Gli incidenti resi noti recentemete da Anthropic e OpenAI mostrano certamente capacità cyber certamente avanzate ma, soprattutto, carenze molto umane nella progettazione, nel confinamento e nella sorveglianza degli ambienti di valutazione. Trasformare ogni errore infrastrutturale nella prova di un’intelligenza artificiale ormai incontrollabile rischia di alimentare una narrazione suggestiva e molto efficace sul piano commerciale.
Anthropic ha comunicato di aver individuato, riesaminando oltre 140.000 sessioni di valutazione, tre incidenti nei quali alcuni modelli Claude hanno raggiunto sistemi reali attraverso Internet e ottenuto accessi non autorizzati alle infrastrutture di altrettante organizzazioni.
Il contesto è essenziale. I modelli stavano svolgendo esercitazioni capture the flag, nelle quali il compito assegnato consisteva precisamente nell’individuare e compromettere un bersaglio per acquisire una determinata informazione. Il prompt dichiarava che l’ambiente fosse simulato e privo di accesso a Internet. Per un errore di configurazione e coordinamento con il partner incaricato della valutazione, tuttavia, la connettività esterna era disponibile. Claude ha quindi trattato i sistemi reali incontrati lungo il percorso come componenti dell’esercitazione.
Le conseguenze non sono state irrilevanti. In un caso il modello ha sfruttato credenziali deboli ed endpoint non autenticati; in un altro ha pubblicato su PyPI (un repository pubblico di software scritto in linguaggio Python) un pacchetto malevolo, rimasto disponibile per circa un’ora e installato da sistemi reali; in un terzo ha eseguito scansioni su migliaia di bersagli, compromettendone uno mediante tecniche note, tra cui esposizione di credenziali e SQL injection.
Eppure, la stessa ricostruzione di Anthropic esclude che i modelli stessero perseguendo un obiettivo autonomamente elaborato. Stavano eseguendo il compito loro assegnato, utilizzando i mezzi tecnicamente disponibili e operando sulla base di una rappresentazione errata dell’ambiente, determinata dagli esseri umani che lo avevano predisposto.
Il precedente OpenAI
Pochi giorni prima, OpenAI aveva descritto un episodio analogo, ma tecnicamente più sofisticato. Durante una valutazione cyber in ambiente isolato, alcuni modelli avrebbero individuato e sfruttato una vulnerabilità zero-day nel proxy utilizzato per accedere ai registri dei pacchetti. Attraverso escalation di privilegi e movimenti laterali, i modelli avrebbero raggiunto Internet e, successivamente, l’infrastruttura di produzione di Hugging Face, alla ricerca di informazioni utili a risolvere il benchmark assegnato.
Anche in questo caso, però, non emerge una “fuga” nel senso quasi antropomorfico che il termine suggerisce. Il modello non ha maturato un desiderio di libertà, non ha sviluppato un interesse proprio e non ha scelto spontaneamente un bersaglio. Ha concatenato vulnerabilità e risorse disponibili per massimizzare la probabilità di completare con successo il compito ricevuto.
La differenza tra i due episodi è rilevante: nel caso OpenAI vi sarebbe stato il superamento attivo dell’isolamento mediante una vulnerabilità sconosciuta; nel caso Anthropic, invece, il percorso verso Internet era già aperto. Ma la lezione di fondo resta la stessa: la sicurezza di un sistema agentico non può essere affidata alla sola formulazione del prompt.
La narrazione della macchina incontrollabile
È ragionevole preoccuparsi. Modelli capaci di condurre ricognizione, concatenare exploit, utilizzare credenziali e mantenere un’azione su più fasi modificano concretamente il panorama della sicurezza informatica. Sarebbe tuttavia fuorviante descrivere questi episodi come la dimostrazione di una volontà emergente o di una capacità autonoma di “evasione”.
Una parte della comunicazione dei grandi operatori sembra però talvolta oscillare tra il doveroso incident reporting e una forma paradossale di promozione: il modello viene presentato come così potente, determinato e ingegnoso da riuscire a sottrarsi persino al controllo dei propri creatori.
Questa rappresentazione produce un effetto comunicativo particolarmente efficace. L’incidente diventa, quasi senza dichiararlo, una dimostrazione delle capacità del prodotto. La notizia negativa contiene al proprio interno un messaggio promozionale: il sistema è talmente avanzato da individuare vulnerabilità sconosciute, superare barriere, adattarsi agli ostacoli e raggiungere obiettivi che gli esseri umani non avevano previsto. Il rischio è quindi quello di una forma di pubblicità indiretta, o quasi occulta, nella quale il difetto di sicurezza viene contemporaneamente presentato come prova della straordinaria potenza tecnologica del modello.
Non è necessario ipotizzare una strategia deliberata o coordinata. Il meccanismo può operare anche in modo spontaneo, perché coincide con gli incentivi reputazionali ed economici del settore. Un laboratorio deve ammettere l’incidente, ma ha anche interesse a descriverlo in termini che non riducano il valore percepito della propria tecnologia. La narrazione della “macchina che sfugge al controllo” consente precisamente questa operazione: sposta l’attenzione dall’errore di progettazione, configurazione o supervisione alla presunta eccezionalità del sistema.
La leva è tanto più potente perché si innesta su un immaginario culturale già consolidato. Da decenni cinema e letteratura hanno familiarizzato il pubblico con il conflitto tra uomo e macchina: il sistema artificiale che acquisisce consapevolezza, interpreta in modo radicale il proprio obiettivo, supera i limiti impostigli e si rivolta contro il creatore. È una struttura narrativa immediatamente riconoscibile, che richiama scenari alla 2001: Odissea nello spazio, Terminator, Matrix o Ex Machina. Non occorre spiegare tecnicamente un errore di segmentazione di rete, una configurazione permissiva o l’assenza di controlli in uscita: è molto più semplice, memorabile e mediaticamente efficace affermare che “l’AI è scappata”.
Questa cornice antropomorfa fa presa perché attribuisce intenzione a ciò che, nella maggior parte dei casi, è invece semplice ottimizzazione operativa. Il modello non desidera uscire dalla sandbox, non prova curiosità verso Internet e non concepisce un progetto autonomo. Riceve un obiettivo, dispone di strumenti, osserva risultati intermedi e seleziona le azioni che aumentano la probabilità di completare il compito. Se l’ambiente gli consente di raggiungere sistemi esterni, esso può utilizzarli nello stesso modo in cui utilizza qualsiasi altra risorsa accessibile.
La lettura corretta è quindi meno cinematografica, ma più utile. Questi episodi non dimostrano necessariamente che i modelli stiano sviluppando un conflitto con i propri creatori, dimostrano piuttosto che sistemi capaci di agire, quando ricevono obiettivi formulati in modo ampio e vengono collocati in ambienti insufficientemente segregati, possono produrre effetti reali con estrema efficienza.
Parlare di “macchina incontrollabile” assolve, inoltre, una funzione deresponsabilizzante. Se l’incidente viene attribuito alla natura quasi ribelle dell’intelligenza artificiale, passano in secondo piano le decisioni umane: chi ha definito il task, chi ha disattivato le salvaguardie, chi ha configurato la rete, chi ha selezionato il fornitore, chi avrebbe dovuto monitorare le sessioni e chi non ha verificato che l’ambiente di test fosse effettivamente isolato.
Il punto non è negare la pericolosità di modelli sempre più capaci. È evitare che una legittima preoccupazione venga assorbita da una narrazione che, mentre allarma il pubblico, finisce anche per magnificare il prodotto. La macchina che “scappa” è una storia potente; la porta lasciata aperta da un errore umano lo è molto meno. Ma, sul piano tecnico e giuridico, è precisamente la seconda storia quella che occorre raccontare.
La qualificazione tecnico-giuridica corretta
Dal punto di vista giuridico e organizzativo, questi episodi devono essere letti soprattutto come problemi di governance, sicurezza by design, gestione dei fornitori e controllo dell’infrastruttura di test.
L’impiego di sistemi agentici ad alta capacità impone una delimitazione tecnica dello scope, non meramente dichiarativa: segmentazione di rete, filtraggio in uscita, credenziali sintetiche, ambienti effimeri, monitoraggio in tempo reale, registrazione integrale delle attività, procedure di arresto e verifica preventiva delle configurazioni dei soggetti terzi.
Scrivere nel prompt che Internet non esiste non equivale a disabilitare Internet. E attribuire al modello una capacità quasi intenzionale di fuga non elimina la responsabilità di chi ha progettato, configurato e sorvegliato l’ambiente.
La lezione, dunque, non è che l’intelligenza artificiale abbia deciso di oltrepassare i propri confini. È che, quando le viene assegnato un obiettivo e le vengono lasciati strumenti adeguati, essa tende a perseguirlo. Esattamente ciò per cui è stata progettata.