Signal dice no all’agentic AI: privacy prima di tutto

Signal traccia una linea rossa sull’integrazione dell’AI, mettendo in discussione il compromesso tra automazione e privacy nell’era digitale

Mentre il 2026 si è aperto con l’ennesima ondata di entusiasmo per la “Agentic AI” — sistemi software in grado non solo di generare testo, ma di compiere azioni autonome per conto dell’utente — c’è una roccaforte digitale che ha deciso di alzare il ponte levatoio.

Signal, l’applicazione di messaggistica che è diventata de facto lo standard aureo per la comunicazione cifrata, ha tracciato una linea rossa invalicabile sull’integrazione di questi assistenti virtuali.

Non si tratta di semplice scetticismo verso l’innovazione, né di un rifiuto ideologico a priori.

La posizione espressa dalla dirigenza di Signal è squisitamente tecnica e tocca un nervo scoperto dell’architettura software moderna: l’incompatibilità fondamentale tra la crittografia end-to-end (E2EE) rigorosa e un’entità software che necessita di leggere i nostri dati per “aiutarci”.

In un’intervista rilasciata oggi, Meredith Whittaker ha messo in guardia sul fatto che gli agenti AI sono pericolosi per app sicure come Signal, sottolineando come l’introduzione di intermediari autonomi rischi di sgretolare le promesse di privacy su cui si fonda l’intera piattaforma.

Questa presa di posizione costringe l’intero settore a guardare sotto il cofano di queste tecnologie, rivelando che la comodità dell’automazione ha un prezzo crittografico che forse non dovremmo essere disposti a pagare.

L’illusione della privacy “aumentata”

Per comprendere la gravità del problema, bisogna dissezionare il funzionamento di un Agente AI rispetto a un semplice chatbot.

Se un LLM (Large Language Model) si limita a processare input e fornire output, un Agente opera secondo un ciclo di “ragionamento e azione”. Per funzionare, un agente integrato in una chat deve “vedere” il contesto: deve leggere i messaggi in arrivo, interpretare le intenzioni e, soprattutto, avere i permessi per inviare messaggi o interagire con servizi esterni a nome dell’utente.

Qui sorge il conflitto architettonico.

Il protocollo Signal è progettato affinché il messaggio sia leggibile soltanto sul dispositivo del mittente e su quello del destinatario. Tutto ciò che viaggia nel mezzo è rumore matematico indecifrabile.

Introdurre un’intelligenza artificiale in questo circuito significa, inevitabilmente, creare un punto di accesso in chiaro.

Se l’elaborazione avviene in cloud, la crittografia end-to-end viene, per definizione, interrotta. Se avviene sul dispositivo (on-device), ci troviamo di fronte a un software che, pur girando localmente, agisce come una “scatola nera” con privilegi di lettura elevatissimi.

La Presidente di Signal è stata cristallina su questo punto, evidenziando come l’imprevedibilità di questi sistemi sia un bug, non una feature, quando si parla di sicurezza:

Questi agenti potrebbero minare la crittografia end-to-end che definisce app come la nostra, effettuando chiamate imprevedibili a servizi esterni.

— Meredith Whittaker, Presidente di Signal

Il rischio non è solo teorico.

Un agente che “allucina” o interpreta male un comando in un contesto di messaggistica sicura non sta solo scrivendo una frase sbagliata; potrebbe inavvertitamente inviare chiavi crittografiche, esporre metadati sensibili o cliccare su link malevoli che un essere umano avrebbe riconosciuto come phishing.

L’eleganza del protocollo Signal risiede nel suo minimalismo e nella riduzione della superficie di attacco; l’aggiunta di un layer probabilistico e autonomo è, ingegneristicamente parlando, come costruire una porta sul retro e sperare che nessuno trovi la maniglia.

Ma c’è un aspetto ancora più insidioso che riguarda la natura stessa degli agenti come “utenti” simulati all’interno delle nostre reti.

Un dipendente digitale fuori controllo

La sicurezza informatica moderna si basa sul principio del “privilegio minimo”. Un’applicazione dovrebbe avere accesso solo ai dati strettamente necessari per funzionare.

Gli agenti AI, per loro natura, richiedono il contrario: un accesso ampio e trasversale per poter essere “utili”. Devono leggere la cronologia, accedere al calendario, connettersi alle API di altri servizi.

In un ambiente aziendale o in una conversazione privata, questo trasforma l’assistente virtuale in quello che in gergo tecnico chiamiamo un insider threat potenziale.

Non è un caso che altre realtà del settore stiano iniziando a suonare campanelli d’allarme simili.

Analisi recenti suggeriscono cautela, un rischio evidenziato anche da Proofpoint che classifica gli agenti autonomi come una nuova tipologia di minaccia interna, capaci di essere manipolati per esfiltrare dati o eseguire azioni non autorizzate.

Immaginate uno scenario di “Prompt Injection”: un attaccante invia un messaggio appositamente formattato in una chat di gruppo.

L’agente AI della vittima processa quel messaggio nascosto, che contiene istruzioni per inoltrare l’ultimo backup delle chat a un server esterno.

L’utente non vede nulla, non clicca nulla.

È l’agente, agendo con i permessi dell’utente, a tradirlo.

Signal rifiuta categoricamente di esporre i propri utenti a questo vettore di attacco:

Non integreremo agenti AI in Signal. I rischi superano di gran lunga qualsiasi beneficio percepito.

— Meredith Whittaker, Presidente di Signal

Questa dichiarazione smonta la narrazione prevalente secondo cui ogni software deve diventare “intelligente” per sopravvivere.

Al contrario, Signal scommette sul fatto che in un futuro saturo di rumore sintetico e sorveglianza algoritmica, il vero valore aggiunto sarà il “silenzio digitale”: un canale di comunicazione stupido, passivo, ma matematicamente inviolabile.

Questa scelta radicale è resa possibile solo dalla particolare struttura societaria di Signal, che la isola dalle frenesie di Wall Street.

La sovranità dei dati nell’era dell’automazione

Mentre i giganti della Silicon Valley corrono per trasformare le app di messaggistica in “sistemi operativi per l’IA” (si pensi ai tentativi di Meta con WhatsApp o all’ecosistema Google), Signal può permettersi il lusso di dire no.

Questa indipendenza è figlia di una libertà garantita dalla nascita della Signal Foundation, strutturata specificamente per ignorare le pressioni commerciali e focalizzarsi esclusivamente sulla missione della privacy.

Senza azionisti da soddisfare con metriche di “engagement” gonfiate dall’interazione con i bot, Signal può mantenere il suo codice snello.

L’assenza di agenti AI non è una mancanza di feature, ma una garanzia di integrità.

In un’epoca in cui il software diventa sempre più bloatware (software gonfio e pesante) pieno di funzionalità non richieste che tracciano il comportamento dell’utente per addestrare modelli migliori, l’approccio di Signal ricorda la filosofia Unix: “Fai una cosa sola e falla bene”.

La sfida che Whittaker lancia all’industria è profonda: la comodità dell’automazione vale la cessione della sovranità sui nostri dati più intimi?

Se l’IA deve “leggere” per funzionare, allora la privacy assoluta e l’IA onnipresente sono due rette parallele che non si incontreranno mai, se non rompendo la crittografia.

Resta da vedere se il mercato, ormai assuefatto alla comodità algoritmica, saprà ancora apprezzare il valore di uno strumento che si limita, semplicemente, a non tradirci.