Un file di testo quasi invisibile può dire molto sulla postura di una piattaforma. La segnalazione, comparsa su Reddit, di una pagina security.txt sul dominio principale di Hugging Face riporta l'attenzione su un tassello spesso trascurato: il modo in cui un fornitore di infrastruttura AI accetta segnalazioni di vulnerabilità. Non si tratta di una novità tecnicica, ma di un gesto organizzativo con implicazioni concrete per chi distribuisce e consuma LLM.

Il formato security.txt, standardizzato dalla RFC 9116, serve a indicare in modo machine-readable un contatto per la sicurezza, una data di scadenza e altre preferenze. Per una piattaforma che ospita modelli, dataset e spazi di inference, avere un punto di ingresso formale per i ricercatori cambia il perimetro del problema. Un ricercatore che trova una falla in una pipeline self-hosted o in un modello distribuito attraverso l'hub non deve improvvisare un canale: può usare un riferimento pubblico e verificabile. Questo riduce l'attrito, ma non elimina i rischi.

Chi valuta deployment on-premise spesso guarda alla superficie dei repository: versioni, licenze, dimensioni dei pesi, requisiti di VRAM. La sicurezza organizzativa del fornitore upstream resta invece un fattore opaco. Il file security.txt è un segnale minimo, ma non va confuso con una garanzia di integrità dei modelli. La presenza di un contatto non dice nulla sulla firma dei pesi, sulla provenienza dei dataset o sulla possibilità di verificare un artefatto dopo il download. Eppure per un team di sicurezza aziendale è un indicatore utile: segnala che l'organizzazione ha pensato almeno alla gestione delle segnalazioni.

Il secondo effetto è competitivo. I repository di modelli sono diventati un punto di passaggio quasi obbligato per chi fa fine-tuning o scarica checkpoint da adattare in contesti self-hosted. Quando un hub adotta pratiche di security disclosure standard, alza implicitamente l'asticella per gli altri. Le piattaforme che non offrono un canale chiaro rischiano di essere percepite come meno mature nei processi di procurement, soprattutto in settori regolati. Non è un effetto immediato, ma si accumula nelle valutazioni di conformità e negli audit.

Il terzo ordine riguarda la supply chain. I modelli non sono più semplici file da scaricare: sono artefatti che entrano in pipeline di produzione, vengono quantizzati, serviti tramite framework di inference e aggiornati con una frequenza che complica la gestione delle vulnerabilità. In questo contesto, la segnalazione di una falla è solo il primo passo; servono metadati di provenienza, hash verificabili e processi di patching coordinati. Il file security.txt risolve la porta d'ingresso, non il corridoio.

Per chi valuta deployment on-premise, esistono trade-off tra controllo diretto e dipendenza da ecosistemi pubblici. AI-RADAR offre framework analitici su /llm-onpremise per orientarsi in queste decisioni. Ma la lezione di questa segnalazione è più semplice: le fondamenta della sicurezza AI si misurano anche nei file che nessuno legge finché non servono.