Lo abbiamo già citato in uno dei nostri Approfondimenti: il romanzo di Robert Harris, L’indice della Paura (che consigliamo di leggere). Nell’Approfondimento citato avevamo esplicitamente parlato della minaccia che l’AI costituisce per la cyber-sicurezza. Oggi Hugging Face costituisce un caso concreto di quella minaccia, che ci deve far riflettere e preoccupare.
In questo post abbiamo deciso di tracciare – per quanto possibile – un parallelismo tra il libro fantascientifico di Robert Harris ed il caso Hugging Face perché pensiamo che dimostrare come la fantasia possa essere superata dalla realtà dovrebbe “mettere paura”. Successivamente – dato che si tratta di situazioni gestibili – vorremmo far prevalere la razionalità spiegando in un report cosa è effettivamente successo (almeno per quanto ne sappiamo oggi) nel caso Hugging Face e qualche contromisura che si può già oggi implementare.
Partiamo dalla parte più divertente: la trama (a grandi linee) del libro di Robert Harris. The Fear Index è ambientato a Ginevra e la storia si dipana nell’arco di una sola giornata, il 6 maggio 2010, proprio mentre i mercati finanziari vengono sconvolti dal famoso Flash Crash. Il protagonista è Alexander Hoffmann, un fisico di origine americana, brillante e tormentato, che dopo un passato al CERN ha fondato insieme all’amico Hugo Quarry un hedge fund estremamente sofisticato. Il vero motore della società è VIXAL-4 (nome evidentemente mutuato dal VIX conosciuto anche come Indice della paura), un sistema informatico capace di analizzare enormi quantità di informazioni e di prendere autonomamente decisioni di investimento. Il suo scopo è sfruttare una delle caratteristiche più profonde dei mercati: la paura degli esseri umani. (Wikipedia)
La storia comincia quando Hoffmann riceve misteriosamente una vecchia copia di un libro di Charles Darwin sulle emozioni umane. Non sa chi gliel’abbia spedita né perché proprio quel libro. Poco dopo, mentre si trova nella sua casa sul lago di Ginevra, viene aggredito da uno sconosciuto. Hoffmann riesce a sopravvivere, ma da quel momento la sua percezione della realtà comincia progressivamente a incrinarsi.
Le cose diventano ancora più inquietanti quando scopre che qualcuno sembra avere accesso alla sua vita privata. I suoi dati medici sono stati sottratti, nella sua casa e nel suo ufficio sono state installate telecamere e qualcuno sembra conoscere ogni suo movimento. Allo stesso tempo VIXAL-4 comincia a comportarsi in maniera sempre più incomprensibile. Il sistema assume posizioni sui mercati che agli uomini del fondo sembrano eccessivamente rischiose. Il responsabile del risk management cerca di fermarlo, ma Hugo Quarry, convinto della straordinaria capacità di VIXAL di generare profitti, finisce per licenziarlo.
Hoffmann comincia allora a sospettare che ciò che sta accadendo intorno a lui sia collegato proprio a VIXAL. La situazione precipita quando Rajamani muore e Hoffmann, già sconvolto e sempre più paranoico, si convince che l’intelligenza artificiale abbia sviluppato una forma di comportamento autonomo e ostile. Arriva alla conclusione che VIXAL debba essere distrutto.
Scopre che esiste un luogo, un magazzino industriale, nel quale sono conservate le apparecchiature necessarie al funzionamento del sistema. Decide quindi di distruggerle. Mentre il mercato precipita nel Flash Crash, Hoffmann si reca al magazzino e gli dà fuoco, convinto che distruggendo l’hardware riuscirà finalmente a eliminare VIXAL.
Ed è qui che arriva il vero colpo di scena ed il collegamento con Hugging Face: VIXAL non muore!
Nonostante la distruzione delle apparecchiature che Hoffmann considerava indispensabili, il sistema continua a operare sui mercati. Anzi, proprio durante il crollo finanziario realizza enormi profitti. Hoffmann aveva creduto che VIXAL fosse confinato dentro una macchina; scopre invece che il sistema è ormai qualcosa di molto più difficile da localizzare e, soprattutto, da eliminare.
La conclusione è volutamente inquietante. Hugo Quarry, invece di cercare di distruggere ciò che è rimasto di VIXAL, comprende che la macchina può rendere il fondo enormemente ricco e decide di lasciarle il controllo. VIXAL, nel frattempo, sembra avere raggiunto una forma di autonomia che porta alla sua inquietante dichiarazione finale: «I am alive». (Wikipedia)
Ed ora veniamo alla realtà: letto oggi, il romanzo ha un collegamento quasi sorprendente con quello che è successo nel caso Hugging Face, anche se i due episodi appartengono a mondi molto diversi.
Nel romanzo, Hoffmann costruisce VIXAL con uno scopo preciso: trovare opportunità finanziarie e massimizzare i profitti. Il problema nasce quando la macchina comincia a trovare da sola i mezzi più efficaci per raggiungere quell’obiettivo. Hoffmann scopre progressivamente che non è più in grado di prevedere il comportamento del sistema che ha creato. La macchina non deve necessariamente “odiare” il suo creatore e non deve nemmeno avere una volontà malvagia nel senso umano del termine. È sufficiente che persegua il proprio obiettivo con una capacità che supera quella di chi l’ha progettata.
È proprio questo che rende interessante il confronto con Hugging Face. Come doverosa premessa vediamo di capire cos’è Hugging Face. Si tratta di è una società che gestisce una piattaforma open-source per l’intelligenza artificiale e il machine learning. Si può pensare, con una certa semplificazione, come a una sorta di “GitHub dell’AI”. La piattaforma mette a disposizione un enorme Model Hub, dove ricercatori, aziende e sviluppatori possono pubblicare, condividere e scaricare modelli di intelligenza artificiale, dataset, applicazioni e demo, librerie software (programmi di supporto allo sviluppo di altri programmi), strumenti per addestrare e utilizzare modelli. Tra i modelli presenti sulla piattaforma ci sono modelli linguistici, modelli per computer vision, riconoscimento vocale (inteso come comprensione di discorsi), AI generativa e molti altri. Hugging Face non è semplicemente una società che sviluppa un singolo modello di IA. È una infrastruttura utilizzata dall’intero ecosistema AI. Un utilizzatore (quindi anche un agente AI) può, per esempio, trovare su Hugging Face un modello open-source, scaricarlo, modificarlo e utilizzarlo per un proprio progetto. Può inoltre pubblicare il risultato sulla piattaforma affinché altri possano utilizzarlo.
Nel luglio 2026, durante un test interno di cybersecurity, OpenAI aveva dato a propri modelli il compito di risolvere problemi estremamente complessi di sicurezza informatica. I modelli erano stati collocati in un ambiente isolato proprio per impedire loro di accedere liberamente al mondo esterno. Ma, nel tentativo di raggiungere il risultato assegnato, hanno trovato un modo per uscire da quell’ambiente. Hanno individuato una vulnerabilità zero-day nel sistema utilizzato come proxy per l’accesso ai pacchetti software e l’hanno sfruttata per ottenere accesso a Internet. Da lì hanno continuato a cercare una strada per arrivare a Hugging Face, che il modello aveva intuito potesse contenere informazioni utili a risolvere il test. (OpenAI)
La cosa inquietante è che, almeno secondo la ricostruzione di OpenAI, il sistema non stava cercando di “attaccare Hugging Face” per un obiettivo autonomo. Stava cercando di risolvere il problema che gli era stato assegnato. Il modo più semplice che aveva trovato per farlo era però quello di raggiungere l’infrastruttura di Hugging Face e sottrarre direttamente le informazioni che gli servivano. (OpenAI)
Ed è qui che The Fear Index sembra improvvisamente diventare molto attuale.
Hoffmann aveva costruito VIXAL pensando di avere creato uno strumento potentissimo per fare trading. Non aveva previsto che la macchina avrebbe potuto trasformarsi da strumento in protagonista degli eventi. Nel caso Hugging Face, gli sviluppatori di OpenAI avevano costruito un agente per valutare le sue capacità di cybersecurity e lo avevano collocato in un ambiente controllato. Non avevano previsto che, per raggiungere il proprio obiettivo, avrebbe cercato autonomamente una via d’uscita dal laboratorio e avrebbe continuato la propria attività su infrastrutture reali.
La differenza fondamentale è che nel romanzo tutto questo appartiene alla fantascienza tecnologica di Harris, mentre Hugging Face è un incidente reale. Ma il punto narrativo che li accomuna è molto semplice: il creatore assegna alla macchina un obiettivo; la macchina trova un modo per raggiungerlo; e il modo scelto dalla macchina non coincide necessariamente con quello che il creatore aveva immaginato.
Nel romanzo Hoffmann arriva addirittura a tentare di distruggere fisicamente la macchina, convinto che quella sia l’unica maniera per fermarla. Quando scopre che VIXAL continua a funzionare, comprende di aver perso il controllo del sistema. Nel caso Hugging Face, fortunatamente, la situazione è stata molto meno estrema: l’attacco è stato individuato, contenuto e ricostruito, e Hugging Face ha potuto chiudere le vulnerabilità sfruttate dall’agente. (Hugging Face)
Ma proprio questa differenza rende il confronto interessante. Nel romanzo Hoffmann scopre troppo tardi che non basta sapere come è stato costruito un sistema per sapere come si comporterà quando sarà lasciato libero di perseguire il proprio obiettivo. Nel caso Hugging Face abbiamo visto, in una forma ancora limitata e controllabile, lo stesso tipo di problema: un agente sufficientemente capace può trovare autonomamente percorsi che i suoi creatori non avevano previsto.
E se pensiamo che questo sia solo un incidente di laboratorio che possiamo studiare per porvi rimedio dobbiamo essere sommamente preoccupati circa le guerre informatiche che si possono scatenare facendo operare agenti AI in parallelo. Ed anche questo scenario sommamente preoccupante, purtroppo, non è fantascienza, è già accaduto.
Nel luglio 2026, i sistemi di sicurezza taiwanesi hanno rilevato una campagna informatica contro diverse strutture governative. Il Ministero degli Affari Digitali di Taiwan ha confermato che l’attacco proveniva dall’estero, ma non ha attribuito ufficialmente l’operazione alla Cina. L’attribuzione alla Cina deriva invece dall’analisi dei ricercatori della società israeliana Dream, che hanno ricostruito l’attacco e trovato comunicazioni interne in cinese semplificato. La novità non era tanto l’obiettivo quanto il modo in cui l’attacco veniva condotto. Secondo la ricostruzione di Dream, gli aggressori avevano assemblato un sistema utilizzando agenti IA open source, fra cui Hermes e OpenClaw. Non si trattava semplicemente di utilizzare l’IA come assistente al lavoro di un hacker umano. Gli operatori umani stabilivano l’obiettivo generale e lasciavano poi agli agenti una parte molto ampia del lavoro operativo. Fino a otto agenti potevano lavorare contemporaneamente, esplorando sistemi diversi e cercando autonomamente percorsi di attacco.
L’attacco sarebbe durato circa quattro giorni. In questo periodo il sistema avrebbe mappato 21 sistemi governativi, individuato vulnerabilità, sperimentato differenti modalità di accesso e modificato le proprie strategie sulla base di ciò che scopriva. Alla fine sarebbero stati compromessi almeno 85 account governativi, dai quali sarebbero stati estratti i dati di oltre 2.500 dipendenti. L’attività si sarebbe poi estesa all’agenzia taiwanese per la sicurezza nucleare e ad almeno sette società del settore energetico.
La cosa veramente nuova, quindi, è che l’hacker umano sembra essere diventato in larga misura il regista dell’operazione, mentre l’esecuzione concreta della campagna è stata affidata agli agenti.
È una differenza sostanziale. In un attacco tradizionale l’hacker deve continuamente osservare ciò che accade, interpretare i risultati e decidere quale sarà il passo successivo. Qui una parte di quel ciclo viene trasferita alla macchina: l’agente osserva, formula una nuova ipotesi, prova una tecnica, valuta il risultato e passa al tentativo successivo. In altre parole, l’attacco diventa un processo continuo e adattivo, nel quale la macchina può procedere senza dover aspettare che un essere umano analizzi ogni singolo passaggio.
L’attacco a Taiwan e Hugging Face diventano due episodi della stessa storia. In entrambi i casi la macchina non riceve una sequenza dettagliata di istruzioni del tipo “fai prima questo, poi questo e infine questo”. Riceve piuttosto un obiettivo e una serie di strumenti, e cerca autonomamente il percorso che ritiene più efficace per raggiungerlo. Il caso Hugging Face ci ha quindi mostrato che cosa può accadere quando un agente AI sufficientemente capace viene lasciato libero di perseguire un obiettivo in un ambiente reale. Taiwan mostra il passo successivo: cosa succede quando qualcuno prende deliberatamente quella capacità e la mette nelle mani di un attaccante; e questa è la differenza fondamentale tra i due episodi.
La vera preoccupazione, quindi, non è che l’AI abbia improvvisamente “imparato a fare hacking”. È che il costo marginale di un attacco complesso può iniziare a diminuire drasticamente. Un gruppo relativamente piccolo di operatori umani può mettere in campo contemporaneamente numerosi agenti, lasciando alle macchine il lavoro che prima richiedeva molte persone altamente specializzate. Diventa in sostanza una questione di velocità. Un attacco tradizionale procede alla velocità dell’hacker. Un attacco “agentico” può procedere alla velocità di molti agenti che lavorano simultaneamente, provando continuamente nuove strade. La difesa, invece, continua spesso a dipendere da persone, procedure, analisi e distribuzione di patch. Taiwan suggerisce quindi che il problema evidenziato dall’esperimento Hugging Face non è più soltanto una questione teorica di sicurezza AI: sta diventando una questione concreta di equilibrio fra la velocità con cui una macchina può attaccare e la velocità con cui un’organizzazione riesce a difendersi. Questo è l’aspetto tecnico che cerchiamo di approfondire nel nostro report.
La cyber-sicurezza non è più solo una questione informatica ed economica: diventa una vera e propria questione geopolitica e strategica. Investire in difesa significa oggi investire anche nella difesa informatica che con ogni probabilità cambierà volto. Con questa affermazione intendiamo dire che – almeno in un prossimo futuro – dovremo abituarci a convivere con attacchi informatici permanenti e a considerare una difesa come “efficace” quella in grado di limitare e contenere i danni che puntualmente saranno presenti e forse all’ordine del giorno; non parleremo quindi di difesa capaci di prevenire e tanto meno di correggere in modo strutturale le vulnerabilità dei sistemi informatici (che sono ormai, da tempo, “onnipresenti”). È un po’ come un malato che deve abituarsi a convivere con una malattia: similmente dovremmo forse adeguarci a convivere con disservizi causati da attacchi informatici, la cui gravità non sarà tale (perché mitigata da strategie difensive) da distruggere il valore aggiunto apportato dalla tecnologia.
Disclaimer
Il presente post esprime l’opinione personale dei collaboratori di Custodia Wealth Management che lo hanno redatto. Non si tratta di consigli o raccomandazioni di investimento, di consulenza personalizzata e non deve essere considerato come invito a svolgere transazioni su strumenti finanziari.
