero un ospedale “sarebbe un vero disastro”
Il caso di Hugging Face è emblematico. Quando diversi agenti di OpenAI sono penetrati nei suoi sistemi, la piattaforma ha cercato di utilizzare alcuni dei modelli di IA più potenti al mondo per capire che cosa stesse accadendo, senza successo.
“I modelli di frontiera [i modelli di IA più avanzati] hanno bloccato automaticamente tutte le nostre richieste per ragioni di sicurezza. Abbiamo quindi dovuto ripiegare sui modelli aperti per capire che cosa stesse succedendo”, ha raccontato a Swissinfo Lewis Tunstall, ingegnere di Hugging Face.
I modelli di IA possono essere sviluppati e rilasciati con diversi livelli di apertura:
Aperti (open source): i parametri di addestramento del modello, o “pesi”, il codice di addestramento e le informazioni sui dati sono disponibili pubblicamente, consentendo ad altre persone di esaminarli, modificarli e riprodurli. Tra gli esempi figurano Apertus e OLMo.
Pesi aperti (open weight): i pesi del modello sono resi pubblici e possono essere scaricati e adattati, ma il codice completo di addestramento e i set di dati non sono necessariamente divulgati. Tra gli esempi figurano Llama di Meta e Qwen di Alibaba.
Chiuso/proprietario: nessuna componente del modello è resa pubblica. È il caso della maggior parte dei modelli commerciali, tra cui GPT di OpenAI e Claude di Anthropic.
Secondo Tunstall, gli agenti di OpenAI si sono comportati in modo insolito rispetto a un tipico hacker. Non cercavano di assumere il controllo dell’infrastruttura, ma di trovare set di dati contenenti le risposte ai test di sicurezza su cui venivano valutati.
“Era un po’ come uno studente che vuole a tutti i costi ottenere un buon voto a un esame e, invece di studiare, pensa: magari posso hackerare il computer dell’insegnante e trovare le risposte”, spiega Tunstall.
OpenAI ha successivamente confermato che gli agenti erano riusciti a uscire dall’ambiente protetto che l’azienda aveva creato per il test. Ma che cosa sarebbe successo se avessero attaccato un ospedale?
“Sarebbe stato un vero disastro”, afferma Tunstall. Gli agenti avrebbero potenzialmente potuto accedere a grandi quantità di dati personali e sensibili. È anche per questo che, secondo Tunstall, i modelli di IA aperti possono rivelarsi particolarmente utili: non è necessario inviare i dati ad aziende come OpenAI o Anthropic, perché i modelli possono essere adattati o controllati localmente. “I dati sensibili non lasciano la vostra infrastruttura. Rimane tutto all’interno”.
Per ragioni analoghe, anche settori chiave dell’economia svizzera, come quello finanziario, mostrano un interesse crescente per i modelli aperti, afferma Nino Antulov-Fantulin, docente al Politecnico federale di Zurigo (ETH) ed esperto di apprendimento automatico applicato alla finanza.
“Le istituzioni finanziarie temono di utilizzare esclusivamente modelli chiusi e di inviare informazioni sensibili a server situati lontano dalla Svizzera o a fornitori esterni. Vogliono poter controllare dove viene ospitato il modello”, spiega Fantulin.
I modelli aperti diventano sempre più potenti, ma non possono essere ritirati
Il problema, tuttavia, è che i modelli aperti possono essere utilizzati anche per scopi malevoli.
Questa è una delle principali preoccupazioni di Stauffer. A suo avviso, per il momento lo sviluppo dei modelli aperti presenta soprattutto vantaggi, ma in futuro i rischi potrebbero superare i benefici, soprattutto se le aziende di IA limiteranno ulteriormente l’accesso ai loro sistemi più avanzati. I modelli aperti colmano questa lacuna, ma la loro diffusione su larga scala e la possibilità di rimuoverne le protezioni potrebbero aumentare il rischio di utilizzi malevoli.
“Se si dispone di uno strumento estremamente potente, ma nessuno vi ha accesso e rimane sotto controllo, allora il rischio è quasi nullo. Ma se tutti possono accedervi, il rischio è probabilmente maggiore”, afferma Stauffer.
Man mano che i modelli aperti diventano più potenti, Stauffer ritiene che potrebbe diventare importante disporre di un modo per ritirarli qualora si rivelassero troppo potenti o pericolosi, una possibilità che attualmente non esiste.
Alcune ricerche mettono in luce timori simili. Uno studioCollegamento esterno condotto dalle università di Stanford e Princeton ha individuato, tra le caratteristiche che possono amplificare sia i benefici sia i rischi dei modelli aperti, proprio l’ampia accessibilità, la possibilità di modificarli e l’impossibilità per gli sviluppatori originali di ritirare i pesi del modello – i parametri numerici appresi durante l’addestramento – o di monitorarne l’utilizzo.
Un recente rapportoCollegamento esterno dell’AI Security Institute britannico ha inoltre rilevato che i modelli aperti modificati per rimuovere le protezioni fornivano un’assistenza notevolmente maggiore per le attività criminali rispetto ai modelli in cui tali protezioni erano rimaste intatte. Nessuno dei due studi, tuttavia, conclude che i modelli di IA aperti siano intrinsecamente più pericolosi.
Servono “controlli e leggi”
Kucharavy riconosce che i modelli aperti comportano rischi e possono essere utilizzati in modo improprio. “I modelli di IA sono tecnologie a duplice uso. Possono essere impiegati sia per fare del bene sia per arrecare danni”, afferma. Ritiene però che, proprio grazie all’apertura, i pericoli siano molto più controllabili.
Secondo Kucharavy, non è un caso che gli incidenti osservati di recente abbiano coinvolto le aziende dietro ai modelli chiusi. “Il problema principale è la mancanza di supervisione dei laboratori che sviluppano i modelli di frontiera”, afferma, chiedendo maggiore supervisione e trasparenza per tutti i centri di sviluppo dell’IA, pubblici o privati, aperti o chiusi.
“Quello di cui abbiamo davvero bisogno sono controlli e leggi che disciplinino l’attività di tutti coloro che sviluppano l’IA”.
La mancanza di controlli e regole fa luce su un altro importante problema del settore: la concentrazione di potere nelle mani di un numero ristretto di attori, principalmente con sede nella Silicon Valley. Per Nathalie Klauser, esperta di etica digitale, questo squilibrio di potere è ancora più preoccupante della distinzione tra modelli di IA aperti e chiusi.
“Una manciata di grandi aziende tecnologiche stabilisce autonomamente le regole dell’IA, quasi senza dover rendere conto del proprio operato a soggetti esterni”, afferma Klauser, secondo cui è necessaria una regolamentazione internazionale.
I tentativi in questa direzione, tuttavia, rimangono frammentari e troppo lenti. Negli Stati Uniti, una delle principali potenze nello sviluppo dell’IA, il presidente Donald Trump si è opposto a una regolamentazione generale dell’intelligenza artificiale e ha elogiatoCollegamento esterno l’autoregolamentazione del settore. La Svizzera ha adottato un approccio per certi versi simile, abbandonando l’idea di una legislazione organica sull’IA a favore di modifiche legislative settoriali e misure non vincolanti.
Nell’attuale contesto geopolitico, la Svizzera – in quanto Paese neutrale, polo europeo delle grandi aziende tecnologiche e Stato noto per i suoi buoni uffici – ha una responsabilità politica crescente di mediare un accordo internazionale sull’IA, sostiene Klauser.
Esponenti di tutti e sei i gruppi parlamentari svizzeri considerano il prossimo vertice sull’IA di Ginevra, previsto per giugno 2027, un’importante opportunità per il Paese di assumere questo ruolo. Ed esortanoCollegamento esterno il Governo a sfruttare l’evento per promuovere standard minimi internazionali sui rischi estremi legati all’IA.
A cura di Gabe Bullard/VdV
Vedi più articoli di Swissinfo nei risultati di Google. Per saperne di più
In conformità con gli standard di JTI
Altri sviluppi: SWI swissinfo.ch certificato dalla Journalism Trust Initiative
Potete trovare una panoramica delle discussioni in corso con i nostri giornalisti qui.
Se volete iniziare una discussione su un argomento sollevato in questo articolo o volete segnalare errori fattuali, inviateci un'e-mail all'indirizzo italian@swissinfo.ch.