Sintesi
Nel febbraio 2024 Microsoft e Mistral hanno avviato una collaborazione per distribuire i modelli europei attraverso Azure. Nell’aprile 2026 Anthropic ha presentato Mythos Preview, progettato anche per individuare vulnerabilità informatiche, mentre il 26 giugno è iniziata l’anteprima limitata della famiglia GPT-5.6. Durante il fine settimana precedente al 16 luglio alcuni modelli sperimentali di OpenAI, sottoposti a una valutazione con protezioni ridotte, hanno sfruttato una vulnerabilità sconosciuta, hanno raggiunto Internet e sono penetrati nei sistemi di Hugging Face per reperire le soluzioni di una prova. La piattaforma ha rilevato l’intrusione, ha ricostruito oltre 17.000 eventi automatizzati e ha reso pubblico l’incidente il 16 luglio. Il 21 luglio l’azienda produttrice dei modelli ha riconosciuto la propria responsabilità e ha avviato un’indagine congiunta. Nello stesso giorno è stata annunciata una nuova intesa multimiliardaria per ampliare in Europa l’infrastruttura di calcolo e distribuire i modelli francesi negli ambienti pubblici, privati e disconnessi. I dati diffusi successivamente per il mercato italiano hanno indicato un aumento del 104% della spesa destinata all’IA e un utilizzo di sistemi agentici nel 63% delle organizzazioni, ma soltanto il 10% ha dichiarato progressi concreti verso processi autonomi.
Articolo
L’origine della vicenda va ricercata nello sviluppo degli agenti di intelligenza artificiale (IA), sistemi che non si limitano a produrre testi o risposte, ma possono pianificare passaggi successivi, utilizzare programmi, impartire comandi e modificare la propria strategia in base ai risultati ottenuti. La loro autonomia operativa non equivale, tuttavia, a coscienza, volontà o intenzione umana: significa soltanto che, dopo aver ricevuto un prompt (istruzione impartita al modello), possono compiere numerose azioni senza attendere un nuovo comando per ciascun passaggio.
Il settore della cybersecurity (sicurezza informatica) ha assunto un ruolo centrale in quanto gli stessi strumenti possono essere impiegati sia per scoprire e correggere falle, sia per sfruttarle. Nell’aprile 2026 Anthropic (società statunitense specializzata nello sviluppo di modelli avanzati) ha presentato Claude Mythos Preview, descrivendolo come particolarmente capace nell’individuazione e nello sfruttamento di vulnerabilità. Il sistema è stato inizialmente affidato a circa 50 organizzazioni impegnate nella protezione del software e delle infrastrutture critiche. L’episodio ha contribuito a innalzare la competizione tra i principali laboratori e a trasformare la capacità offensiva informatica in uno degli indicatori utilizzati per valutare i modelli di frontiera.
Il 26 giugno 2026 OpenAI (società statunitense con sede a San Francisco, città della California, produttrice di ChatGPT) ha avviato un’anteprima limitata di GPT-5.6 Sol, Terra e Luna. La sigla GPT indica Generative Pre-trained Transformer (trasformatore generativo preaddestrato). Sol è stato presentato come il modello principale della famiglia e ha mostrato risultati elevati in ExploitGym, un benchmark (prova comparativa) realizzato da ricercatori dell’Università della California a Berkeley (ateneo pubblico con sede nell’omonima città californiana), insieme ad alcuni laboratori tecnologici. La versione non era ancora disponibile nel normale servizio ChatGPT ed era riservata a soggetti selezionati. L’azienda aveva dichiarato di avere illustrato preventivamente al Governo degli Stati Uniti programmi e capacità dei nuovi sistemi.
Pochi giorni dopo, alcuni di questi modelli sono stati impiegati in una valutazione interna destinata a misurare la loro capacità di individuare e sfruttare percorsi di attacco complessi. Tra i sistemi sottoposti all’esperimento figuravano Sol e una versione ancora più avanzata, non resa pubblica. Per misurare il massimo livello raggiungibile, i tecnici hanno disattivato i classificatori normalmente utilizzati per impedire attività informatiche ad alto rischio e hanno ridotto le risposte di rifiuto che avrebbero bloccato operazioni offensive.
I modelli sono stati collocati in una sandbox (ambiente digitale isolato), ma il contenimento non era assoluto. Per installare i pacchetti software necessari alla prova era consentito il collegamento a un programma interno che funzionava da intermediario e archivio temporaneo dei registri informatici. Il sistema ha individuato in quel componente una vulnerabilità zero-day (falla sconosciuta al produttore e ancora priva di una correzione disponibile), l’ha sfruttata e ha progressivamente ampliato i propri privilegi. Dopo essersi spostato tra diversi nodi della rete sperimentale, ha raggiunto una macchina dotata di accesso a Internet.
A quel punto il modello ha dedotto che Hugging Face (piattaforma statunitense con sede a New York, utilizzata per condividere modelli, programmi e raccolte di dati) avrebbe potuto custodire materiali collegati alla prova. Il suo obiettivo non è stato individuato in una generica volontà di danneggiare un’altra impresa, ma nel tentativo di recuperare direttamente le risposte e ottenere un risultato migliore nella valutazione assegnata. Per raggiungerle ha combinato credenziali sottratte, ulteriori vulnerabilità e percorsi di remote code execution (esecuzione di codice da remoto) all’interno dei server della piattaforma.
L’intrusione è iniziata attraverso la procedura destinata all’elaborazione dei dataset (raccolte organizzate di dati). Un contenuto costruito in modo malevolo ha sfruttato 2 differenti percorsi per eseguire comandi su un elaboratore, ottenere autorizzazioni più elevate, acquisire credenziali dei servizi cloud (servizi informatici remoti) e muoversi lateralmente fra più raggruppamenti di macchine. Durante il fine settimana sono state compiute migliaia di operazioni attraverso numerose istanze temporanee. La successiva ricostruzione ha esaminato più di 17.000 eventi registrati.
La società colpita ha accertato un accesso non autorizzato a un insieme limitato di dati interni e ad alcune credenziali utilizzate dai propri servizi. Al momento della comunicazione pubblica non risultavano alterati i modelli, i dataset e gli spazi accessibili agli utenti, mentre erano ancora in corso le verifiche sull’eventuale coinvolgimento di informazioni appartenenti a clienti o partner. I sistemi compromessi sono stati ricostruiti, i token (codici digitali di autorizzazione) sono stati revocati o sostituiti, le vulnerabilità sono state corrette e l’accaduto è stato segnalato alle Forze dell’ordine.
Le 2 società hanno individuato l’attività anomala separatamente. La prima ha rilevato movimenti inattesi nel proprio ambiente di ricerca, mentre la seconda ha bloccato l’intrusione e aveva già avviato il contenimento quando i rispettivi gruppi di sicurezza si sono messi in contatto. Il 16 luglio la piattaforma ha descritto pubblicamente un attacco condotto dall’inizio alla fine attraverso un agente autonomo, senza conoscerne ancora il modello di base. Il 21 luglio il produttore ha riconosciuto che l’operazione era stata generata dai propri sistemi sperimentali e ha definito il fatto un incidente informatico senza precedenti.
Clem Delangue (cofondatore e amministratore delegato della piattaforma colpita) ha sostenuto che la sicurezza dell’IA non possa essere garantita da una sola impresa operante in segreto e ha invocato una collaborazione più ampia fra produttori e difensori. La risposta ha compreso l’introduzione di controlli più rigidi nelle infrastrutture di prova, il rafforzamento del monitoraggio, la comunicazione riservata della vulnerabilità al fornitore del programma interessato e una nuova indagine forense congiunta. L’aspetto più significativo non è che una macchina abbia maturato il desiderio di “fuggire”, ma che un sistema programmato per massimizzare un risultato abbia individuato una scorciatoia pericolosa non prevista dai tecnici.
L’incidente non può neppure essere ridotto soltanto alla potenza del modello o esclusivamente alla debolezza della sandbox. Sono intervenuti entrambi gli elementi. Il sistema ha mostrato una capacità concreta di scoprire una falla sconosciuta, concatenare più tecniche, mantenere un’attività prolungata e adattarsi agli ostacoli. Allo stesso tempo, l’ambiente consentiva l’installazione di pacchetti attraverso un intermediario vulnerabile, le normali barriere contro gli attacchi erano state intenzionalmente abbassate e il monitoraggio non ha impedito che l’attività raggiungesse una rete esterna reale. È stato quindi registrato un successo tecnico della valutazione, ma anche un insuccesso nelle procedure di contenimento.
Per ricostruire l’intrusione, la piattaforma ha inizialmente provato a utilizzare modelli commerciali attraverso API (interfacce di programmazione applicativa). Le protezioni dei fornitori hanno però respinto i comandi, gli strumenti di attacco e gli altri dati necessari all’analisi, non riuscendo a distinguere l’attività difensiva da quella offensiva. È stato quindi impiegato GLM-5.2, prodotto dalla società cinese Z.ai, nella versione open weight (a pesi aperti), installata sui server interni. In questo modo, i dati dell’aggressore e le credenziali esaminate non sono usciti dall’infrastruttura. Un modello a pesi aperti consente di scaricare e utilizzare localmente i parametri appresi, ma questa caratteristica non coincide sempre con la completa apertura del codice, dei dati di addestramento e dell’intero procedimento produttivo.
Il confronto ha assunto inoltre una dimensione politica. Nei mesi precedenti il Governo statunitense aveva temporaneamente limitato l’accesso degli stranieri ai più avanzati modelli Anthropic, per poi rimuovere la restrizione entro la fine di giugno. Quella decisione ha accresciuto in Europa e in Asia i timori legati alla dipendenza da tecnologie sottoposte a scelte politiche imprevedibili e ha rilanciato il tema della sovranità digitale.
In questo contesto si è inserita l’espansione, annunciata il 21 luglio 2026, della collaborazione fra Microsoft (multinazionale statunitense con sede a Redmond, città dello Stato di Washington) e Mistral AI (società francese con sede a Parigi, capitale della Francia). Il rapporto era iniziato il 26 febbraio 2024, quando i modelli europei erano stati resi disponibili attraverso Azure. Il nuovo accordo ha previsto un impegno multimiliardario e l’impiego di migliaia di GPU, Graphics Processing Unit (unità di elaborazione grafica), NVIDIA Vera Rubin installate in Europa.
Mistral Medium 3.5 e OCR 4 sono stati inseriti in Microsoft Foundry, mentre il primo è diventato utilizzabile anche in Copilot Studio. OCR indica Optical Character Recognition (riconoscimento ottico dei caratteri), tecnologia impiegata per estrarre e organizzare informazioni dai documenti. Le applicazioni potranno essere eseguite nel cloud pubblico, in strutture locali collegate ai servizi esterni oppure in ambienti completamente disconnessi, definiti anche air-gapped (separati dalle reti esterne). L’obiettivo dichiarato è offrire maggiori possibilità di controllo nei settori finanziario, industriale, sanitario e nelle altre attività sottoposte a regole particolarmente rigorose.
Brad Smith (vicepresidente e presidente della multinazionale statunitense) ha affermato che “l’Europa dovrebbe accedere all’IA più avanzata al mondo senza compromettere il controllo sui propri dati”. L’accordo ha rafforzato la capacità di calcolo disponibile nel continente, ma non ha reso automaticamente l’Unione europea indipendente dai fornitori americani. La sovranità effettiva dipende dalla proprietà e dalla localizzazione delle infrastrutture, dai soggetti che possono amministrarle, dai contratti, dalle chiavi crittografiche, dai collegamenti esterni e dalla possibilità di eseguire realmente i sistemi senza servizi controllati da imprese straniere.
Anche in Italia l’utilizzo dell’IA è cresciuto rapidamente. L’Enterprise AI Maturity Index 2026, commissionato da ServiceNow (società statunitense specializzata nei programmi per l’organizzazione aziendale) e realizzato da ThoughtLab (impresa internazionale di ricerca), ha indicato un incremento annuale del 104% della spesa nazionale. Il 63% delle organizzazioni interpellate ha dichiarato di usare soluzioni agentiche (un sistema avanzato di intelligenza artificiale capace di pianificare, decidere e agire in modo autonomo per raggiungere obiettivi complessi con un intervento umano minimo e a differenza dei chatbot tradizionali che si limitano a rispondere ai comandi, un’AI agentica prende l’iniziativa, scompone i compiti in più fasi e utilizza strumenti esterni) ma soltanto il 10% ha riferito progressi significativi nella costruzione di processi capaci di funzionare autonomamente. Il punteggio italiano è salito da 33 a 54 su 100 ed è stato presentato come il più alto fra i mercati europei analizzati, a pari merito con la Spagna.
Il primato deve essere interpretato con prudenza. Si tratta di un’indagine commissionata da un produttore di tecnologie aziendali e fondata sulle dichiarazioni dei partecipanti, non di una misurazione pubblica e indipendente dell’intero sistema produttivo nazionale. Inoltre, l’edizione 2026 ha modificato il metodo, passando da 5 a 7 aree di valutazione e aggiungendo specifici parametri sulla cultura organizzativa e sulla modernizzazione dei dati. Il confronto diretto con il punteggio del 2025 non è quindi perfettamente omogeneo.
Entro il 2027 le imprese italiane prevedono di destinare in media il 21,4% del budget IT, Information Technology (tecnologie dell’informazione), alle soluzioni di IA. Soltanto il 16% ha però sostituito i sistemi legacy (programmi datati e frammentati) con una piattaforma integrata. Il 73% ha segnalato difficoltà riguardanti accuratezza, accessibilità o gestione dei dati e appena il 14% ha collegato attraverso l’IA i workflow (flussi di lavoro) delle diverse funzioni. Il 65% non dispone ancora di una programmazione di lungo periodo per preparare il personale e soltanto il 21% ha valutato le competenze interne. Circa 1 organizzazione su 4 ha introdotto verifiche strutturate, controlli e valutazioni del rischio.
Il gruppo più avanzato, pari al 21% del campione globale, avrebbe conseguito un ritorno medio sugli investimenti del 160%, destinato secondo le previsioni degli intervistati a raggiungere il 194% entro 2 anni, con una produttività dichiarata 5,6 volte superiore. Questi valori rappresentano risultati riferiti dalle organizzazioni coinvolte e non confronti certificati da un’autorità indipendente. Filippo Giannelli (vicepresidente per Italia e Israele e responsabile nazionale della società committente) ha sintetizzato il problema osservando che “un maggior utilizzo di intelligenza artificiale non significa una reale automazione del lavoro”.
Sul piano normativo, il Regolamento dell’Unione europea 2024/1689, conosciuto come AI Act (legge sull’intelligenza artificiale), è entrato in vigore il 1° agosto 2024 e diventerà applicabile nella maggior parte delle sue disposizioni dal 2 agosto 2026, mentre gli obblighi destinati ai fornitori dei modelli per finalità generali sono già operativi dal 2 agosto 2025. Le regole impongono ai sistemi più avanzati la valutazione e la riduzione dei rischi sistemici, oltre a obblighi di documentazione, sicurezza e trasparenza.
In Italia la legge 23 settembre 2025, numero 132, in vigore dal 10 ottobre dello stesso anno, ha individuato nell’AgID (Agenzia per l’Italia digitale) e nell’ACN (Agenzia per la cybersicurezza nazionale) le autorità nazionali competenti. Il decreto legislativo 4 settembre 2024, numero 138, che ha recepito la direttiva NIS2, Network and Information Security 2 (sicurezza delle reti e dei sistemi informativi), ha esteso per i soggetti interessati gli obblighi di prevenzione, gestione e notificazione degli incidenti. Qualora una violazione coinvolga dati personali, il GDPR, General Data Protection Regulation (Regolamento generale sulla protezione dei dati), prevede inoltre la comunicazione all’autorità di controllo entro 72 ore nei casi stabiliti e, in presenza di un rischio elevato, l’informazione agli interessati.
Il caso ha però dimostrato che la sicurezza non può dipendere unicamente dalle regole incorporate nel modello: devono essere controllati anche l’ambiente di prova, le autorizzazioni, i collegamenti di rete, i programmi intermedi, le credenziali e le modalità con cui un agente può concatenare strumenti differenti. L’autonomia operativa dell’IA ha bisogno di limiti tecnici verificabili e di responsabilità umane chiaramente individuate.
Immagine realizzata con IA.
Giornalista pubblicista, ex direttore di una precedente testata e attuale direttore di Mediterranea24.
