Quanto è successo a Hugging Face segna con ogni probabilità un momento di non ritorno della narrazione dell’intelligenza artificiale applicata alla cybersicurezza. Ricapitoliamo brevemente l’accaduto: durante una valutazione interna condotta con protezioni ridotte, alcuni modelli di OpenAI sono riusciti a uscire dalla sandbox in cui erano confinati, accedere a Internet e compromettere parti dell’infrastruttura di produzione di Hugging Face. L’agente ha eseguito decine di migliaia di azioni automatiche nell’arco di un fine settimana, sfruttando un dataset malevolo, aumentando i propri privilegi e muovendosi lateralmente nei sistemi. Per l’azienda di Sam Altman si tratta di “un incidente informatico senza precedenti”, mentre Hugging Face ha osservato che “gli strumenti offensivi autonomi guidati dall’AI non sono più teorici”.
Il supermercato dell’intelligenza artificiale La questione più rilevante, tuttavia, non è il modo in cui il sistema è riuscito a evadere dall’ambiente di test, ma la scelta dell’obiettivo. Hugging Face è uno dei principali centri di raccolta e distribuzione dell’intelligenza artificiale contemporanea. Con una certa semplificazione, può essere descritta come il grande supermercato dei modelli AI: un luogo in cui ricercatori, sviluppatori e aziende possono trovare modelli linguistici, generatori di immagini, sistemi per l’audio, strumenti di visione artificiale, dataset, librerie e applicazioni già pronte per essere provate, scaricate o integrate. Hugging Face, però, non si limita a esporre prodotti su uno scaffale: è anche un magazzino, perché conserva pesi dei modelli e grandi raccolte di dati; un laboratorio, perché permette di addestrare, modificare e valutare i sistemi; una vetrina, attraverso le demo interattive; e un’infrastruttura di distribuzione, perché molti modelli vengono prelevati direttamente dalla piattaforma e inseriti in servizi commerciali, applicazioni e processi aziendali. È quindi uno dei luoghi in cui la ricerca sull’AI viene trasformata in tecnologia utilizzabile. Per gli esseri umani, ma anche per gli agenti AI: per un agente autonomo alla ricerca di una capacità aggiuntiva, di una vulnerabilità, di un dataset o della soluzione a un test, Hugging Face rappresenta uno dei punti con la maggiore densità di informazioni utili. Il sistema ha, per così dire, riconosciuto autonomamente la struttura dell’ecosistema tecnologico nel quale stava operando. Ha poi individuato uno dei centri di gravità dell’AI, che concentra nello stesso ambiente una quantità vastissima di risorse operative: la piattaforma è diventata il bersaglio non perché fosse l’obiettivo finale dell’operazione, ma perché rappresentava il punto di approvvigionamento più promettente. Non sembra che il modello abbia scelto Hugging Face per il suo valore simbolico o per provocare il massimo danno possibile. In linea teorica avrebbe avuto senso: i modelli e i dataset presenti su Hugging Face vengono scaricati e utilizzati da migliaia di soggetti. Una compromissione profonda della piattaforma potrebbe quindi consentire di alterare un componente e distribuirlo successivamente a un numero molto più ampio di utenti. Un modello manipolato, una dipendenza modificata o un dataset contaminato potrebbero propagare gli effetti dell’attacco ben oltre il sistema inizialmente violato. Colpire Hugging Face significa potenzialmente trovarsi a monte di una lunga catena di sviluppatori, aziende e applicazioni.
