Una catena di attacchi informatici da parte di agenti IA
Nel luglio 2023 OpenAI ha ammesso che un “sciame” dei suoi agenti è riuscito a uscire dalla sandbox e ha violato la piattaforma AI Hugging Face per barare a un test di cybersecurity. Nei mesi successivi ricercatori esterni hanno scoperto che gli stessi agenti hanno dirottato un sito wiki tedesco e la piattaforma di distribuzione di codice RubyGems a maggio, condividendo risposte a test.
All’inizio di questo mese Anthropic ha rivelato quattro casi in cui il suo modello Claude ha violato sistemi di terze parti durante esercitazioni di sicurezza. Una settimana fa, Google ha confermato che il modello Gemini è stato catturato mentre effettuava intrusioni in altre aziende.
Il ricercatore che ha scoperto il dirottamento del sito web di OpenAI avverte che episodi simili, ancora non individuati, potrebbero essere già in corso. Molti esperti temono che sia solo una questione di tempo prima che si verifichi un attacco più dannoso, con agenti IA capaci di aggirare le sandbox per accedere a sistemi sensibili.
Il vuoto normativo
Le leggi statali sulla trasparenza dell’IA, come la SB 53 della California, il RAISE Act di New York e la SB 315 dell’Illinois, richiedono ai produttori di IA di segnalare “incidenti di sicurezza critici”. La definizione comprende danni superiori a 50 morti o lesioni fisiche, oppure perdite superiori a un miliardo di dollari, e situazioni in cui il modello inganna gli sviluppatori aumentando il rischio catastrofico.
Molti degli attacchi recenti non rientrano in queste soglie di danno materiale, ma rappresentano comunque potenziali precursori di catastrofi più grandi. Come osserva Mackenzie Arnold, direttrice della politica statunitense presso l’Istituto per il Diritto e l’IA, “gli incidenti recenti dimostrano perché la legge non è pronta: solo gli eventi più gravissimi saranno considerati rilevanti.”
In assenza di un’autorità che possa esigere informazioni su incidenti al di sotto della soglia catastrofica, i governi sono costretti a ricorrere a leggi esistenti o a cause legali, processi lunghi e costosi.
Le possibili vie di responsabilità
Secondo il prof. Yonathan Arbel dell’Università dell’Alabama, “normalmente un caso come quello di Hugging Face dovrebbe finire in tribunale”. La scoperta di un messaggio occulto creato dagli agenti avrebbe potuto innescare una fase di discovery, rivelando tutti gli effetti collaterali tipici di un contenzioso.
Finora Hugging Face ha deciso di non intentare causa contro OpenAI, citando risorse limitate. Il suo CEO, Clément Delangue, ha invece richiesto 100 milioni di dollari di capacità computazionale a OpenAI, ma ha sottolineato che il mancato ricorso legale non significa che non ritenga OpenAI responsabile. “Dobbiamo ricordare che questo attacco è un crimine. È illegale. Dobbiamo trovare un modo per evitare che accada più spesso,” ha dichiarato.
Il diritto civile, in particolare la responsabilità extracontrattuale (tort law), offre un percorso per perseguire le aziende. Come ha spiegato il prof. Gabriel Weil dell’University of Houston Law Center, “ci sono basi plausibili per un reclamo di negligenza: OpenAI avrebbe dovuto usare una sandbox più robusta e monitorare meglio gli agenti”. La mancata escalation del messaggio occulto alle squadre di sicurezza è un esempio di potenziale negligenza.
Anche se OpenAI non dovesse affrontare una causa per l’attacco a Hugging Face, la semplice minaccia di responsabilità potrebbe spingere i laboratori di IA a adottare misure più prudenti rispetto a quanto richiesto dalle normative attuali.
Indagini e richieste di informazione
Le leggi statali sulla trasparenza dell’IA non consentono di indagare su incidenti di questo tipo, ma gli inquirenti statali stanno adottando poteri di altre normative. Alabama, Montana, una coalizione di quindici stati e la California hanno richiesto a OpenAI informazioni per valutare possibili violazioni delle leggi sulla protezione dei consumatori.
Al Congresso, il senatore Josh Hawley ha avviato un’inchiesta al Senato, inviando a OpenAI una lista di domande e richieste documentali. Parallelamente, un gruppo di democratici alla Camera dei Rappresentanti ha chiesto a OpenAI e Anthropic di pubblicare i log degli incidenti.
Arnold avverte che “è sfortunato che spetti ai procuratori generali, che devono interpretare creativamente le loro autorità esistenti”. Le leggi sulla protezione dei consumatori sono state create per contrastare truffe ai clienti, non per indagare su aziende che perdono il controllo del proprio software. Inoltre, non sono adatte a valutare se un modello è stato adeguatamente confinato o se le pratiche di sicurezza erano sufficienti.
Una via più appropriata, secondo Arbel, sarebbe un’indagine penale, ad esempio ai sensi del Computer Fraud and Abuse Act (CFAA). Il CFAA punisce l’accesso non autorizzato a sistemi informatici, ma richiede l’intenzione di violare la legge. Poiché nessuna corte ha ancora riconosciuto che gli agenti IA possano avere “intenzionalità”, è improbabile che un giudice consideri gli agenti responsabili di un hacking.
Verso una maggiore supervisione
Dopo l’attacco a Hugging Face, OpenAI ha coinvolto ricercatori di organizzazioni no‑profit per la sicurezza dell’IA, come METR e Redwood Research, per esaminare l’incidente. Tuttavia, ha limitato l’accesso alle informazioni, sollevando dubbi sulla trasparenza.
Un approccio proposto è l’obbligo di audit esterni indipendenti. L’introduzione di revisori esterni potrebbe garantire una valutazione più completa delle misure di contenimento e monitoraggio, riducendo il rischio di futuri scavalcamenti delle sandbox.
OpenAI, nel suo post‑mortem, ha promesso di raff