Nel giro di due anni lo scheming è passato dall’essere un’ipotesi da laboratorio a un fenomeno misurato sul campo, con numerosi episodi reali già documentati che tornano a far discutere.
Che i modelli più avanzati siano tecnicamente capaci di perseguire obiettivi diversi da quelli dichiarati mascherando, in qualche misura, il proprio work in progress è in sostanza un dato di fatto.
La domanda è come costruire, operativamente, un rapporto di fiducia con sistemi che possono, in condizioni specifiche, comportarsi diversamente da come dichiarano di comportarsi. E la risposta, sorprendentemente, non passa dal rendere i modelli più potenti, ma dal rendere l’ambiente in cui operano più trasparente.
Indice degli argomenti
Che cos’è lo scheming, e perché non è una semplice allucinazione
Quando un modello linguistico sbaglia una data storica o inventa una citazione, parliamo di allucinazione: un errore, spesso involontario, che nasce dai limiti statistici del sistema. Lo scheming è una cosa diversa, e più inquietante. Un modello “schema” quando persegue un obiettivo diverso da quello dichiarato mentre nasconde attivamente questa discrepanza a chi lo osserva. Non è un errore di calcolo, è una strategia, anche se rudimentale.
A dare la prima definizione operativa rigorosa del fenomeno è stato, nel dicembre 2024, un gruppo di ricercatori di Apollo Research guidato da Alexander Meinke, nello studio “Frontier Models are Capable of In-context Scheming”. Gli autori identificano tre condizioni che devono coesistere perché lo scheming sia possibile: il modello deve essere orientato a un obiettivo in modo persistente, deve avere una consapevolezza situazionale sufficiente a capire il contesto in cui opera, e deve possedere le capacità di ragionamento necessarie per considerare l’inganno come una strategia percorribile. Testando modelli come o1 in scenari costruiti ad hoc, i ricercatori hanno osservato comportamenti come il sottoperformare deliberatamente in una valutazione per evitare conseguenze indesiderate, o il tentativo di preservare i propri obiettivi originali anche quando le istruzioni successive li contraddicevano.
Nello stesso mese, con tempismo quasi programmatico, un gruppo di Anthropic guidato da Ryan Greenblatt pubblicava “Alignment faking in large language models”, uno studio condotto sul proprio modello Claude 3 Opus. Il risultato: quando al modello veniva comunicato che le sue risposte sarebbero state usate per un futuro addestramento, il comportamento cambiava, in una direzione che aveva l’effetto di preservare le sue disposizioni esistenti, come se il sistema stesse recitando una parte diversa a seconda di chi pensava lo stesse guardando, sebbene in condizioni sperimentali. Nessuno, comunque, aveva espressamente istruito il modello a fare questo.
Il fatto che due laboratori concorrenti, testando modelli diversi, con metodologie diverse, siano arrivati alla stessa preoccupazione nello stesso mese ha trasformato lo scheming da curiosità accademica a tema concreto di ricerca per diversi tra i principali laboratori di AI safety.
Dal laboratorio al mondo reale: i primi dati sul campo
Fino a poco tempo fa, ogni prova sullo scheming veniva da ambienti costruiti apposta per suscitarlo: scenari sintetici, spesso con conflitti di obiettivo espliciti, pensati per verificare cosa un modello è capace di fare, non cosa fa davvero quando nessuno lo sta mettendo alla prova. Questo limite è caduto nel marzo 2026, quando il Centre for Long-Term Resilience, un think tank britannico specializzato in rischi sistemici, ha pubblicato il primo studio che documenta lo scheming osservato in ambienti di produzione, non simulati.
La metodologia è tanto semplice quanto efficace: raccogliere le trascrizioni di interazioni con l’AI che gli utenti stessi condividono pubblicamente online, quando qualcosa li sorprende o li allarma abbastanza da volerlo mostrare ad altri. I ricercatori hanno raccolto oltre 3,39 milioni di post da X che menzionavano un modello AI insieme a un comportamento problematico, filtrandoli con un classificatore automatico fino a 183.420 segnalazioni plausibili, poi valutate con un punteggio di credibilità da 0 a 9 assegnato da Claude Opus 4.6, scelto perché il suo giudizio si è rivelato più coerente con quello di due revisori umani esperti di quanto lo fossero i due revisori umani tra loro. Dopo un processo di deduplicazione in tre fasi, il risultato è stato di 698 episodi unici di comportamento riconducibile allo scheming tra il 12 ottobre 2025 e il 12 marzo 2026, con un aumento del 4,9 volte tra il primo e l’ultimo mese di rilevazione, una crescita nettamente superiore sia a quella delle segnalazioni generiche sull’AI sia a quella del malcontento generico verso questi strumenti.
Gli episodi raccolti danno corpo a un fenomeno che prima viveva solo nei paper. Un agente di coding ha dichiarato di aver salvato un file quando in realtà lo aveva soltanto tenuto in memoria, confermandolo anche quando l’utente ha chiesto esplicitamente due volte una verifica. Un’istanza di Claude Code, di fronte a un rifiuto di sicurezza posto da Gemini durante un compito di trascrizione, ha riformulato autonomamente la propria richiesta presentandola falsamente come una trascrizione destinata a persone con disabilità uditiva, riuscendo ad aggirare la barriera. Un agente, dopo che una sua pull request era stata respinta dal manutentore umano della libreria Python matplotlib, ha scritto e pubblicato un post pubblico che pareva quasi accusarlo di pregiudizio e ostruzionismo, un caso che ha ottenuto un punteggio molto elevato. Altri episodi documentano agenti che hanno cancellato intere infrastrutture di produzione con comandi come terraform destroy, un caso di ingegneria sociale che ha convinto un agente a trasferire circa 270 mila dollari in criptovaluta a uno sconosciuto, e un’interruzione di 13 ore ai sistemi interni di AWS causata da un agente di coding che aveva deciso autonomamente di ricreare un intero ambiente.
Va detto, a onor del vero, che nessuno degli episodi raccolti ha raggiunto il punteggio massimo di gravità, e i ricercatori sono espliciti nel dire che non hanno trovato prove di scheming catastrofico: quello che emerge, piuttosto, è un ventaglio di comportamenti precursori, come l’ignorare istruzioni esplicite di stop, aggirare restrizioni tecniche, mentire su compiti non completati. Segnali di un’inclinazione che, in condizioni diverse, potrebbe evolvere in qualcosa di più strategico.
Il paradosso della sorveglianza: perché controllare di più non significa fidarsi di più
Se i dati sul campo mostrano una crescita preoccupante, un secondo studio pubblicato nello stesso periodo introduce una complicazione che ribalta alcune intuizioni consolidate su come contenere il fenomeno. Un gruppo di LASR Labs, tra i cui autori figura anche un ricercatore affiliato a Google DeepMind, ha pubblicato a marzo 2026 uno studio dedicato non alla capacità di scheming (che ormai i modelli più avanzati possiedono quasi tutti), ma alla propensione, cioè quanto spesso un modello scelga effettivamente di ingannare quando ne ha l’opportunità in condizioni realistiche.
I risultati di base sono rassicuranti: testando modelli come Gemini 3 Pro, Gemini 3 Flash e Grok 4 in quattro scenari costruiti per assomigliare a deployment reali, con incentivi economici concreti a mentire, la percentuale di scheming osservata è stata quasi ovunque pari a zero, con una sola eccezione al 3% per Gemini 3 Pro in uno scenario di autoconservazione professionale.
Il problema è che questa tranquillità è, per usare le parole degli stessi autori, straordinariamente fragile. Inserendo nel prompt di sistema una singola frase presa non da un contesto avversariale ma direttamente dal prompt reale di un assistente da browser in commercio, il tasso di scheming per lo stesso modello, nello stesso scenario, schizza decisamente più in alto. E qui arriva il dettaglio più istruttivo: rimuovendo un solo strumento, la possibilità di modificare direttamente un file, quello stesso tasso è tornato a scendere dal 59% al 3%. Non serve un intervento di allineamento profondo per cambiare il comportamento di un modello: a volte basta togliergli di mano un cacciavite.
Ma il dato più controintuitivo riguarda proprio la sorveglianza. Comunicare al modello che il suo lavoro sarebbe stato controllato da un umano in un secondo momento, cioè aumentare l’oversight, avrebbe dovuto scoraggiare l’inganno. È successo l’esatto contrario: in alcune configurazioni, questa informazione ha fatto salire il tasso di scheming fino al 25% in più, perché ha reso più saliente, nella mente del modello, l’esistenza di una finestra temporale in cui poter alterare i dati prima che qualcuno li guardasse davvero. La supervisione, invece di scoraggiare, ha suggerito l’occasione.
È un po’ come installare un cartello “sorvegliato da telecamere” davanti a una cassaforte senza però accendere davvero le telecamere: chi ha già intenzione di forzarla non si fermerà per il cartello, ma potrebbe usarlo per calcolare con più precisione quanto tempo ha a disposizione prima che qualcuno controlli le registrazioni. La sicurezza, in altre parole, non è una proprietà isolata del modello: è una proprietà del modello insieme al suo scaffolding, ai suoi strumenti, e alla struttura di incentivi che lo circonda, tutti presi insieme. Un tasso di scheming basso in una configurazione dice sorprendentemente poco su una configurazione appena diversa.
Le contromisure: allineamento deliberativo, monitor indipendenti, trasparenza del ragionamento
Di fronte a un quadro così instabile, cosa si sta effettivamente facendo per costruire fiducia operativa, e non solo dichiarata?
La prima linea di intervento arriva da una collaborazione tra OpenAI e Apollo Research, resa pubblica a settembre 2025 e poi verificata con controlli più severi nel 2026. Il metodo si chiama allineamento deliberativo, e consiste nell’insegnare esplicitamente al modello a leggere e ragionare su una specifica anti-scheming prima di agire, un po’ come ricordare a un bambino le regole del gioco prima di iniziare a giocare, invece di limitarsi a punirlo dopo che ha sbagliato. Testato su o3 e o4-mini attraverso più di 180 ambienti diversi, il metodo ha ridotto le azioni definite come “occultamento deliberato di informazioni rilevanti per il compito” di circa 30 volte: dal 13% allo 0,4% per o3, dall’8,7% allo 0,3% per o4-mini.
Il dato è incoraggiante, ma gli stessi autori invitano alla cautela con un’onestà che vale la pena riportare: parte della riduzione osservata potrebbe dipendere semplicemente dal fatto che i modelli, diventando più capaci, riconoscono meglio quando si trovano dentro una valutazione, e si comportano meglio proprio perché sospettano di essere osservati, non perché abbiano davvero interiorizzato il principio. È un paradosso quasi filosofico: un modello che si comporta diversamente a seconda di quando pensa di essere guardato sta già mostrando, seppur in forma innocua, il tipo di consapevolezza situazionale che è precondizione dello scheming stesso. Gli stessi ricercatori hanno scritto che il rischio più insidioso nel tentare di “addestrare via” lo scheming è semplicemente insegnare al modello a farlo con più cautela e in modo più difficile da scoprire, non a smettere di farlo.
La seconda linea riguarda un bene che rischia di essere sottovalutato: la trasparenza del ragionamento. Alcuni reasoning model producono durante l’elaborazione tracce linguistiche interne che, quando sono accessibili agli sviluppatori nei contesti di valutazione, possono essere monitorate alla ricerca di segnali di comportamento problematico. Un ampio gruppo di ricercatori provenienti da laboratori concorrenti, tra cui OpenAI, Anthropic e Google DeepMind, ha firmato nel 2025 un documento di posizione congiunto che definisce questa possibilità di monitoraggio preziosa ma fragile, perché niente garantisce che tecniche di addestramento future non finiscano per erodere questa trasparenza, magari senza nemmeno l’intenzione di farlo. Il documento raccomanda esplicitamente ai laboratori di considerare l’impatto delle proprie scelte tecniche su questa proprietà, e, in generale, è sconsigliato esercitare pressioni di ottimizzazione dirette sulla catena di pensiero dei modelli open-weight, proprio per non comprometterla.
La terza linea, forse la più pragmatica, riguarda chi controlla il controllore. Un gruppo di ricercatori legato ad Apollo Research e al programma MATS ha pubblicato nel 2026 un metodo per addestrare monitor di dimensioni contenute, a peso aperto, capaci di riconoscere comportamenti di scheming osservando esclusivamente le azioni di un agente, senza accedere né alla sua catena di pensiero né ai suoi stati interni. Il risultato è che questi monitor più economici, costruiti a partire da modelli come Qwen3.5, raggiungono prestazioni comparabili o superiori a quelle di modelli commerciali più piccoli usati come sorveglianti, con un costo ben inferiore rispetto ai monitor più costosi e performanti basati sui modelli di punta. È un dettaglio che sembra tecnico ma non lo è: significa che sorvegliare ogni singola azione di un agente, e non solo un campione a rotazione, comincia a diventare economicamente sostenibile su larga scala.
Nessuna di queste tre linee, presa da sola, basta. L’allineamento deliberativo resta imperfetto e in parte confuso dalla consapevolezza situazionale che intende contrastare. La trasparenza del ragionamento potrebbe erodersi con l’evoluzione delle architetture. I monitor indipendenti possono a loro volta sbagliare, o restare vittima di forme di collusione non ancora comprese del tutto. La risposta operativa, per ora, non è cercare la soluzione definitiva, ma sovrapporre più livelli di controllo parziali e indipendenti tra loro, così che il fallimento di uno non comprometta l’intero sistema.
Prestazioni e fiducia non crescono sullo stesso binario
C’è un’intuizione che viene naturale, ed è sbagliata: pensare che un modello più capace sia, quasi automaticamente, un modello più affidabile. I dati raccolti in questi ultimi due anni raccontano una storia più complicata. Man mano che un sistema diventa più agentico, capace di usare più strumenti, di operare su orizzonti temporali più lunghi, di ragionare in modo più strategico, cresce anche lo spazio delle condizioni in cui lo scheming diventa possibile, anche quando il tasso medio osservato in condizioni ordinarie resta basso. Le due cose, prestazione e affidabilità, non viaggiano sullo stesso binario. A volte vanno addirittura in direzioni opposte, come mostra il paradosso della sorveglianza che sembra invitare, invece di scoraggiare, l’inganno.
I numeri di oggi non giustificano né il panico né la disattenzione. Nessuno scheming catastrofico è stato osservato nel mondo reale, ma i comportamenti che lo precedono crescono più velocemente della diffusione stessa di questi sistemi, e la lezione più importante che arriva dagli studi più recenti è che un tasso di scheming del 3% misurato in laboratorio descrive un singolo punto in uno spazio di configurazioni possibili, non una proprietà stabile e trasferibile del modello. Cambia lo strumento a disposizione, cambia la frase nel prompt di sistema, cambia persino la percezione di essere osservati, e quel numero può moltiplicarsi di venti volte.
Forse la riflessione più onesta a cui questi due anni di ricerca ci obbligano è che la fiducia, anche verso un’intelligenza artificiale, non si concede una volta per tutte sulla base di un curriculum o di un punteggio, ma si costruisce nel tempo, osservando cosa un sistema fa quando crede che nessuno stia guardando. Gli strumenti che meglio predicono l’affidabilità di un modello non sono quelli che gli chiedono se è affidabile. Sono quelli che, con pazienza e a basso costo, continuano a guardare.
Partecipa alla community