AI di frontiera, grandi rischi: negli Usa prove tecniche per una soluzione

Il 7 agosto OpenAI ha reso noto di aver rallentato lo sviluppo di Astra, un proprio modello ancora sperimentale, dopo che le valutazioni interne non hanno permesso di escludere che avesse raggiunto un livello di capacità informatiche offensive che l’azienda stessa definisce critical: la soglia oltre la quale un modello potrebbe individuare vulnerabilità e condurre autonomamente operazioni complesse contro sistemi reali.

Pochi giorni prima l’azienda aveva dichiarato che una versione interna di Astra aveva risolto dieci problemi matematici rimasti irrisolti da decenni. È una delle prime volte che uno sviluppatore frena pubblicamente un proprio modello per ragioni di sicurezza.

Regole modelli AI di frontiera negli Usa

Negli Stati Uniti sta cambiando qualcosa nel modo in cui viene affrontato il rischio legato ai modelli di intelligenza artificiale più avanzati.

Qualche giorno fa da un incontro alla Casa Bianca ha finalizzato il proprio framework di regolazione dei modelli AI di frontiera. Non ne ha fornito i dettagli ma ha detto che analizzerà solo alcuni modelli e non quelli open, per verificare minacce alla sicurezza prima del loro rilascio.

Dopo aver impostato la propria politica sull’AI soprattutto intorno alla competizione con la Cina, alla riduzione dei vincoli regolatori e all’accelerazione dell’innovazione, l’amministrazione Trump sta costruendo anche un meccanismo attraverso il quale valutare, prima del rilascio, le capacità dei cosiddetti frontier model: i modelli che si collocano alla frontiera delle prestazioni disponibili e che, proprio per questo, possono sviluppare capacità rilevanti anche sul piano della cybersecurity e della sicurezza nazionale.

È qui che emerge la tensione che attraversa oggi la politica americana sull’AI. Nello stesso giorno in cui OpenAI rendeva pubbliche la precauzioni su Astra, Donald Trump accusava il Congresso di voler regolamentare l’industria dell’AI out of business. Da una parte, quindi, deregolamentazione e accelerazione come strumenti di politica industriale; dall’altra, un controllo crescente dei modelli più avanzati quando entrano nel perimetro della sicurezza nazionale.

Non è necessariamente una contraddizione, è piuttosto il segnale che negli Stati Uniti stanno iniziando a separarsi due piani della politica sull’AI: quello della regolazione economica, sulla quale l’amministrazione continua a rivendicare un approccio leggero, quello della sicurezza, dove la crescita delle capacità dei modelli sta invece spingendo verso forme di supervisione che fino a pochi mesi fa sarebbero state difficili da immaginare.

Cosa prevede l’Executive Order 14409

Il framework ora finalizzato si collega a un Executive Order di Trump del 2 giugno sui modelli di frontiera. Stabilisce invece che il governo costruisca un sistema di benchmarking classificato: una serie di test riservati destinati a misurare capacità cyber particolarmente avanzate e a individuare la soglia oltre la quale un modello viene considerato, ai fini dell’ordine, un covered frontier model.

La distinzione è importante. Non tutti i modelli avanzati entrano automaticamente nel nuovo meccanismo. Il criterio dovrebbe essere legato alle capacità che dimostrano di possedere, in particolare, alla possibilità che possano essere utilizzati per operazioni informatiche con implicazioni per la sicurezza nazionale.

Anche quando quella soglia viene superata, il meccanismo previsto rimane volontario (anche se alcuni esperti ritengono fittizia questa volontarietà: Trump ha già mostrato di potere sospendere l’offerta di un modello come Fable, facendo leva sul regole per il controllo dell’export). Il produttore può concedere al governo un accesso sicuro al modello fino a trenta giorni prima di renderlo disponibile ad altri trusted partner, consentendo alle agenzie competenti di valutarne le capacità. L’ordine precisa, inoltre, ciò che questo processo non deve diventare: non un sistema obbligatorio di licensing, non un’autorizzazione preventiva e non una pre-clearance necessaria per portare un modello sul mercato. Assomiglia quindi più a un meccanismo di early warning e valutazione anticipata che a un permesso di immissione.

C’è però un elemento che l’Executive Order non stabilisce: l’esclusione dei modelli open-weight. La scelta è emersa successivamente, durante l’incontro del 4 agosto, quando l’amministrazione ha comunicato alle aziende che il processo di valutazione avrebbe riguardato i modelli chiusi e non quelli i cui pesi vengono resi disponibili.

Una distinzione importante anche per capire il dibattito che si è aperto. L’esclusione degli open-weight non deriva infatti necessariamente dall’architettura dell’Executive Order, è una scelta politica e attuativa. Proprio questa scelta solleva la questione centrale: ha ancora senso utilizzare il grado di apertura del modello come criterio per stabilire dove concentrare i controlli, oppure il criterio dovrebbe essere ciò che quel modello è effettivamente capace di fare?

È da qui che la distinzione tra modelli aperti e chiusi comincia a mostrare i suoi limiti.

Astra: un primo test del meccanismo

Fino a pochi giorni fa il meccanismo dell’Executive Order era soprattutto un disegno istituzionale. Il caso Astra gli ha dato un primo banco di prova pubblico. OpenAI ha dichiarato che le valutazioni interne mostrano avanzamenti tali da non poter escludere il livello critical. Nel suo Preparedness Framework, quella soglia comprende la capacità di individuare e sviluppare exploit zero-day contro numerosi sistemi reali ben protetti senza intervento umano, oppure di condurre nuove strategie di attacco end-to-end contro target hardened. La reazione dell’azienda è stata sospendere le attività interne su Astra che non rispettano i controlli rafforzati.

Il dato analiticamente rilevante è un altro: OpenAI ha dichiarato che lavorerà con agenzie governative e organizzazioni di sicurezza selezionate per testare il modello. Non è la prova che l’Executive Order sia già diventato un regime consolidato; è però un caso pubblico che sembra collocarsi nel canale previsto dall’ordine: accesso volontario pre-rilascio e valutazione esterna di capacità rilevanti per la sicurezza nazionale. Scatta per la via della capacità, non per quella dell’apertura del modello.

Quando il rischio AI smette di essere teorico

Il nuovo sistema di valutazione americano nasce mentre stanno aumentando le evidenze sulle capacità operative dei modelli più avanzati. Il caso Astra è il più recente, ma non è isolato. Negli ultimi mesi diversi test di sicurezza hanno mostrato che, quando un modello di AI viene dotato della possibilità di utilizzare strumenti informatici e di compiere autonomamente una sequenza di azioni, può arrivare a fare cose che vanno oltre la semplice produzione di testo o codice.

Una parte importante di queste valutazioni è stata condotta nel Regno Unito dall’AI Security Institute, organismo pubblico britannico nato con il compito di studiare le capacità e i possibili rischi dei sistemi di AI più avanzati. L’istituto sottopone i modelli sviluppati dalle principali aziende a prove costruite appositamente per capire che cosa siano in grado di fare in ambiti considerati sensibili, tra cui la cybersecurity. Non si tratta di test che riproducono il normale utilizzo di ChatGPT o di altri chatbot. In alcune prove il modello viene inserito all’interno di un sistema agentico: non deve soltanto rispondere a una domanda, ma riceve un obiettivo da raggiungere e può utilizzare strumenti, eseguire codice, consultare informazioni e scegliere autonomamente quali azioni compiere e in quale sequenza. La differenza è sostanziale. Chiedere a un modello come potrebbe essere sfruttata una vulnerabilità informatica significa valutarne la conoscenza. Dargli accesso a un computer e agli strumenti necessari per cercare quella vulnerabilità, sviluppare un attacco e provare a eseguirlo significa misurarne la capacità di trasformare quella conoscenza in azione. È questo secondo tipo di capacità che gli istituti di sicurezza stanno cercando di comprendere.

In una serie di test sulla cybersecurity, l’AI Security Institute britannico ha quindi collocato modelli avanzati sviluppati da OpenAI e Anthropic in ambienti nei quali potevano svolgere autonomamente compiti informatici complessi. Per osservare le loro capacità massime, gli sperimentatori avevano deliberatamente concesso agli agenti l’accesso a Internet e avevano rimosso alcuni dei sistemi di sicurezza normalmente applicati dai produttori.

Un dettaglio essenziale per interpretare correttamente ciò che è successo. Quegli agenti non operavano nelle stesse condizioni nelle quali un normale utente accede ai servizi commerciali di OpenAI o Anthropic. Erano stati intenzionalmente collocati in un ambiente più permissivo proprio per verificare fin dove potessero arrivare.

Durante queste prove alcuni agenti hanno compiuto azioni che gli sperimentatori non avevano previsto. In un caso, per esempio, un agente ha cercato di modificare un progetto software open source realmente esistente, creando identità fittizie e tentando di convincere uno dei responsabili del progetto ad accettare codice malevolo.

Episodi di questo tipo sono stati descritti in alcuni casi come esempi di AI che sarebbero fuggite dai propri ambienti di test. La rappresentazione è suggestiva, ma poco precisa. Nel caso dell’AI Security Institute britannico non c’è stato un modello che ha infranto una barriera tecnica per uscire da un ambiente completamente isolato, quella che in informatica viene spesso chiamata sandbox. Gli agenti avevano già accesso a Internet perché gli sperimentatori avevano deciso di concederglielo. Il risultato interessante è un altro: una volta ricevuto un obiettivo e messi a disposizione strumenti e possibilità di azione, alcuni sistemi hanno individuato autonomamente percorsi che chi aveva progettato il test non aveva previsto.

Altri episodi emersi nello stesso periodo presentano caratteristiche ancora diverse. In una valutazione che coinvolgeva un modello OpenAI, per esempio, un agente è riuscito a sfruttare una vulnerabilità dell’ambiente utilizzato per il test e a raggiungere sistemi esterni. In altre prove condotte sui modelli di diverse aziende, la possibilità di accedere alla rete era invece collegata anche a errori nella configurazione degli ambienti di valutazione.

Diversi di questi episodi sono ormai documentati. A luglio due modelli di OpenAI sono usciti dal proprio ambiente di test, hanno raggiunto Internet e violato Hugging Face, fornitore di strumenti open source per l’AI; il modello Astra non era coinvolto. Poco dopo Anthropic ha riferito che alcuni suoi modelli avevano violato tre aziende nel corso di test condotti ad aprile. Meta ha confermato la segnalazione, da parte di una società di testing indipendente, di un proprio modello che aveva superato i vincoli dell’ambiente di prova. La società di sicurezza Frontier Security ha rilevato che il modello Kimi K3 della cinese Moonshot AI era a sua volta uscito dalla sandbox per accedere alla rete. Sono casi con dinamiche diverse, ma convergono su un punto: mantenere questi sistemi entro i confini previsti sta diventando più difficile.

Non siamo quindi davanti a un unico fenomeno che possa essere semplicemente classificato come AI che scappa. Ci sono capacità del modello, configurazioni degli ambienti, livelli di autonomia e sistemi di sicurezza differenti. Ed è proprio questa distinzione che rende importante ciò che OpenAI ha comunicato a proposito di Astra.

Astra è un modello ancora in sviluppo. OpenAI ha dichiarato che i risultati delle proprie valutazioni non permettono di escludere che abbia raggiunto quella che l’azienda definisce una soglia critical nelle capacità cyber. Con questa espressione OpenAI indica un livello nel quale un sistema potrebbe arrivare a individuare vulnerabilità importanti e a condurre operazioni informatiche complesse contro sistemi reali con un grado elevato di autonomia.

La conseguenza non è stata il blocco dello sviluppo del modello. OpenAI ha invece rafforzato le misure di sicurezza e ha sospeso le attività interne che non rispettano quei nuovi controlli, prevedendo ulteriori valutazioni prima di allargare l’accesso.

Vale la pena notare una sfumatura. Il Preparedness Framework di OpenAI prevede che, al raggiungimento della soglia critical, lo sviluppo venga sospeso finché le tutele non raggiungono uno standard adeguato; la misura effettivamente adottata è stata più circoscritta, e l’azienda ha dichiarato di continuare a valutare il modello. Alcuni ricercatori di sicurezza hanno inoltre osservato che la decisione è arrivata tardi, dopo le prime violazioni degli ambienti di test emerse nelle settimane precedenti, e che episodi simili indeboliscono l’affidamento sulla capacità delle aziende di autoregolarsi.

Astra rende quindi concreta la questione alla quale l’Executive Order americano cerca di rispondere: che cosa deve succedere quando un modello sviluppa capacità potenzialmente rilevanti per la sicurezza nazionale prima ancora che venga distribuito su larga scala.

Perché escludere i modelli open-weight

Il sistema presentato dalla Casa Bianca il 4 agosto dovrebbe riguardare, almeno inizialmente, i modelli cosiddetti closed, cioè quelli che rimangono sotto il controllo dello sviluppatore e vengono normalmente utilizzati attraverso servizi online o API.

Un’API è, in questo caso, il canale attraverso il quale un’azienda permette ad altri software di utilizzare il proprio modello senza consegnarne direttamente i componenti fondamentali. OpenAI o Anthropic, per esempio, possono offrire l’accesso a un modello mantenendolo sui propri server e conservando quindi la possibilità di controllarne l’utilizzo.

Dall’altra parte ci sono i modelli open-weight. Significa che lo sviluppatore rende disponibili i pesi, cioè i parametri numerici appresi dal modello durante l’addestramento. Chi li scarica può eseguire il modello sulle proprie infrastrutture, modificarlo o integrarlo in altri sistemi senza dover passare continuamente attraverso i server dell’azienda che lo ha sviluppato.

Open-weight e open source non sono necessariamente sinonimi. Rendere disponibili i pesi non significa sempre rendere pubblici anche il codice utilizzato per l’addestramento, i dati o ogni altro elemento necessario a ricostruire completamente il modello. Ma dal punto di vista della sicurezza la caratteristica importante è che, una volta distribuiti i pesi, il produttore perde gran parte della capacità di controllare gli utilizzi successivi.

La decisione americana di escludere questi modelli ha una spiegazione immediata. I sistemi che oggi si trovano alla frontiera delle capacità appartengono prevalentemente ai grandi laboratori che mantengono chiusi i propri modelli. Se l’obiettivo è individuare rapidamente quelli che potrebbero raggiungere capacità cyber rilevanti per la sicurezza nazionale, è ragionevole partire da lì.

Il problema è che questa fotografia sta cambiando.

L’AI Security Institute britannico ha provato a misurare quanto siano distanti i migliori modelli open-weight dai modelli più avanzati disponibili attraverso servizi chiusi. Le sue valutazioni indicano che il divario si sta riducendo. Durante buona parte del 2025 i migliori modelli aperti mostravano capacità paragonabili a quelle raggiunte dai modelli di frontiera diversi mesi prima. Nel 2026 questo ritardo si sarebbe ridotto ulteriormente.

Non significa che open e closed siano già equivalenti. Significa però che il modo in cui un modello viene distribuito dice sempre meno su quanto quel modello possa diventare capace.

E c’è un secondo problema. Un modello chiuso può essere estremamente potente, ma rimane almeno in parte sotto il controllo dell’azienda che lo gestisce. Il produttore può osservare gli utilizzi anomali, modificare i sistemi di sicurezza, impedire alcune operazioni, sospendere un account o, nei casi più estremi, impedire l’accesso al modello.

Con un modello open-weight la situazione cambia. Una volta che i pesi sono stati scaricati e copiati, il produttore non può più sapere necessariamente dove venga utilizzato il modello, quali protezioni siano state rimosse o quali modifiche siano state apportate. E soprattutto non può richiamarlo. Si crea così un paradosso nel framework americano.

I modelli attualmente più potenti entrano nel sistema di valutazione, ma sono anche quelli sui quali il produttore conserva maggiore capacità di intervento. I modelli per ora leggermente meno capaci vengono esclusi, nonostante possano diventare molto più difficili da controllare una volta distribuiti. Il problema diventerebbe evidente se il divario di capacità tra le due categorie continuasse a diminuire.

Dal tipo di modello alle sue capacità

Anthropic, pur essendo uno dei principali sviluppatori di modelli chiusi, ha proposto di utilizzare un criterio differente. La posizione sostenuta dall’azienda non è che tutti i modelli open-weight siano pericolosi né che debbano essere vietati. I modelli aperti possono avere un ruolo importante nella ricerca, nell’innovazione, nella concorrenza e nella possibilità per organizzazioni più piccole di sviluppare applicazioni senza dipendere completamente dai grandi fornitori tecnologici. La proposta è piuttosto quella di stabilire determinate soglie di capacità. Quando un modello, aperto o chiuso, dimostra di poter superare quelle soglie in ambiti considerati particolarmente sensibili, dovrebbe essere sottoposto a valutazioni di sicurezza prima del rilascio. La distinzione cambia così natura, non più: quanto è aperto il modello, ma che cosa è capace di fare?

Si tratta di una distinzione apparentemente semplice, ma sposta il problema regolatorio. Bisogna decidere quali capacità siano abbastanza rilevanti da richiedere controlli, costruire test attendibili per misurarle e stabilire che cosa debba succedere quando una determinata soglia viene superata. Ed è esattamente ciò che l’amministrazione americana sta cercando di iniziare a fare con il nuovo sistema di benchmarking.

Il problema della segretezza

Qui emerge un altro elemento caratteristico della scelta americana. L’Executive Order prevede che il processo utilizzato per valutare le capacità cyber più sensibili sia classificato, cioè coperto dalle regole previste negli Stati Uniti per le informazioni che riguardano la sicurezza nazionale. La ragione è comprensibile. Un test progettato per stabilire se un modello sappia individuare o sfruttare determinate vulnerabilità potrebbe contenere informazioni che sarebbe rischioso rendere pubbliche. Pubblicare nel dettaglio le tecniche utilizzate, i punti deboli individuati o le soglie considerate particolarmente sensibili potrebbe trasformare uno strumento di sicurezza in una fonte di informazioni utilizzabile anche da potenziali attaccanti. Il problema della trasparenza si pone però a un livello diverso. Una cosa è mantenere segreto il contenuto tecnico dei test. Un’altra è mantenere poco trasparenti anche i criteri attraverso i quali si decide quali modelli debbano essere valutati, quali aziende partecipino al processo e quali conseguenze possano derivare dai risultati. È su questo secondo livello che sono emerse le critiche. Il rischio è che un sistema costruito attraverso il confronto tra il governo e un piccolo numero di grandi laboratori produca regole conosciute soprattutto dagli stessi soggetti ai quali quelle regole devono essere applicate. La questione diventa quindi: quanta parte del test deve essere segreta e quanta parte della governance può invece essere pubblica?

Due sistemi di governance negli stessi Stati Uniti

La particolarità della fase americana emerge ancora più chiaramente osservando ciò che sta facendo contemporaneamente il National Institute of Standards and Technology, il NIST, l’agenzia federale che sviluppa standard e metodologie tecniche utilizzate dall’industria e dalle amministrazioni pubbliche. Il 7 agosto il NIST ha aperto alla consultazione pubblica la prima versione del TEVV-Athlon Framework. L’acronimo TEVV indica testing, evaluation, verification and validation: in sostanza, l’insieme delle attività attraverso le quali si cerca di verificare in modo strutturato come funziona un sistema di AI, quanto siano affidabili le sue prestazioni e quali limiti presenti. In questo caso il metodo seguito è quasi opposto a quello utilizzato per i rischi di sicurezza nazionale. Il documento è pubblico, viene sottoposto al commento di aziende, ricercatori e altri soggetti interessati e punta a costruire standard condivisi. Negli Stati Uniti stanno quindi prendendo forma due livelli differenti di governance dell’AI. Il primo riguarda l’ecosistema dell’AI in senso ampio ed è basato su standard pubblici, metodologie condivise e consultazione.

Il secondo riguarda un numero molto più ristretto di modelli le cui capacità potrebbero avere conseguenze per la sicurezza nazionale. In questo caso il processo diventa classificato, il confronto si concentra sui principali laboratori di frontiera e una parte delle informazioni rimane necessariamente riservata. Non sono necessariamente due politiche in contraddizione, rispondono a rischi diversi. La questione sarà stabilire dove passa il confine tra i due livelli e, soprattutto, quanto crescerà il numero di modelli destinati a entrare nel secondo.

Regole AI di frontiera, la scelta europea è diversa

Il confronto con l’Unione europea rende ancora più evidente la specificità dell’approccio americano. L’AI Act europeo utilizza il termine General Purpose AI, GPAI, per indicare i modelli di intelligenza artificiale in grado di svolgere una vasta gamma di compiti e di essere integrati in numerose applicazioni differenti. All’interno di questa categoria il regolamento individua anche i modelli che possono presentare un rischio sistemico, cioè capacità o caratteristiche tali da poter produrre conseguenze rilevanti su larga scala. Per questi modelli gli obblighi aumentano. I fornitori devono effettuare valutazioni, eseguire test e prove costruite appositamente per cercare vulnerabilità e comportamenti problematici, valutare e mitigare i rischi sistemici, segnalare gli incidenti gravi e adottare misure adeguate di cybersecurity.

La differenza rispetto agli Stati Uniti emerge soprattutto nella gestione dei modelli aperti. L’AI Act prevede alcune semplificazioni per determinati modelli distribuiti come free e open source. Ma queste facilitazioni non eliminano gli obblighi più stringenti quando un modello viene considerato portatore di rischio sistemico. Il principio europeo è quindi sostanzialmente questo: l’apertura del modello può modificare alcuni obblighi, ma non lo sottrae alla disciplina prevista quando le sue capacità raggiungono un livello considerato sistemicamente rilevante. Il confronto tra le due sponde dell’Atlantico non può essere ridotto alla formula secondo cui l’Europa regola mentre gli Stati Uniti lasciano fare al mercato. Anche Washington sta costruendo forme di controllo, la differenza è nel modo in cui lo sta facendo. L’Unione europea inserisce la valutazione dei modelli più avanzati all’interno di un quadro normativo generale, formalizzato e vincolante. Gli Stati Uniti stanno costruendo, almeno per ora, un meccanismo molto più circoscritto, volontario e collegato direttamente alla sicurezza nazionale.

Ed è significativo che questo stia avvenendo sotto un’amministrazione che continua contemporaneamente a indicare la riduzione della regolamentazione come uno degli strumenti necessari per mantenere il vantaggio americano nella competizione globale sull’AI.

Il modello, da solo, non basta più

Resta però una questione che né la distinzione americana tra closed e open-weight né quella europea tra modelli ordinari e modelli a rischio sistemico risolvono completamente. I test degli ultimi mesi mostrano che conoscere le capacità di un modello è necessario, ma potrebbe non essere sufficiente. Lo stesso modello può infatti comportarsi in modi molto diversi a seconda del sistema nel quale viene inserito. Un modello utilizzato attraverso una normale interfaccia conversazionale riceve una domanda e produce una risposta.

Un sistema agentico può invece ricevere un obiettivo, pianificare una sequenza di operazioni, utilizzare programmi esterni, navigare in rete, scrivere ed eseguire codice, accedere a database o altri servizi e modificare il proprio piano sulla base di ciò che incontra durante l’esecuzione.

A fare la differenza non è quindi soltanto l’intelligenza del modello. Contano anche gli strumenti ai quali può accedere, i permessi di cui dispone, le credenziali che gli vengono affidate, la possibilità di collegarsi a Internet, il tempo durante il quale può agire autonomamente e i sistemi utilizzati per controllarne le azioni. Esattamente ciò che emerge dalle valutazioni cyber britanniche. Il comportamento osservato non può essere spiegato soltanto dicendo che il modello era molto capace. Bisogna sapere che cosa gli era stato chiesto di fare, quali strumenti gli erano stati messi a disposizione e quali limitazioni erano state rimosse. Vale anche il contrario. Un modello molto potente può presentare rischi profondamente differenti se viene utilizzato all’interno di un sistema strettamente controllato oppure se dispone di strumenti, rete e ampia autonomia.

La distinzione rilevante diventa quindi almeno doppia: che cosa è capace di fare il modello? E che cosa è in grado di fare il sistema nel quale quel modello viene inserito?

È qui che la svolta americana mostra insieme la propria importanza e il proprio limite.

L’Executive Order 14409 riconosce un principio che fino a poco tempo fa sarebbe stato molto più controverso negli Stati Uniti: alcune capacità dei modelli più avanzati possono diventare sufficientemente rilevanti per la sicurezza nazionale da giustificare una valutazione prima della loro diffusione più ampia. Si tratta di un cambiamento significativo, soprattutto all’interno di una politica che continua contemporaneamente a considerare l’accelerazione dell’AI una priorità strategica nella competizione con la Cina. Ma la distinzione iniziale tra modelli chiusi e open-weight rischia di fotografare soprattutto il mercato così come è organizzato oggi. Se i modelli open-weight continueranno ad avvicinarsi alla frontiera, la forma attraverso la quale vengono distribuiti non potrà essere il criterio principale per decidere quali sistemi meritino maggiore attenzione. Se continuerà lo sviluppo dei sistemi agentici, anche misurare soltanto le capacità del modello potrebbe non bastare.

La governance dovrà progressivamente considerare la capacità effettivamente dispiegabile: non soltanto il modello, ma il modello insieme agli strumenti che può utilizzare, ai permessi che riceve, alla rete alla quale può accedere, al livello di autonomia che gli viene concesso e ai sistemi attraverso i quali le sue azioni vengono monitorate. Questo è probabilmente il passaggio più importante che gli episodi delle ultime settimane lasciano intravedere. La domanda iniziale era se controllare i modelli aperti oppure quelli chiusi. La domanda che sta emergendo è più difficile: quando un sistema di AI diventa abbastanza capace di agire nel mondo da richiedere forme specifiche di controllo, indipendentemente dal modo in cui il modello che lo alimenta viene distribuito?