Cybersicurezza e IA: le potenze medie tra allineamento e coordinamento
Secondo un’analisi di Chatham House pubblicata il 29 maggio 2026, il rilascio controllato di modelli di intelligenza artificiale con capacità offensive avanzate sta ridisegnando il panorama della sicurezza informatica globale, lasciando la maggior parte dei governi privi degli strumenti necessari per prepararsi a una crisi.
Il punto di partenza è il modello Claude Mythos Preview di Anthropic, distribuito in forma ristretta attraverso il Project Glasswing: dodici partner selezionati — principalmente aziende tecnologiche e banche statunitensi — e oltre quaranta organizzazioni non nominate possono accedere al sistema per proteggere le proprie infrastrutture critiche. Mythos è ritenuto troppo pericoloso per una diffusione pubblica perché, stando a quanto dichiarato da Anthropic, sarebbe in grado di individuare e sfruttare vulnerabilità «zero-day» in tutti i principali sistemi operativi e browser. L’AI Security Institute britannico ha ricevuto accesso al modello e ha pubblicato ad aprile una valutazione delle sue prestazioni in attacchi simulati. L’Unione Europea ha riferito che Anthropic ha offerto l’accesso dopo trattative, mentre OpenAI ha rilasciato in forma analoga il proprio modello GPT-5.5-Cyber, concedendo l’accesso alla Commissione europea e a difensori informatici verificati.
Il resto del mondo rimane escluso. Questo divide genera preoccupazioni concrete: la maggior parte dei governi, delle banche centrali e delle organizzazioni potrebbe trovarsi a dipendere strutturalmente da aziende statunitensi per la propria difesa informatica, senza disporre dei dati o degli strumenti per valutare autonomamente i rischi.
Il rapporto richiama due precedenti storici per inquadrare la posta in gioco. Nel 2017, il codice malevolo WannaCry — diffusosi accidentalmente su oltre 200.000 sistemi — paralizzò ospedali in tutta l’Inghilterra, fino a quando un giovane ricercatore individuò un meccanismo di blocco. Poche settimane dopo, un attacco attribuito a un gruppo criminale legato alla Russia provocò quello che è stato definito «il cyberattacco più devastante della storia», mettendo in ginocchio aziende e governi. Quelle crisi insegnano che autorità tecnica, canali informativi affidabili e reti di contatto tra Stati e tra Stati e aziende sono condizioni necessarie per una risposta efficace.
Di fronte al nuovo salto tecnologico, le potenze medie si trovano davanti a due opzioni. La prima è l’allineamento: offrire incentivi — dati pubblici, risorse energetiche, trattamenti preferenziali — a un’azienda statunitense o cinese in cambio di accesso alle capacità più avanzate. Questa strada ha una sua logica, ma non garantisce protezione automatica né accesso ai modelli più recenti in caso di crisi. La seconda opzione è il coordinamento multilaterale.
Esiste già una rete istituzionale informale per la condivisione di informazioni sui rischi dell’IA, che include l’UE, il Regno Unito, il Kenya, il Giappone e altri. Non è progettata per l’azione politica, ma potrebbe essere rafforzata per la risposta internazionale alle crisi: condivisione delle informazioni sulle minacce, squadre di risposta rapida transfrontaliere, diffusione delle migliori pratiche tra agenzie di intelligence e sicurezza informatica. Gli autori notano che questa finestra di opportunità — aperta dalla combinazione di consapevolezza politica, minaccia visibile e aziende disponibili alla collaborazione — è rara e non dovrebbe essere sprecata.
Sul fronte statunitense, il presidente Donald Trump ha firmato un ordine esecutivo sull’IA e la difesa informatica che chiede agli sviluppatori di sottoporre volontariamente i propri modelli a test governativi per trenta giorni prima del rilascio. Una versione precedente dell’ordine, che prevedeva un periodo di test più lungo, sarebbe stata modificata a seguito di pressioni da parte di alcune aziende tecnologiche.
La distinzione tra «allineamento» e «coordinamento» proposta da Chatham House è concettualmente netta, ma nella pratica le due opzioni non si escludono: molti Paesi europei, Italia compresa, si trovano già in una posizione ibrida, con infrastrutture digitali dipendenti da fornitori statunitensi e al tempo stesso impegnati in forum multilaterali di governance dell’IA. Un osservatore con esperienza operativa noterebbe che la rete informale citata nell’analisi — EU, UK, Kenya, Giappone e altri — assomiglia strutturalmente ai meccanismi di condivisione delle informazioni già sperimentati in ambito NATO per le minacce ibride: utili in fase di prevenzione, ma storicamente lenti nell’attivazione quando la crisi è già in corso. Il caso WannaCry del 2017 è istruttivo proprio perché la risposta fu individuale e disorganizzata, non coordinata: la «kill switch» fu trovata da un singolo ricercatore privato, non da un’agenzia governativa. Resta aperta la questione di quanto un Paese come l’Italia, che non figura tra i partner nominati di Project Glasswing, possa realisticamente influenzare le condizioni di accesso a modelli come Mythos, o se la leva negoziale risieda più nella dimensione europea aggregata che in quella nazionale.
Fonte: Chatham House · Pubblicato il 29 maggio 2026
