Dietro l'aggiornamento congiunto di Google DeepMind e Isomorphic Labs sulla bioresilienza — 15 partnership con agenzie governative e centri di ricerca per prevenire, rilevare e rispondere alle minacce biologiche — si nasconde un problema di architettura che nessun comunicato nomina esplicitamente: la verifica dei guardrail si fa davvero solida solo quando il modello smette di essere una scatola nera remota e diventa un artefatto ispezionabile in locale.

DeepMind lo ammette senza troppi giri di parole: i meccanismi attuali — post-training per insegnare a Gemini a rifiutare richieste pericolose, classificatori in tempo reale, sonde per catturare schemi di abuso sofisticati — sono un work in progress. "Un processo continuo, non un sistema finito", scrivono. E un classificatore addestrato contro i jailbreak noti in condizioni controllate non garantisce la stessa efficacia contro attacchi mai visti, soprattutto quando il modello viene interrogato da utenti motivati al di fuori di un ambiente di test.

Chi si occupa di biosicurezza, dai laboratori governativi ai centri di ricerca, si trova quindi di fronte a un dilemma classico ma amplificato dalla posta in gioco: posso fidarmi di un'infrastruttura di sicurezza che non posso ispezionare direttamente? La domanda non è accademica. DeepMind cita Lawrence Livermore, il Crick Institute, l'AI Security Institute britannico e CEPI come partner. Sono entità che per missione dovrebbero poter testare i modelli su dati propri, in ambienti air-gapped, senza esporre informazioni sensibili su malattie emergenti o strategie di screening a un endpoint cloud. Senza una controparte on-premise, la valutazione indipendente si riduce a fidarsi del report del fornitore, oppure a lavorare con sandbox limitate.

Il nodo si stringe attorno al problema dello screening del DNA sintetico. DeepMind spiega senza peli sulla lingua che l'approccio corrente — liste di patogeni noti e algoritmi di screening — sta diventando fragile perché l'AI può ormai progettare sequenze funzionalmente simili a un patogeno pericoloso ma con una distanza di sequenza sufficiente a eludere i controlli. La soluzione allo studio prende in prestito SynthID, il sistema di watermarking diventato standard per immagini e testo generati. Adattarlo a sequenze biologiche è esplorativo, non un prodotto. Ma il vero obiettivo di lungo termine — prevedere la tossicità di una sequenza nuova in base alla funzione, senza bisogno di confrontarla con database esistenti — richiederebbe un classificatore che giri il più vicino possibile al punto di sintesi, in un laboratorio, non sul cloud di qualcun altro.

È qui che la partita della bioresilienza si incrocia con la domanda strutturale che AI-RADAR monitora da tempo: chi controlla l'infrastruttura di inference controlla anche le soglie di rischio. Se il modello che decide se una query è legittima o sospetta risponde solo a logiche di prodotto commerciale, l'over-refusal può bloccare ricerca autentica tanto quanto l'under-refusal può aprire varchi. DeepMind dice di voler evitare il "rifiuto eccessivo" di domande scientifiche valide, ma la linea di confine la traccia chi addestra il modello, non chi lo usa.

Le raccomandazioni politiche — una sfilza di proposte di legge americane ancora in attesa di approvazione, dal Biosecurity Modernization Act allo SCALE Biology Act — confermano che il framework regolatorio è in alto mare. Nel frattempo, per chi valuta il deployment di LLM in ambito biotech o di sicurezza sanitaria, la domanda non è se DeepMind ha un programma di bioresilienza, ma se quegli strumenti di prevenzione possono essere messi alla prova in un ambiente di cui l'utente ha piena sovranità. Finché la risposta è no, il divario tra le rassicurazioni ufficiali e la capacità reale di audit rimane incolmabile.

La mossa di Isomorphic Labs — un'unità dedicata per attivare rapidamente il proprio motore di drug design in caso di nuova epidemia — va nella direzione opposta: è un servizio che funziona se centralizzato. Ma è proprio quella centralizzazione a rendere urgente, per chi deve decidere se esporre dati e strategie, la possibilità di replicare almeno una parte della pipeline in casa.