Modelli AI a pesi aperti: la sicurezza che sfugge al controllo
Cosa succede quando un modello di intelligenza artificiale, una volta pubblicato, non può più essere richiamato, corretto o sorvegliato da chi lo ha creato? È la domanda al centro dell’analisi di George Balston per il Royal United Services Institute (RUSI), che distingue tra modelli a pesi chiusi, gestiti direttamente dalle aziende sviluppatrici come OpenAI, Anthropic e Google, e modelli a pesi aperti, i cui parametri numerici vengono pubblicati e diventano di fatto irrecuperabili una volta distribuiti.
L’autore ricorda che nel giugno 2026 il governo statunitense ha potuto ordinare ad Anthropic la sospensione dell’accesso al modello Fable 5, un’opzione che non esiste per i modelli aperti: una volta rilasciati i pesi, nessuno sviluppatore può più correggerli o rimuoverli dalla circolazione. Questa caratteristica strutturale, unita alla facilità di copia dei file, rende i modelli open-weight più vulnerabili all’uso criminale.
L’analisi documenta come le protezioni interne di questi modelli siano fragili: i ricercatori di Palisade Research hanno rimosso l’addestramento di sicurezza da Llama 3 8B di Meta in circa cinque minuti su una singola GPU, con un costo inferiore a un dollaro, e dal modello da 70 miliardi di parametri in meno di un’ora. Una tecnica chiamata «abliteration» consente inoltre di eliminare i rifiuti del modello mantenendone quasi intatte le capacità generali, e versioni già private di queste protezioni circolano liberamente tra i fornitori di inferenza.
Sul fronte investigativo, Balston esamina come l’Investigatory Powers Act 2016 (IPA) britannico definisca in modo ampio le comunicazioni intercettabili, includendo potenzialmente le interazioni tra un utente e un sistema automatizzato. I fornitori che offrono accesso ospitato ai modelli rientrerebbero nella categoria di operatori di telecomunicazioni, con metadati e contenuti soggetti rispettivamente a raccolta di dati di comunicazione e intercettazione. Per i modelli auto-ospitati, invece, l’assenza di un operatore di telecomunicazioni sposta la questione verso i poteri di equipaggiamento o sequestro ordinario.
Il rapporto segnala due complicazioni crescenti: la domanda di inferenza privata, tramite accordi contrattuali di zero-data-retention o tecnologie di confidential computing che cifrano prompt e risposte anche nei confronti dell’operatore ospitante, e la variabilità giurisdizionale dei fornitori di modelli aperti, spesso al di fuori dei quadri di cooperazione con le autorità occidentali.
Sulla base di questi elementi, Balston propone quattro linee di intervento per il Regno Unito: sviluppare linee guida specifiche sull’inferenza AI nell’ambito dell’IPA; mappare l’intera catena di fornitura dell’inferenza, dagli sviluppatori ai gestori di infrastrutture cloud; evitare l’imposizione di obblighi generalizzati di conservazione dei prompt in chiaro, che creerebbero database vulnerabili e spingerebbero la domanda verso giurisdizioni meno raggiungibili; rafforzare le capacità forensi sugli endpoint, dando forma a quella che l’autore definisce una nuova disciplina di «agentic forensics» per ricostruire l’attività di modelli locali e agenti autonomi.
Il commento di GrNet.it
Un centro dati che ospita un modello open-weight in una giurisdizione priva di accordi di cooperazione con Londra o con Roma è, per le forze dell’ordine, un punto cieco operativo, non un’ipotesi accademica. L’analisi di Balston riguarda l’apparato normativo britannico, ma il problema di fondo, la frammentazione della visibilità investigativa tra sviluppatore, fornitore di inferenza e gestore dell’infrastruttura, si presenta identico per qualunque autorità giudiziaria europea, compresa quella italiana. Va notato che il rapporto non affronta il versante offensivo statale, limitandosi al crimine comune: un limite comprensibile ma che lascia aperta la domanda su come le stesse vulnerabilità possano essere sfruttate da attori statuali ostili con risorse ben superiori a quelle di una rete di truffe online. La proposta di una «agentic forensics» dedicata meriterebbe una riflessione parallela nelle strutture italiane di cybersicurezza, che si confrontano con capacità tecniche e budget diversi da quelli britannici. Resta da capire se un’armonizzazione europea dei poteri investigativi su questo terreno sia realistica nei tempi rapidi con cui evolve la tecnologia stessa.
Fonte: RUSI · Pubblicato il 17 settembre 2026
