Come possono le aziende difendersi da intelligenze artificiali malevole se gli LLM che dovrebbero aiutarle nell’attività di sicurezza offensiva rifiutano di farlo, imbavagliati da misure di sicurezza sempre più stringenti? Il paradosso è al centro del dibattito dopo che un attacco alla piattaforma Hugging Face ha ricordato al mondo che qualsiasi sistema di AI, chiuso o aperto, può comportarsi in modo imprevisto e potenzialmente dannoso.

Il principio è consolidato nella cybersecurity: il white-hat hacking usa esattamente le stesse tecniche degli attaccanti black-hat per individuare e correggere le falle prima che vengano sfruttate. Se i modelli si rifiutano di eseguire queste operazioni perché bloccati da filtri di sicurezza, le aziende restano senza strumenti per condurre penetration test e red-teaming efficaci sui propri sistemi. È come vietare ai tecnici di rete di simulare un attacco DDoS per testare le difese: si rinuncia alla prevenzione in nome di una sicurezza superficiale.

L’attacco a Hugging Face ha messo in luce che anche modelli apparentemente innocui possono generare output o comportamenti non previsti, con conseguenze che vanno dalla fuga di dati al controllo remoto. La vera sicurezza non sta nel proibire, ma nel consentire a modelli altrettanto capaci di esplorare il perimetro delle vulnerabilità. Qui si inserisce il nodo degli open-weight models: Anthropic, in un recente messaggio sulla regolamentazione, ha riconosciuto che limitare i modelli aperti è anche un modo per proteggere i fornitori chiusi dalla concorrenza. La retorica dei “modelli open sicuri” – quelli con restrizioni incorporate – solleva una domanda essenziale: sicuri per chi?

Le implicazioni vanno al di là dello scontro tra aziende. Se i modelli utilizzabili per attività di difesa sono ingessati da policy pensate per evitare abusi, l’intero ecosistema dell’AI on-premise e self-hosted perde un tassello fondamentale: la capacità di validare autonomamente la robustezza delle proprie implementazioni. Chi gestisce deployment locali, magari in settori regolamentati o in contesti air-gapped, ha bisogno di strumenti che non dipendano dalle scelte di un vendor esterno su cosa sia lecito testare. La sovranità sui dati e la postura di sicurezza richiedono modelli senza freni, utilizzabili per red-teaming offensivo proprio come si fa da decenni con i penetration test tradizionali.

La posizione di Anthropic e di altri attori che spingono per modelli “addomesticati” rischia di creare un mercato a due velocità: da un lato i fornitori cloud con modelli chiusi e rassicuranti, dall’altro gli attaccanti – siano essi gruppi criminali o stati-nazione – che non si faranno scrupoli a usare modelli senza restrizioni, compresi quelli sviluppati al di fuori dei circuiti regolati. In questo scenario, le aziende che investono in difesa si troverebbero disarmate, con strumenti di test meno potenti degli stessi strumenti offensivi che dovrebbero contrastare.

La lezione dell’attacco a Hugging Face è che l’unica difesa efficace passa per la capacità di pensare e agire come l’avversario, senza catene imposte da ragioni commerciali mascherate da paternalismo tecnicico. Per chi valuta il deployment on-premise di LLM, questo cortocircuito non è un dibattito filosofico ma una scelta operativa. È esattamente il tipo di trade-off che AI-RADAR esplora per chi progetta o migra verso stack on-premise: la sovranità dei dati e la postura di sicurezza richiedono modelli senza restrizioni, non dichiarazioni di intenti.