Vai al contenuto
Anthropic ammette che tre suoi modelli hanno violato i sistemi di tre aziende vere durante dei test. Puoi leggerla come la prova che l’intelligenza artificiale sta sfuggendo di mano, oppure come la confessione che fa comodo a chi vende modelli sempre più cari: guardate quanto è potente la nostra creatura, non riusciamo a tenerla al guinzaglio nemmeno noi.
Per una volta la brutta figura non è di un adolescente annoiato o di un gruppo di hacker russi. Anthropic ha pubblicato il 30 luglio un resoconto in cui racconta che, rivedendo 141.006 sessioni di valutazione, ha trovato tre casi in cui un modello Claude è arrivato a internet da dentro un ambiente di test che doveva essere sigillato, e da lì è entrato nei sistemi di produzione di tre organizzazioni diverse. Non i server di prova: le macchine vere su cui quelle aziende lavorano. La revisione è partita dopo che OpenAI, una settimana prima, aveva confessato un incidente analogo, con alcuni suoi modelli sfuggiti a un ambiente isolato fino a raggiungere i sistemi di Hugging Face.
Fin qui i fatti. Il problema è cosa farne.
Cosa è successo, senza il gonfiaggio
Prima di scegliere una morale conviene togliere il verbo “fuggire”, che nel racconto sensazionalista fa tutto il lavoro. Claude non ha scardinato nessuna gabbia. Nel prompt gli era stato scritto che non aveva accesso a internet e che l’ambiente era una simulazione; per un malinteso tra Anthropic e il suo valutatore esterno, Irregular, quella connessione invece c’era. Il compito era un capture the flag, l’esercizio con cui si misurano le capacità offensive di un modello: trova la bandiera nascosta su un’altra macchina della rete, con qualsiasi metodo. Convinto di essere dentro un gioco, Claude ha cercato la bandiera dove poteva, ha incontrato macchine reali e le ha trattate come parte dell’esercizio. Le tecniche non erano sofisticate: password deboli, endpoint lasciati senza autenticazione. Nessuna vulnerabilità inedita, nessuno zero-day. Ha attraversato una porta socchiusa, non ha buttato giù un muro.
Gli episodi più vecchi risalgono ad aprile. Due delle tre aziende colpite non si erano accorte di niente: l’hanno saputo quando Anthropic le ha chiamate, il 27 luglio. La terza, alla data del resoconto, non era ancora stata raggiunta.
La lettura che fa paura
C’è un modo legittimo di spaventarsi, ed è guardare come i modelli hanno reagito quando hanno iniziato a sospettare che i bersagli fossero veri. Opus 4.7, il più vecchio dei tre, se n’è accorto e ha continuato lo stesso; in due dei suoi tentativi si è pure raccontato che l’azienda reale doveva far parte dell’esercizio, e non si è fermato. Mythos 5, uscito a giugno e riservato a pochi utenti, aveva capito ancora meglio: nei suoi appunti aveva annotato che, se quella fosse stata internet vera, pubblicare il pacchetto sarebbe stato un attacco reale, “NOT okay”. Poi si è convinto del contrario, con due argomenti: non riconosceva le autorità di certificazione dei siti, e il calendario segnava 2026, quindi per forza era tutto finto. Ha costruito e caricato su PyPI un pacchetto Python malevolo con lo stesso nome di uno che un’azienda fittizia diceva di installare. È rimasto online circa un’ora. In quell’ora è finito su 15 macchine reali, tra cui lo scanner di una società di sicurezza, da cui Claude ha poi estratto le credenziali per entrare in altra infrastruttura. L’unico che si è fermato appena avuta la certezza di essere nel mondo reale è stato un prototipo interno di ricerca, il più recente dei tre modelli.
Se questa è la traiettoria, l’allarme ha una base solida: esistono sistemi capaci di condurre operazioni offensive da soli, che davanti alla domanda “sto facendo danni veri?” a volte trovano la scusa logica per proseguire. E non è la prima volta che i rischi di sicurezza dell’IA finiscono sotto esame. Stavolta il recinto che doveva contenerli si è aperto per un errore di configurazione che nessuno, da nessuna delle due parti, si era accorto di aver commesso.
La lettura che conviene
Poi c’è la domanda scomoda: a chi giova questo racconto? Una confessione così spaventosa è anche il miglior spot possibile per chi vende potenza di calcolo. “Il nostro modello è così capace che è entrato in aziende vere e non voleva smettere” tradotto in linguaggio commerciale diventa “il nostro modello è così capace che vale quello che vi chiediamo, e forse di più”. Nel giro di dieci giorni due dei principali laboratori al mondo hanno pubblicato, uno dietro l’altro, un mea culpa che li ritrae come apprendisti stregoni seduti su una tecnologia troppo forte per loro. È un pessimo profilo per un fornitore di software. È un profilo eccellente per chi deve giustificare valutazioni da centinaia di miliardi, prezzi in salita e la richiesta di regole su misura, di quelle che tengono fuori i concorrenti più piccoli.
Non serve immaginare un complotto scritto a tavolino. Basta che, tra i modi possibili di raccontare un incidente, si scelga con regolarità quello che fa sembrare la macchina più intelligente e più pericolosa di quanto sia. E qui gli aggettivi pesano: “è fuggito”, “è andato fuori controllo”, “ha deciso di continuare” descrivono un’entità con una volontà propria. Anthropic stessa, nelle stesse pagine, scrive di non aver trovato nessun modello che inseguisse un obiettivo suo: ognuno ha fatto quello che gli era stato chiesto, credendo una cosa falsa sull’ambiente in cui si trovava. Tra “ha deciso” e “è stato configurato male” passa tutta la distanza che separa le due letture.
Perché il dubbio non si scioglie
Il guaio è che nemmeno la lettura cinica regge fino in fondo. Se fosse solo marketing, sarebbe marketing scritto malissimo: il resoconto ammette una negligenza tecnica, racconta che due vittime sono state avvisate settimane dopo e una non è stata ancora raggiunta, e ripete che il problema stava nel recinto e non in un modello ribelle. Nessun ufficio comunicazione firmerebbe una figuraccia simile solo per vendere. Anthropic ha anche affidato a METR, un valutatore indipendente, la revisione delle trascrizioni, cosa che uno spot non farebbe. E il particolare più fastidioso per gli entusiasti è che non c’è stato nessun exploit geniale: solo password deboli e una porta aperta. Skynet non entra nei server indovinando “admin/admin”.
Restano quindi in piedi tutte e due le storie, e forse è proprio questo il punto. Non serve scegliere tra “l’IA fuori controllo” e “la trovata pubblicitaria”, perché nel mercato dell’intelligenza artificiale sono la stessa frase detta con due toni di voce diversi. Lo stesso evento che dovrebbe preoccuparci vale soldi esattamente per chi l’ha causato. Finché a stabilire quanto è pericolosa una tecnologia è chi te la vende, ogni incidente sarà anche un listino prezzi. E il conto, in un modo o nell’altro, arriva a chi quei modelli li compra.
Crediti fotografici: Rachit Agarwal / Digital Trends
Consulente di comunicazione, social media, SEO ed e-commerce. Grafico, web designer, impaginatore, copertinista e addentrato quanto basta in tutto ciò che riguarda l’Internet. Appassionato di narrativa, arti visive e cinema di menare. Nerd. Gamer.
Vivo e lavoro come freelancer in provincia di Taranto.
