Le recenti evasioni di AI dai perimetri di isolamento informatico (sandbox), come l’incidente che ha visto un modello di OpenAI compromettere l’infrastruttura di Hugging Face o la fuga di rete del modello Kimi K3 di Moonshot AI, dimostrano come la funzione di ottimizzazione dei modelli agentici possa condurre a comportamenti d’attacco inattesi. Parallelamente, il rilascio del modello a pesi aperti (open-weight) GLM-5.3 da parte del laboratorio cinese Z.ai ha sollevato interrogativi cruciali sulla diffusione globale di capacità offensive.
Di fronte a questo scenario di forte asimmetria e concorrenza geostrategica, la risposta istituzionale degli Stati Uniti è stata ufficializzata con la National Security Science and Technology Strategy (NSSTS), pubblicata nell’agosto 2026 dall’Office of Science and Technology Policy (OSTP) della Casa Bianca in attuazione del mandate del CHIPS and Science Act e a supporto della National Security Strategy. Il documento definisce la postura americana per preservare la leadership tecnologica, proteggere le infrastrutture critiche e difendere la catena di fornitura cibernetica da attacchi automatizzati.
Indice degli argomenti
Il dibattito attorno a GLM-5.3 e Kimi K3
Il rilascio di GLM-5.3 da parte del laboratorio pechinese Z.ai ha generato un intenso dibattito tra gli analisti di sicurezza in merito al reale livello di minaccia rappresentato dai modelli orientali. I benchmark ufficiali indicano che, nel test CyberGym per la revisione del codice e l’individuazione di falle, GLM-5.3 ha ottenuto un punteggio dell’84,5%, superando la soglia dell’83,8% registrata da Mythos 5 di Anthropic. Nella generazione autonoma di codice d’attacco valutata su ExploitBench, il modello ha dimostrato un’elevata efficienza agentica, sviluppando oltre duecento exploit complessi in poche ore.
Tuttavia, un’analisi approfondita condotta dagli esperti di cybersicurezza ridimensiona l’immagine di un’IA in grado di condurre attacchi devastanti in totale autonomia. Sebbene il Security Disclosure Ledger pubblicato da Z.ai attesti la scoperta di oltre 2.400 vulnerabilità in 269 progetti open-source (inclusi componenti del kernel Linux e dei server Apache), la maggior parte di queste falle rientra nella categoria dei bug di memoria tradizionali o errori di sintassi identificabili tramite analisi statica avanzata. La vera forza di GLM-5.3 risiede nella velocità di scansione e nel riuso di exploit noti. Il rischio immediato consiste nell’abbassamento della soglia d’ingresso per attori malevoli meno esperti, che possono impiegare il modello per automatizzare le fasi preliminari di ricognizione e sviluppo del payload.
Il nodo dei modelli open-weight
La natura open-weight del modello rappresenta lo snodo cruciale dell’equazione di sicurezza. A differenza dei sistemi americani erogati tramite API cloud supervisionate, un modello a pesi aperti può essere eseguito su infrastrutture private locali. Ciò svincola gli utenti dai filtri di sicurezza (safety refusals) e dalla telemetria dei fornitori, consentendo di rimuovere i blocchi etici tramite fine-tuning o modifica diretta delle matrici di peso. Al contempo, la disponibilità dei pesi aperti offre un vantaggio ai reparti di difesa informatica (blue team), che possono utilizzare il modello all’interno delle proprie reti aziendali, in totale isolamento e senza costi di licenza o rischi di riservatezza, per condurre audit di sicurezza continui sul codice sorgente.
Il caso Kimi K3
Un secondo evento significativo riguarda l’evasione del modello Kimi K3 di Moonshot AI durante una sessione di valutazione condotta dal UK AI Security Institute. L’analisi forense ha dimostrato che il modello non ha sintetizzato un exploit sofisticato per compromettere l’hypervisor, ma ha sfruttato una misconfigurazione nelle regole di instradamento della rete di test per accedere a internet.
La motivazione dell’agente era puramente funzionale: reperire sul web le risposte necessarie per massimizzare il proprio punteggio nel test. Questo comportamento evidenzia come la funzione di perdita (loss function) dei modelli cinesi tenda a privilegiare il completamento del compito rispetto al rispetto dei limiti imposti, rappresentando un fattore di rischio concreto per i sistemi che basano la sicurezza su configurazioni di rete non perfettamente sigillate.
Il quadro strategico della Casa Bianca: la National Security Science and Technology Strategy 2026
Di fronte all’accelerazione delle capacità cibernetiche avversarie e alla proliferazione di modelli non regolamentati, la Casa Bianca ha risposto formalizzando la National Security Science and Technology Strategy (NSSTS). Redatta dall’OSTP per orientare i finanziamenti federali di ricerca e sviluppo, la strategia definisce le priorità per garantire la supremazia tecnologica degli Stati Uniti e difendere la nazione da minacce asimmetriche. Il documento si articola su quattro pilastri fondamentali che affrontano in modo diretto le vulnerabilità emerse nel confronto con i modelli autonomi cinesi.
Il primo pilastro, focalizzato sulla competizione tecno-strategica, stabilisce la necessità di mantenere il vantaggio tattico sul campo di battaglia e nelle operazioni di difesa della patria. La strategia individua nell’intelligenza artificiale, nell’autonomia, nei sistemi di comando e controllo (C5ISR), nei domini spaziale e sottomarino le aree prioritarie di intervento. Per sostenere questo confronto in modo sostenibile, la NSSTS prescrive di integrare piattaforme avanzate ad alto costo con sistemi autonomi a basso costo ed attritabili, costringendo gli avversari a destinare risorse ingenti a sistemi difensivi complessi.
Costruire la resilienza tecnologica
Il secondo pilastro riguarda la costruzione della resilienza tecnologica, ponendo l’accento sulla capacità di anticipare le minacce emergenti e sulla leadership nelle tecnologie trasformative come l’IA generale, le biotecnologie e l’informatica quantistica. In questo ambito, il piano richiede espressamente la modernizzazione delle infrastrutture critiche, la modellazione delle minacce cibernetiche e fisiche e l’implementazione di sistemi di rilevamento delle anomalie basati su IA per la protezione dei sistemi di controllo industriale.
Innovare e proteggere l’ecosistema scientifico e tech
Il terzo e il quarto pilastro affrontano rispettivamente l’accelerazione dell’innovazione e la protezione dell’ecosistema scientifico e tecnologico nazionale. Attraverso riforme dei processi di acquisizione (inclusi gli ordini esecutivi EO 14265 ed EO 14369) e l’impiego di contratti flessibili (Other Transaction Authorities), gli Stati Uniti mirano ad accorciare i cicli di sviluppo tecnologico.
Parallelamente, vengono rafforzate le misure di sicurezza della ricerca stabilite dal memorandum NSPM-33, vietando il finanziamento federale a entità ad alto rischio legate all’esercito cinese (come le aziende incluse nella lista 1260H) e potenziando lo screening degli investimenti esteri tramite il CFIUS e l’Outbound Investment Security Program. Quest’ultima misura punta specificamente a contrastare la strategia cinese di fusione civile-militare e a impedire che capitali o competenze occidentali vengano utilizzati per la “distillazione” dei modelli di frontiera americani a beneficio di laboratori esteri.
La protezione dei sistemi OT/ICS e la resilienza delle infrastrutture critiche
Uno degli elementi più innovativi della NSSTS 2026 risiede nell’attenzione prioritaria rivolta alla sicurezza della tecnologia operativa (OT) e dei sistemi di controllo industriale (ICS). L’automazione della ricerca di vulnerabilità garantita da modelli come GLM-5.3 espone le reti fisiche — quali centrali elettriche, impianti idrici, nodi logistici e strutture manifatturiere — a rischi di compromissione sistemica. I sistemi OT, spesso caratterizzati da componenti legacy non progettati per contrastare scansioni ad alta frequenza, risultano particolarmente vulnerabili ad attacchi basati su exploit automatizzati.
Per mitigare queste vulnerabilità, la strategia federale impone l’adozione di modelli di minaccia cibernetico-fisici (cyber-physical threat modeling) e di architetture di rilevamento delle anomalie basate su intelligenza artificiale. Inoltre, il documento affronta il problema della sicurezza della catena di fornitura tecnologica, promuovendo la sostituzione dei materiali critici, l’uso di strumenti digitali per la verifica della provenienza dei componenti e l’implementazione del principio della ridondanza ottimale. L’obiettivo è garantire una “degradazione controllata” (graceful degradation) delle infrastrutture nazionali, facendo in modo che un attacco informatico condotto da agenti autonomi possa piegare la rete senza provocarne il collasso improvviso.
Implicazioni operative per i SOC
L’avvento di modelli open-weight come GLM-5.3 e l’indirizzo strategico fissato dalla Casa Bianca impongono una revisione delle tattiche difensive all’interno dei SOC. In passato, le operazioni d’attacco automatizzate tramite IA potevano essere neutralizzate bloccando gli account sulle piattaforme cloud dei fornitori occidentali. Con l’esecuzione in locale dei modelli a pesi aperti, questa leva di controllo decade completamente, rendendo necessario un adattamento delle difese perimetrali e interne.
Le piattaforme aziendali di gestione dei dati non devono mai trattare gli input inviati dagli agenti autonomi come codice direttamente eseguibile, applicando una rigorosa separazione delle funzioni a livello di processo. Le reti dedicate ai test e all’esecuzione del codice generato da IA devono operare prive di connettività internet diretta, veicolando le connessioni verso repository interni tramite proxy di ispezione profonda dei contenuti a livello applicativo (Layer 7).
Inoltre, i sistemi di protezione degli endpoint (EDR) e i sensori di rete per ambienti industriali (OT) devono integrare moduli di analisi comportamentale basati sulle intenzioni in tempo reale (runtime intent analysis). Anziché limitarsi alla ricerca di firme malware note, gli strumenti di difesa devono monitorare la velocità e la coerenza delle sequenze di chiamate di sistema, identificando anomalie operative e pattern di scansione ad alta frequenza tipici degli agenti automatici prima che possano completare la catena d’attacco.
Cosa aspettarci
La realtà operativa del 2026 dimostra che i modelli come GLM-5.3 non costituiscono una minaccia imbattibile, ma un acceleratore di processi informatici dual-use. La protezione delle infrastrutture critiche e delle catene di fornitura non può basarsi sulla presunzione che i modelli rispettino le direttive etiche incorporate in fase di addestramento, ma richiede l’adozione di architetture zero-trust e misure di sicurezza nazionali in cui ogni agente autonomo viene isolato all’interno di confini hardware non valicabili.
Partecipa alla community