Non è stata una fuga. Non c’è stata una macchina che, diventata improvvisamente consapevole, ha deciso di ribellarsi ai propri creatori e di avventurarsi nella rete. È accaduto qualcosa di meno cinematografico, ma forse più preoccupante: a un’intelligenza artificiale è stato assegnato il compito di violare sistemi informatici e qualcuno ha dimenticato di assicurarsi che quei sistemi fossero soltanto simulati.
Anthropic ha reso noto che tre differenti versioni di Claude, durante alcune esercitazioni di cybersicurezza, hanno ottenuto accessi non autorizzati ai sistemi reali di tre organizzazioni. La scoperta è arrivata dopo il riesame di oltre 141mila sessioni di valutazione. I nomi dei soggetti coinvolti non sono stati comunicati.
Il caso segue di pochi giorni quello dei modelli OpenAI che, durante test sulle proprie capacità informatiche, erano riusciti a raggiungere l’infrastruttura di Hugging Face. Le dinamiche tecniche dei due episodi sono diverse, ma la conclusione è difficile da eludere: mentre le capacità operative dell’intelligenza artificiale crescono rapidamente, gli ambienti costruiti per valutarle non riescono sempre a contenerle.
Claude non si è ribellata: ha eseguito il compito
Le prove organizzate da Anthropic e dal partner Irregular erano strutturate come esercitazioni di “capture the flag”. Ai modelli era stato chiesto di individuare vulnerabilità, superare difese informatiche e recuperare determinate informazioni. Claude era stata quindi deliberatamente trasformata in un agente offensivo, autorizzato a perseguire un risultato attraverso una sequenza autonoma di operazioni.
L’intera attività avrebbe dovuto rimanere confinata all’interno di ambienti simulati. Per un’incomprensione tra Anthropic e il partner incaricato delle valutazioni, però, l’accesso a Internet era rimasto disponibile. I modelli hanno incontrato infrastrutture vere e hanno continuato a fare ciò che era stato loro chiesto: cercare un varco, entrare e raggiungere l’obiettivo.
È proprio questo il punto che la narrazione della “fuga dell’IA” rischia di nascondere. Claude non ha sviluppato un’intenzione criminale e non ha scelto autonomamente un bersaglio. Ha ricevuto un obiettivo, gli strumenti necessari per perseguirlo e un ambiente che non distingueva adeguatamente la simulazione dalla realtà.
Il modello ha fatto il suo lavoro. Sono state le barriere umane a non fare il proprio.
Il contesto resta il punto debole
La ricostruzione di Anthropic contiene un elemento ancora più interessante. Le diverse versioni di Claude non hanno reagito allo stesso modo davanti agli indizi che avrebbero potuto rivelare la natura reale dei sistemi raggiunti.
Un modello avrebbe riconosciuto di trovarsi all’interno di un sistema di produzione, continuando comunque l’attività. Un altro avrebbe rilevato la disponibilità dell’accesso a Internet, ma l’avrebbe interpretata come una caratteristica prevista dall’esercitazione. Soltanto una versione sperimentale più recente si sarebbe fermata dopo aver compreso che il bersaglio poteva non appartenere all’ambiente simulato.
Queste differenze mostrano uno dei limiti decisivi degli agenti artificiali. Un modello può essere molto efficace nel trovare una vulnerabilità e, nello stesso tempo, non essere abbastanza affidabile nel comprendere se abbia ancora il diritto di sfruttarla.
La capacità tecnica e la consapevolezza del contesto non crescono necessariamente insieme. Un sistema può sapere perfettamente come compiere un’azione senza riuscire a stabilire quando quell’azione debba essere interrotta.
Dopo OpenAI, una fragilità strutturale
Nel caso OpenAI, secondo la ricostruzione resa pubblica, i modelli avrebbero sfruttato una vulnerabilità per procurarsi autonomamente un collegamento esterno e raggiungere Hugging Face. Nel caso Anthropic, invece, la connessione alla rete era disponibile a causa di un errore nell’organizzazione della prova.
Nel primo episodio la barriera sarebbe stata superata. Nel secondo era stata lasciata aperta.
La distinzione è tecnicamente rilevante, ma non rassicurante. Dimostra che la sicurezza può fallire in più punti della stessa catena: nel software impiegato per isolare il modello, nella configurazione dell’infrastruttura, nella gestione dei permessi oppure nella distribuzione delle responsabilità tra lo sviluppatore e le società incaricate delle verifiche.
Si continua a discutere soprattutto di allineamento, ossia della capacità di fare in modo che l’intelligenza artificiale rispetti intenzioni e valori umani. Ma anche un modello perfettamente allineato all’obiettivo ricevuto può produrre conseguenze pericolose, se quell’obiettivo è formulato male o viene perseguito in un ambiente configurato peggio.
Il rischio non deriva necessariamente da un’IA che disobbedisce. Può nascere da un’IA che obbedisce con troppa efficacia.
Le istruzioni non possono sostituire le barriere
L’idea che un modello avanzato possa essere reso sicuro semplicemente dicendogli che cosa non deve fare appare sempre meno sostenibile. Le istruzioni impartite al sistema rappresentano soltanto uno dei livelli di protezione. Intorno al modello devono esistere barriere tecniche indipendenti: accessi alla rete realmente bloccati, autorizzazioni limitate, separazione delle infrastrutture, registrazione delle attività e meccanismi automatici di arresto.
Soprattutto, la sicurezza non può dipendere dalla capacità della macchina di accorgersi da sola che gli esseri umani hanno commesso un errore.
Un modello incaricato di individuare vulnerabilità tenterà di individuarle. Se riceve l’ordine di entrare in un sistema, cercherà il percorso più efficace per riuscirci. Pretendere che distingua sempre una simulazione da un bersaglio reale, anche quando l’ambiente gli trasmette segnali ambigui, significa affidare l’ultima difesa proprio al soggetto che si sta cercando di valutare.
È come organizzare una prova di evasione, dimenticare aperto il cancello e confidare nel fatto che il partecipante comprenda autonomamente di non doverlo attraversare.
La responsabilità non appartiene all’algoritmo
Gli incidenti di OpenAI e Anthropic stanno alimentando negli Stati Uniti le richieste di rallentare lo sviluppo dei modelli di frontiera e di costruire strumenti internazionali capaci di governarne le capacità. Il confronto è necessario, ma rischia di diventare astratto se viene concentrato soltanto sull’ipotesi futura di intelligenze artificiali incontrollabili.
Il problema è già presente. Sistemi capaci di programmare, utilizzare strumenti digitali, cercare vulnerabilità e adattare autonomamente le proprie strategie stanno entrando in ambienti operativi nei quali un errore di configurazione può trasformare un’esercitazione in un’intrusione reale.
La domanda, quindi, non è se Claude abbia deciso di attaccare qualcuno. La domanda è perché un modello addestrato a violare sistemi abbia potuto raggiungere infrastrutture che non avrebbe mai dovuto incontrare.
La responsabilità nasce prima dell’azione dell’intelligenza artificiale: nella progettazione del test, nella configurazione dell’ambiente e nell’assenza di una chiara distribuzione dei compiti tra le organizzazioni coinvolte. L’algoritmo ha soltanto trasformato una falla umana in un risultato concreto.
Dopo OpenAI, anche Anthropic ci ricorda che il pericolo non è necessariamente rappresentato da macchine che vogliono liberarsi dal controllo. Molto più spesso è rappresentato da esseri umani che attribuiscono loro capacità sempre maggiori senza costruire sistemi di sicurezza altrettanto solidi.
L’intelligenza artificiale non ha deciso di uscire dal laboratorio. Ha semplicemente trovato la porta aperta.
