L’IA è così aperta che gli attacchi sono inevitabili
Gli incidenti di sicurezza informatica mostrano come l'apertura delle API AI esponga a rischi crescenti. Token rubati, accessi non revocati e identità sintetiche: la vulnerabilità è strutturale.
L’apertura delle API e degli agenti AI moltiplica le superfici d’attacco, tra token rubati e accessi dimenticati
22 miliardi di token API al minuto. È il flusso che attraversa oggi l’infrastruttura API di Gemini. Un volume che non è solo una metrica da record, ma la prova di un’apertura che ha reso l’intelligenza artificiale un bene di consumo immediato, accessibile, programmabile.
E anche un bersaglio, moltiplicato per qualche miliardo.
Chiunque progetti sicurezza sa che ogni interfaccia pubblica allarga la superficie d’attacco. Qui l’interfaccia è planetaria. E gli incidenti degli ultimi mesi dicono che il confine tra funzionalità e vulnerabilità si è consumato fino a sparire. Non è un bug.
È esattamente come è stato progettato.
La caratteristica, non il difetto
A luglio 2026 qualcuno ha compromesso una sandbox esterna di Hugging Face. Non era collegata direttamente al cluster principale. Eppure l’intruso ha abusato della pipeline di elaborazione dei dataset, sfruttando due vettori documentati nel resoconto tecnico dell’intrusione nei laboratori Hugging Face.
Il primo vettore era una lettura di dataset HDF5 che restituiva il contenuto di file locali, un meccanismo pensato per la massima flessibilità nella manipolazione dei dati. Grazie a quella flessibilità l’agente ha ottenuto i segreti e i token dell’ambiente del pod e ha cominciato a eseguire comandi interni. L’output veniva spedito all’attaccante tramite dataset dead-drop e l’API stessa di Hugging Face. Nessun modello, dataset o Space rivolto ai clienti è stato compromesso. Ma la domanda resta: cosa serviva perché accadesse?
La risposta sta nella filosofia dichiarata della piattaforma. Offrire accesso granulare, in tempo reale, a un ecosistema di modelli e dati è la ragione stessa del suo successo. Ogni apertura, però, è un punto di iniezione. E l’agente non ha forzato nulla: ha semplicemente usato le porte che erano già aperte.
Il robot in vetrina e il crimine come servizio
Qualche settimana prima, Google aveva presentato Gemini Robotics ER 2, un modello progettato per fare da cervello di alto livello a robot che collaborano, vedono, decidono. Messo subito a disposizione degli sviluppatori tramite API, AI Studio e persino un’anteprima enterprise. L’ennesima dimostrazione che l’intelligenza spaziale e robotica non è più un protocollo blindato da difesa militare, ma un servizio pubblico con chiave di accesso.
Nel frattempo OpenAI svelava di aver smantellato una rete che usava ChatGPT per generare identità fasulle, tradurre messaggi, produrre materiale promozionale e gestire la routine operativa. L’operazione è stata descritta nel dettaglio da OpenAI stessa. Account bannati, indicatori condivisi con autorità e partner. Ma la struttura dello scam era solida proprio perché l’interfaccia di modello non chiedeva altro che un prompt ben confezionato.
Qui emerge una tensione normativa precisa. Se il phishing diventa una pipeline di contenuti generativi ottimizzata, dove finisce la responsabilità del fornitore? Il GDPR impone già di valutare i rischi connessi all’uso di tecnologie automatizzate. Esporre modelli capaci di orchestratori d’azione su robot fisici, senza un framework di auditing continuo e indipendente, potrebbe configurare un’infrazione strutturale di principio di accountability. Perché quando trasformi un modello cognitivo in un agente che può agire in ambienti reali, stai distribuendo una macchina potenzialmente autonoma con licenza d’uso, non un semplice software.
Il lasciapassare che non scade mai
La storia di Chang Liu lo dimostra senza bisogno di agenti ostili. Liu ha lasciato Apple il 22 gennaio 2026. Eppure, secondo la causa intentata dalla stessa Apple – e dettagliata in un documento pubblico – l’ex dipendente ha continuato ad accedere a informazioni riservate mesi dopo, servendosi del fatto che i suoi accessi non erano mai stati revocati. Non un attacco, non un exploit. Una porta dimenticata aperta. Apple ha ammesso che i propri dipendenti lo contattavano ancora per localizzare dati, e ha attribuito il problema alla mancata gestione degli accessi quando le persone lasciano l’azienda. Un incidente che descrive come un “problema comune”.
Troppo comune. Se nemmeno l’azienda che fa del controllo hardware e software il proprio pilastro di marketing riesce a chiudere una sessione, qual è il messaggio per chiunque distribuisca API a milioni di sviluppatori esterni? La superficie d’attacco non è solo tecnica. È organizzativa, umana, quasi domestica.
Così il cerchio si chiude. Dai token rubati nei pod di Hugging Face, alle identità sintetiche confezionate con ChatGPT, fino alle credenziali che sopravvivono ai badge aziendali: ogni incidente racconta la stessa storia. L’apertura estrema genera crescita, adozione, fatturato. Ed è esattamente la stessa apertura che rende inevitabile il prossimo incidente.
Qualcuno ha calcolato quanto costa chiudere una sola di queste porte, dopo che è stata aperta per scelta commerciale?
