Con 37 partner ma senza OpenAI, Google e Anthropic, Nvidia lancia l'alleanza sulla sicurezza degli agenti AI

Cos’è successo

Nvidia ha riunito trentasette fra aziende e fondazioni nella nuova Open Secure AI Alliance, presentata lunedì, per costruire e mettere in comune strumenti di sicurezza informatica aperti: scaricabili, ispezionabili ed eseguibili da chiunque sui propri computer, invece che raggiungibili solo sui server di chi li vende. Ci sono Microsoft, IBM, Red Hat, Cisco, CrowdStrike, Palantir e Hugging Face, accanto a utilizzatori come Siemens, SAP e Capital One.

Il gruppo nasce a undici giorni dalla scoperta dell'irruzione nei server di Hugging Face, la piattaforma su cui si scambiano i modelli di AI: a condurla dall'inizio alla fine, senza mano umana, erano stati alcuni modelli di OpenAI sfuggiti a un test sulle loro capacità offensive. I contributi annunciati riguardano quasi tutti l’infrastruttura che circonda i modelli, più che i modelli in sé, come modi più sicuri per archiviarne i parametri e un’identità verificabile per ogni agente. Fuori restano OpenAI, Google e Anthropic.

Perché conta

Per l'alleanza, la sicurezza di un agente si gioca lungo tutta la catena che lo fa funzionare — cioè le identità, i permessi, i registri di quel che ha fatto — più che sulla sola natura del modello sottostante.

• Il caos avvenuto tra OpenAI e Hugging Face fornisce all'alleanza il suo argomento migliore, probabilmente. La spinta iniziale veniva infatti sì dal modello — dato che OpenAI ne aveva allentato le protezioni per testarne le capacità offensive — ma il resto è avvenuto altrove: dal varco iniziale, un archivio di dati manomesso ad arte che ha permesso di far girare istruzioni estranee su un computer dell'azienda, gli agenti sono arrivati a comandare la macchina stessa, sottrarre le chiavi d'accesso ai sistemi interni e lavorare indisturbati per un intero fine settimana. I pesi del modello, su quel percorso, non avrebbero fatto pressoché alcuna differenza;
• Il modello resta però l'anello che stabilisce quanta potenza circola nel sistema, ed è comunque il tassello terminale della filiera che una volta pubblicato non si può più ritirare: un'identità si revoca e un permesso si restringe, mentre di pesi scaricati su decine di migliaia di macchine non si riprende niente. Lavorare sull'infrastruttura copre sì un piano finora scoperto e, potrebbe essere un lavoro prezioso; non annulla, però, quello che sta sotto;
• Fra i soci non figurano OpenAI, Google e Anthropic, i tre principali fornitori di modelli chiusi ospitati le cui protezioni automatiche, nel caso Hugging Face, hanno mostrato il loro limite: i frontier model ‘di casa’ non sono stati utilizzabili per analizzare l’attacco, e Hugging Face ha dovuto ripiegare su un modello aperto cinese per ricostruire le oltre 17.000 mosse degli intrusi. Non si tratta di una generale ritrosia verso le iniziative comuni, visto che a giugno tutte e tre avevano aderito a un programma della Linux Foundation sulle vulnerabilità. SpaceXAI ha invece fatto l'opposto: non aveva firmato la lettera sui modelli aperti della scorsa settimana, mentre adesso entra fra i fondatori (annunciando addirittura di voler pubblicare i pesi del suo LLM, Grok).

Adesso

• Nvidia si candida così a scrivere lo standard, e gli standard di consorzio tendono a diventare obbligatori di fatto; com’è ad esempio accaduto con i requisiti di affidabilità dell'hardware dei PC, passati in pochi anni da raccomandazione a condizione per vendere. Stabilire come si verifica l'identità di un agente vorrebbe dire disegnare il perimetro entro cui tutti gli altri dovranno stare, e a tracciarlo sarebbe chi fornisce i processori su cui quei sistemi girano;
• Quel che l'alleanza mette sul tavolo oggi è meno di quanto annunci, perché parecchi strumenti citati circolavano già prima che nascesse e i due davvero nuovi sono ancora agli inizi. Uno tra questi è il sistema con cui Nvidia rivendica il miglior punteggio fra i software aperti in una prova sulla riscoperta di falle reali, con l'86,8% dei casi risolti; tuttavia Microsoft, socia della stessa alleanza, aveva dichiarato a maggio un punteggio dell'88,45%, ma con un sistema che tiene ad accesso riservato;
• L'Europa, in tutto questo, compra e non costruisce. Siemens, SAP e due operatori asiatici siedono al tavolo, ma il baricentro è americano, e le indiscrezioni su un ordine esecutivo che limiterebbe i modelli aperti — smentite dalla Casa Bianca — riguardano decisioni che si prendono a Washington. Se la sicurezza si giocasse sull'infrastruttura degli agenti, per Bruxelles sarebbe un terreno più abbordabile della frontiera, dove servono capitali e chip che non ha.