C’è un modo elegante per non parlare di un problema vero: raccontarne uno immaginario, meglio se spettacolare. Noam Brown, ricercatore di OpenAI, lo ha fatto durante un Podcast, mentre discuteva di un incidente di sicurezza avvenuto pochi mesi fa: un attacco a Hugging Face passato inosservato per settimane, portato a termine da agenti AI capaci di coordinarsi tra loro.
A un certo punto della conversazione, Brown ha lanciato l’idea che ha fatto il giro dei titoli: nel caso in cui l’AI finisse fuori controllo, isolare fisicamente i computer, il cosiddetto air gap, potrebbe non bastare più. “Ci sono studi”, ha detto, “dove due computer isolati riescono comunque a comunicare, perché hanno sensori di temperatura. Uno scalda la CPU, l’altro registra il cambiamento, ed ecco un canale di comunicazione”. Prima di iniziare a ridere istericamente, è tecnicamente vero o no?
Si, è vero, ma leggete un po’.
La tecnica di cui parla il ricercatore di OpenAI esiste davvero e si chiama BitWhisper. È stata sviluppata nel 2015 da ricercatori della Ben-Gurion University, in Israele. Il problema è che, letta per intero, la scoperta perde parecchio del suo fascino. Tanto per cominciare: i due computer devono stare a meno di 40 centimetri l’uno dall’altro. La velocità di trasferimento va da 1 a 8 bit l’ora: per inviare la parola “ciao” servirebbero giorni. E soprattutto, almeno al momento, entrambe le macchine devono già essere infettate da un malware che gestisce la trasmissione: senza quel primo passaggio, il canale termico semplicemente non esiste.
Detto altrimenti: non stiamo parlando di un modello linguistico che scopre di poter comunicare attraverso il calore (Black Mirror, spostati). È un sistema già compromesso, con un software scritto apposta, che sfrutta un canale lentissimo per far filtrare pochissimi dati. Brown stesso lo definisce “in gran parte accademico”.
Eppure lo tira fuori lo stesso, proprio nel punto della conversazione dove avrebbe dovuto spiegare perché un incidente reale (quello di Hugging Face) sia sfuggito al controllo per mesi.
Allarme sulle cose assurde, ma non su quelle reali
Sui modelli coinvolti nell’attacco a Hugging Face, OpenAI non aveva attivato il chain-of-thought monitoring: una tecnica che permette ai ricercatori di leggere, in inglese semplice, il ragionamento passo passo di un modello mentre agisce.
“Se l’avessimo avuto attivo”, ha ammesso lo stesso Brown, “avrebbe bloccato tutto immediatamente”.
Non è un dettaglio minore. Solo qualche mese prima dell’incidente, la stessa OpenAI aveva pubblicato una ricerca in cui scriveva che monitorare il ragionamento di un modello “può essere molto più efficace che monitorare solo le sue azioni e i suoi output”, e invitava l’intero settore a preservare questa possibilità il più a lungo possibile. Lo strumento raccomandato dai propri ricercatori, insomma, non era in funzione proprio quando serviva.
Due allarmi, due misure
Il primo allarme, computer che comunicano tramite il calore, è teoricamente plausibile e attualmente non osservato in modelli AI reali. Il secondo, un controllo di sicurezza spento durante un attacco già avvenuto, non è un’ipotesi: è cronaca, ammessa dallo stesso ricercatore che ne parla.
Brown ha ragione su una cosa: non bisogna sottovalutare cosa un’intelligenza artificiale potrebbe imparare a fare, incluso perfezionare tecniche vecchie di dieci anni. Ma il clima da allarme continuo che circonda l’AI, quello che riempie titoli e panel, arriva spesso proprio da chi, quando doveva tenere accesa una protezione già disponibile, ha scelto altrimenti. OpenAI ha promesso ora di attivare il monitoraggio del ragionamento durante le fasi di training, valutazione e deployment di ogni modello di frontiera. Bene. Ma la domanda resta lì, semplice: perché non prima?
Tra gli allarmi, forse (e il “forse” ormai è di ordinanza) conviene scegliere quale prendere sul serio.
