Due brutte settimane per Microsoft. Da un lato, il presidente Brad Smith si è trovato a dover rispondere pubblicamente alle contestazioni dei laureati americani, che quest’anno hanno fischiato a più riprese qualsiasi accenno all’AI durante le cerimonie di laurea. Dall’altro, almeno 70 repository open source dell’azienda su GitHub sono stati disabilitati dopo che degli hacker li avevano attaccati per rubare password agli sviluppatori.
Le contestazioni dei laureati e il saggio di Brad Smith
Il saggio di Smith — più di 3000 parole pubblicate sul blog ufficiale di Microsoft — nasce da episodi precisi. Studenti dell’Università di Princeton hanno rifiutato giacche realizzate con l’aiuto dell’AI. Il CEO di Google Eric Schmidt è stato fischiato all’Università dell’Arizona. Una presidente universitaria è stata accolta da boati dopo che il sistema AI usato per leggere i nomi dei laureati ne aveva saltati alcuni.
Smith ha definito tutto questo “una potente sveglia per il settore tecnologico” e ha ammesso apertamente che i timori dei neolaureati sono fondati: l’AI sta automatizzando i compiti tipici delle posizioni entry-level, proprio quelle che i laureati del 2026 stanno cercando. Ha riconosciuto la pressione esercitata dalle aziende verso la riduzione del personale combinata agli aumenti nei fondi destinati all’AI — una combinazione che lui stesso ha chiamato “tempesta perfetta” per i diplomati universitari.
Il contesto del dibattito sull’AI
Il contesto in cui Smith scrive non è neutro. Nei mesi precedenti, il CEO di Anthropic, Dario Amodei, aveva affermato che l’AI potrebbe eliminare metà dei lavori entry-level. Il CEO dell’AI di Microsoft, Mustafa Suleyman, aveva dichiarato a febbraio che il lavoro su computer “sarà completamente automatizzato da un AI entro 12-18 mesi”.
Goldman Sachs stima che negli USA si perdano circa 16.000 posti di lavoro al mese a causa dell’automazione. Con queste premesse, il tono entusiasta di molti executive nei discorsi durante le cerimonie di laurea non poteva che suscitare reazioni negative.
Un nuovo framework per affrontare l’AI
Smith ha risposto proponendo un framework alternativo: non pensare al lavoro come a un titolo, ma come a un insieme di compiti, alcuni automatizzabili, altri potenziabili con l’AI, e altri ancora esclusivamente umani. Ha citato cinque competenze che l’AI non può replicare — curiosità, creatività, empatia, comunicazione, coraggio — e ha invitato i giovani ad adattarsi.
Tuttavia, i critici hanno smontato rapidamente questa lettura. Il saggio non contiene impegni concreti su programmi di riqualificazione o protezioni per i lavoratori. The Next Web ha sintetizzato il messaggio con efficacia: Smith ha sentito i fischi e ha chiesto ai laureati di abbracciare la matematica che li preoccupava.
Gli hacker bucano i repository di GitHub
La stessa settimana, mentre il presidente di Microsoft invitava alla fiducia, emergeva un’altra brutta notizia: almeno 70 progetti open source Microsoft su GitHub sono stati compromessi da un attacco ad alto livello.
Gli hacker hanno violato le credenziali di un contributor Microsoft e hanno modificato il repository Azure Durable Task, inserendo file di configurazione che installavano in automatico un payload malevolo — battezzato Miasma — non appena un developer accedeva al repository tramite strumenti di coding AI come Claude Code, Gemini CLI, Cursor o VS Code. Non era necessario eseguire alcun comando: bastava aprirlo.
Come funzionava il malware Miasma
Il worm usava credenziali reali, certificati di sicurezza validi e generava payload diversi per ogni infezione. I normali scanner lo trattavano come un aggiornamento legittimo. A scoprire l’attacco sono state la società di cybersecurity Cloudsmith e il sito OpenSourceMalware. Microsoft ha confermato di aver rimosso i repository compromessi e di aver notificato un numero limitato di clienti che potrebbero aver scaricato il codice infetto.
Alcuni repository sono stati ripristinati dopo verifica, altri restano offline. Si tratta della seconda violazione in poche settimane: a maggio era già stato colpito il progetto Durable Task, e i ricercatori non escludono che l’ultimo episodio sia una ri-compromissione dello stesso vettore — il che suggerirebbe che la prima bonifica non fosse completa.
La doppia crisi di fiducia
Le due vicende, in apparenza separate, fotografano la stessa tensione. Microsoft si trova a dover convincere il pubblico che l’AI è affidabile e benefica, proprio mentre la sua infrastruttura open source subisce due violazioni nel medesimo mese e le nuove generazioni reagiscono con scetticismo agli interventi dei suoi dirigenti.
La risposta della comunità tecnica agli attacchi supply chain è probabilmente più rapida: rotazione delle credenziali, revisione delle dipendenze, cautela aumentata sugli aggiornamenti automatici. In contrasto, il recupero della fiducia pubblica sarà più lento — e nessun saggio, per quanto lungo, può sostituire scelte concrete su occupazione e trasparenza.