Un attacco informatico completamente automatizzato ha messo Hugging Face di fronte a un paradosso che racchiude una crepa profonda nell’approccio alla regolamentazione dell’intelligenza artificiale. Per difendersi, l’azienda ha dovuto abbandonare i modelli statunitensi, i cui guardrail di sicurezza impedivano di compiere le azioni necessarie, e si è affidata a un Large Language Model open source cinese. Il CEO Clément Delangue non ha usato giri di parole: vietare l’AI open source colpirebbe i difensori dieci volte più degli attaccanti, rendendo il mondo dieci volte più pericoloso.

La dinamica è istruttiva. L’attacco era interamente autonomo, condotto da un agente software in grado di adattarsi e persistere senza supervisione umana. Un simile avversario richiede una difesa altrettanto rapida e senza attriti. Ma i modelli AI distribuiti con restrizioni pensate per prevenire usi malevoli, bloccavano risposte che un sistema di difesa deve invece poter eseguire senza esitazioni: bloccare connessioni, alterare configurazioni, isolare componenti. In pratica, le stesse misure che dovrebbero rendere i modelli «sicuri» li rendevano inutilizzabili proprio nel momento in cui servivano a proteggere l’infrastruttura.

Hugging Face ha risolto il problema scaricando un LLM open source di origine cinese, privo di quei guardrail. La scelta non è neutra. Da un lato, dimostra che l’ecosistema aperto consente ai difensori di adattare gli strumenti alle minacce senza passare per autorizzazioni o filtri esterni. Dall’altro, solleva un interrogativo scomodo: se le restrizioni imposte sui modelli occidentali spingono le aziende a cercare alternative in giurisdizioni con standard di controllo diversi, il risultato può essere un trasferimento di fiducia verso fornitori potenzialmente meno allineati. Un cortocircuito della sovranità tecnicica.

Il cuore del problema non è il singolo incidente, ma il segnale strutturale che manda a chi opera in ambienti dove la capacità di risposta in tempo reale è critica. I team di sicurezza hanno bisogno di modelli che possano essere eseguiti senza intermediari, modificati senza attendere aggiornamenti da un vendor, e distribuiti su infrastruttura propria proprio per non introdurre ulteriori superfici d’attacco. In questo scenario, i modelli open source — proprio perché ispezionabili, personalizzabili e privi di blocchi imposti a monte — diventano un asset irrinunciabile.

L’analisi di Delangue punta a un effetto asimmetrico che ogni decisione normativa sull’AI dovrebbe tenere in conto. Un attaccante non rispetta regole: può addestrare modelli senza guardrail, rubare pesi, sfruttare codice open source senza dichiararlo. Il difensore, vincolato dalla compliance e dall’approvvigionamento lecito di tecnicia, si trova disarmato. Proibire o ostacolare l’open source significa togliere a quest’ultimo l’unica leva davvero efficace, mentre l’avversario continua indisturbato. Non è un’esagerazione: è la fotografia di quanto accaduto a Hugging Face, dove la scelta obbligata è stata tra un modello impossibile da usare e uno che veniva da fuori dal perimetro di fiducia abituale.

Per chi oggi valuta deployment on-premise di LLM a scopo difensivo, la lezione è nitida. I guardrail centralizzati non sono solo un vincolo funzionale: quando un attacco è in corso, rappresentano un punto di rottura che può vanificare l’intero investimento in automazione. L’unica strada per mantenere il controllo è poter contare su modelli che girano interamente sotto il proprio dominio, con la possibilità di intervenire su ogni livello della pipeline di inference. È esattamente il tipo di riflessione che AI-RADAR affronta regolarmente nelle analisi sui trade-off tra sovranità, sicurezza e prestazioni nel deployment locale dei modelli.